Windows 10 Enterprise
The most advanced Windows edition – comprehensive security, zero‑trust protection, full device management, and long‑term servicing for large organisations and mission‑critical environments
Overview
How It Works
1. UEFI, Secure Boot & BitLocker
সিকিউর বুট সহ UEFI ফার্মওয়্যার বুটলোডার স্বাক্ষর যাচাই করে। যদি বিটলকার সক্ষম করা থাকে, তবে TPM শুধুমাত্র ডিক্রিপশন কী প্রকাশ করে যখন পরিমাপ করা বুট কোন টেম্পারিং যাচাই না করে। DMA সুরক্ষা (কার্নেল DMA সুরক্ষা) সহ ডিভাইসগুলিতে, OS লোড না হওয়া পর্যন্ত থান্ডারবোল্ট পোর্টগুলি ব্লক করা হয়।
2. Virtualisation‑Based Security (VBS) Initialisation
হাইপারভাইজার (Microsoft Hyper-V) তাড়াতাড়ি লোড হয়, বিচ্ছিন্ন ভার্চুয়ালাইজেশন কন্টেইনার তৈরি করে। ক্রেডেনশিয়াল গার্ড একটি সুরক্ষিত VM-এর মধ্যে LSA চালায়। উইন্ডোজ ডিফেন্ডার অ্যাপ্লিকেশন গার্ড (WDAG) তার নিজস্ব লাইটওয়েট কন্টেইনার প্রস্তুত করে। প্রধান ওএস রুট পার্টিশন হিসেবে কাজ করে কম সুবিধা সহ।
3. Kernel & Device Guard / WDAC
কার্নেল হাইপারভাইজার-প্রোটেক্টেড কোড ইন্টিগ্রিটি (HVCI) দিয়ে লোড হয়। প্রতিটি ড্রাইভার এবং কার্নেল মডিউল কার্যকর করার আগে একটি নীতির (WDAC) বিরুদ্ধে যাচাই করা হয়। শুধুমাত্র অনুমোদিত প্রকাশকদের দ্বারা স্বাক্ষরিত বাইনারিগুলি (Microsoft, আপনার সংস্থা) চলতে পারে - কার্যকরভাবে রুটকিট এবং স্বাক্ষরবিহীন ড্রাইভারগুলিকে ব্লক করে৷
4. DirectAccess & VPN Client
নেটওয়ার্ক কানেক্টিভিটি পাওয়া মাত্রই, ডাইরেক্ট অ্যাকসেস ক্লায়েন্ট মেশিন সার্টিফিকেট ব্যবহার করে কর্পোরেট নেটওয়ার্কে একটি IPsec টানেল স্থাপন করার চেষ্টা করে। ব্যবহারকারী লগইন করার আগে এটি ঘটে, রিমোট ডিভাইস ম্যানেজমেন্ট (প্যাচ ডিপ্লয়মেন্ট, পলিসি আপডেট) সক্ষম করে এমনকি কোনো ব্যবহারকারী সাইন ইন না করলেও।
5. User Logon with Windows Hello for Business
লগইন স্ক্রিনে, Windows Hello for Business (বায়োমেট্রিক বা PIN) ব্যবহারকারীকে Azure AD বা অন-প্রিমিসেস অ্যাক্টিভ ডিরেক্টরিতে প্রমাণীকরণ করে। রিমোট ক্রেডেনশিয়াল গার্ড ব্যবহারকারীকে তাদের শংসাপত্রগুলি লক্ষ্য মেশিনে না পাঠিয়ে দূরবর্তী সংস্থানগুলি অ্যাক্সেস করতে দেয়।
6. Group Policy / MDM Refresh & BranchCache
ব্যাকগ্রাউন্ড পরিষেবাগুলি ডোমেন কন্ট্রোলার বা Intune MDM পলিসি থেকে গ্রুপ পলিসি অবজেক্ট (GPOs) রিফ্রেশ করে। BranchCache 'ডিস্ট্রিবিউটেড ক্যাশে মোডে' পূর্বে ডাউনলোড করা ফাইলগুলির জন্য স্থানীয় পিয়ার ক্যাশে চেক করে, অপ্রয়োজনীয় WAN স্থানান্তর এড়িয়ে।
7. Windows Defender Application Guard (Optional)
যদি একজন প্রশাসক অ্যাপ্লিকেশন গার্ড মোডে এজ চালু করেন (বা নীতির মাধ্যমে), একটি নতুন হাইপার-ভি কন্টেইনার একটি ন্যূনতম উইন্ডোজ চিত্র দিয়ে শুরু হয়। ব্রাউজারটি এই স্যান্ডবক্সের ভিতরে চলে, ক্লিপবোর্ড এবং ফাইল পুনঃনির্দেশ নীতি দ্বারা নিয়ন্ত্রিত। ধারক বন্ধ করা সমস্ত পরিবর্তন বাতিল করে।
8. Microsoft Defender for Endpoint Sensors
এন্ডপয়েন্টের জন্য ডিফেন্ডার সেন্সর (`MsSense.exe`) প্রক্রিয়া তৈরি, নেটওয়ার্ক সংযোগ, ফাইল লেখা এবং রেজিস্ট্রি পরিবর্তনগুলি পর্যবেক্ষণ করে। আচরণগত সংকেত রিয়েল-টাইম ঝুঁকি বিশ্লেষণের জন্য ক্লাউডে পাঠানো হয়। যদি একটি হুমকি সনাক্ত করা হয়, স্বয়ংক্রিয় প্রতিক্রিয়া ক্রিয়া (বিচ্ছিন্নতা, ফাইল কোয়ারেন্টাইন) ট্রিগার করা যেতে পারে।
9. Windows Update for Business & Desktop Analytics
Windows Update for Business বিলম্বিত নীতি (ফিচার আপডেটের জন্য 365 দিন পর্যন্ত) এবং আপডেট রিং ব্যবহার করে। ডেস্কটপ অ্যানালিটিক্স আপগ্রেড প্রস্তুতির অন্তর্দৃষ্টি প্রদান করতে কনফিগারেশন ম্যানেজারের সাথে একীভূত করে - স্থাপনার আগে অ্যাপ্লিকেশন সামঞ্জস্যের সমস্যাগুলি সনাক্ত করে৷
Key Features
Credential Guard
ভার্চুয়ালাইজেশন-ভিত্তিক নিরাপত্তা এলএসএএসএসকে বিচ্ছিন্ন করে – পাস-দ্য-হ্যাশ এবং পাস-দ্য-টিকিট আক্রমণ প্রতিরোধ করে। TPM 2.0 এবং UEFI লক প্রয়োজন।
Application Guard for Edge
ওয়েব ব্রাউজিং-এর জন্য হার্ডওয়্যার-বিচ্ছিন্ন ধারক - ক্ষতিকারক ওয়েবসাইটগুলি হোস্ট ওএসের সাথে আপস করতে পারে না। ক্লিপবোর্ড নিয়ন্ত্রণ এবং ফাইল পুনর্নির্দেশ নীতি সমর্থন করে।
DirectAccess
সর্বদা-চালু, IPsec ব্যবহার করে স্বচ্ছ VPN। ব্যবহারকারী লগইন করার আগে সংযোগ করে, মাল্টি-সাইট সমর্থন করে এবং শংসাপত্র প্রমাণীকরণের সাথে একীভূত করে।
BranchCache
SMB/HTTP সামগ্রীর বিতরণ বা হোস্ট করা ক্যাশিং - শাখা অফিস ব্যবহারকারীদের জন্য WAN ব্যান্ডউইথ এবং লেটেন্সি হ্রাস করে।
Windows Defender Application Control (WDAC)
হাইপারভাইজার-সুরক্ষিত কোড অখণ্ডতা - শুধুমাত্র বিশ্বস্ত এক্সিকিউটেবল, ড্রাইভার এবং স্ক্রিপ্টের অনুমতি দেয়। কার্নেল স্তরে র্যানসমওয়্যার এবং ফাইলবিহীন ম্যালওয়্যার ব্লক করে।
AppLocker
EXE, MSI, স্ক্রিপ্ট এবং স্টোর অ্যাপ্লিকেশানগুলির জন্য নিয়ম সংগ্রহ সহ ব্যবহারকারী-মোড অ্যাপ্লিকেশন হোয়াইটলিস্টিং৷ পরীক্ষার জন্য অডিট মোড।
Microsoft Defender for Endpoint
সম্পূর্ণ এন্টারপ্রাইজ EDR - আচরণগত সেন্সর, ক্লাউড এআই, স্বয়ংক্রিয় তদন্ত, হুমকি এবং দুর্বলতা ব্যবস্থাপনা, এবং প্রতিক্রিয়া ক্রিয়া (বিচ্ছিন্নতা, কোয়ারেন্টাইন)।
BitLocker
TPM এবং PIN সহ সম্পূর্ণ-ডিস্ক এনক্রিপশন। এন্টারপ্রাইজ বিটলকার নেটওয়ার্ক আনলক (কর্পোরেট নেটওয়ার্কের সাথে সংযুক্ত হলে এনক্রিপ্টেড ড্রাইভ থেকে বুট) এবং মাইক্রোসফ্ট বিটলকার অ্যাডমিনিস্ট্রেশন অ্যান্ড মনিটরিং (MBAM) ইন্টিগ্রেশন যোগ করে।
Windows Hello for Business
বায়োমেট্রিক্স + TPM ব্যবহার করে দ্বি-ফ্যাক্টর প্রমাণীকরণ। কী-ভিত্তিক বা শংসাপত্র-ভিত্তিক প্রমাণীকরণের সাথে পাসওয়ার্ড প্রতিস্থাপন করে। Azure AD এবং অন-প্রিমিসেস AD সমর্থন করে।
Desktop Analytics
উইন্ডোজ বৈশিষ্ট্য আপডেটের সাথে অ্যাপ্লিকেশন সামঞ্জস্যতা মূল্যায়ন করতে কনফিগারেশন ম্যানেজারের সাথে একীকরণ। পাইলট সুপারিশ এবং রোলব্যাক অন্তর্দৃষ্টি প্রদান করে।
Windows Update for Business (Advanced)
365 দিন পর্যন্ত বৈশিষ্ট্য আপডেট, 30 দিন পর্যন্ত গুণমান আপডেট স্থগিত করুন। আপডেট রিং সহ ডিভাইস গ্রুপ (পাইলট, বিস্তৃত, সমালোচনামূলক) তৈরি করুন। ডেলিভারি অপ্টিমাইজেশান (পিয়ার-টু-পিয়ার) এর সাথে সংহত করে।
Universal Print
ক্লাউড-ভিত্তিক মুদ্রণ সমাধান - কোনো প্রিন্ট সার্ভারের প্রয়োজন নেই। এন্টারপ্রাইজ সংস্করণে ইউনিভার্সাল প্রিন্ট সংযোগকারীর ব্যবস্থাপনা এবং প্রতি-ব্যবহারকারী প্রিন্ট কাজের কোটা অন্তর্ভুক্ত রয়েছে।
Microsoft Endpoint Manager (Intune + ConfigMgr) Co‑management
ক্লাউড MDM (Intune) এবং অন-প্রিমিসেস SCCM উভয়ের মাধ্যমে নির্বিঘ্নে ডিভাইসগুলি পরিচালনা করুন৷ শর্তাধীন অ্যাক্সেস, সম্মতি নীতি এবং দূরবর্তী ক্রিয়াগুলি সক্ষম করে (মোছা, অবসর, সিঙ্ক)।
Long‑Term Servicing Channel (LTSC)
বৈশিষ্ট্য পরিবর্তন ছাড়াই 10 বছরের নিরাপত্তা আপডেট - নির্দিষ্ট-উদ্দেশ্য ডিভাইসের জন্য (ATM, চিকিৎসা, শিল্প)। শুধুমাত্র সফটওয়্যার নিশ্চয়তা সহ।
Credential Guard & Virtualisation‑Based Security
অপারেটিং সিস্টেম থেকে গোপনীয়তা বিচ্ছিন্ন করুন - এমনকি কার্নেল ম্যালওয়্যার হ্যাশ চুরি করতে পারে না
How Credential Guard Works
ক্রেডেনশিয়াল গার্ড একটি হার্ডওয়্যার-বিচ্ছিন্ন ভার্চুয়াল মেশিনের ভিতরে লোকাল সিকিউরিটি অথরিটি সাবসিস্টেম সার্ভিস (LSASS) চালানোর জন্য ভার্চুয়ালাইজেশন-ভিত্তিক নিরাপত্তা (VBS) ব্যবহার করে। এই সুরক্ষিত VM-এর বাইরের উইন্ডোজ প্রক্রিয়াগুলি হ্যাশ করা শংসাপত্র, Kerberos টিকিট বা ভিতরে সংরক্ষিত NTLM হ্যাশগুলি অ্যাক্সেস করতে পারে না। পাস‑দ্য‑হ্যাশ এবং পাস‑দ্য-টিকিট আক্রমণ অসম্ভব হয়ে পড়ে কারণ গোপনীয়তা কখনো বিচ্ছিন্ন পরিবেশ ছেড়ে যায় না।
Requirements & Enablement
Intel VT‑x (বর্ধিত পৃষ্ঠা টেবিল সহ) বা AMD‑V (র্যাপিড ভার্চুয়ালাইজেশন ইন্ডেক্সিং সহ), UEFI লক এবং TPM 2.0 সহ একটি 64-বিট CPU প্রয়োজন৷ গ্রুপ নীতির মাধ্যমে সক্ষম করুন: `কম্পিউটার কনফিগারেশন → প্রশাসনিক টেমপ্লেট → সিস্টেম → ডিভাইস গার্ড → ভার্চুয়ালাইজেশন ভিত্তিক নিরাপত্তা চালু করুন`। 'ক্রিডেনশিয়াল গার্ড দিয়ে সক্ষম' এ সেট করুন।
Key Protection & Remote Credential Guard
ক্রেডেনশিয়াল গার্ড কী ট্রাস্ট (TPM-বাউন্ড কী) এবং সার্টিফিকেট ট্রাস্ট (স্মার্টকার্ড শংসাপত্র) রক্ষা করে। রিমোট ক্রেডেনশিয়াল গার্ড এটিকে আরডিপি সেশনে প্রসারিত করে – যখন একজন ব্যবহারকারী দূরবর্তী পিসিতে সংযোগ করে, তাদের শংসাপত্রগুলি কখনই ক্লায়েন্ট মেশিন ছেড়ে যায় না। লক্ষ্য পিসি একটি Kerberos পরিষেবা টিকিট পায়, ব্যবহারকারীর পাসওয়ার্ড হ্যাশ নয়।
Performance Impact
নিরাপদ VM এবং সাধারণ OS-এর মধ্যে প্রসঙ্গ পরিবর্তনের জন্য VBS একটি ছোট ওভারহেড (2-5% CPU) আরোপ করে। আধুনিক সার্ভার-শ্রেণীর হার্ডওয়্যারে, এটি বেশিরভাগ কাজের চাপের জন্য নগণ্য। কিছু লিগ্যাসি ড্রাইভার এবং অ্যাপ্লিকেশন (বিশেষ করে অ্যান্টি-চিট গেম সফ্টওয়্যার) বেমানান এবং VBS চালু করা থেকে ব্লক করবে।
Windows Defender Application Guard (WDAG)
হার্ডওয়্যার-বিচ্ছিন্ন ব্রাউজিং – অবিশ্বস্ত ওয়েবসাইট সার্ফ করার সবচেয়ে নিরাপদ উপায়
Hyper‑V Container per Browser Session
WDAG একটি লাইটওয়েট হাইপার-V কন্টেইনারের মধ্যে Microsoft Edge চালু করেছে। এই ধারকটি হোস্ট ওএসের একটি অনুলিপি ব্যবহার করে তবে হোস্টের মেমরি, স্টোরেজ বা নেটওয়ার্ক স্ট্যাকের অ্যাক্সেস ছাড়াই একটি পৃথক ভার্চুয়াল মেশিনে চলে (একটি ভার্চুয়াল সুইচ ছাড়া)। যদি একটি ওয়েবসাইট ব্রাউজারকে শোষণ করে, আক্রমণকারী শুধুমাত্র কন্টেইনারে অ্যাক্সেস লাভ করে - হোস্ট সম্পূর্ণরূপে অস্পৃশ্য থাকে।
Configuration & Policies
গ্রুপ পলিসি বা ইনটিউনের মাধ্যমে সক্ষম করুন: 'প্রশাসনিক টেমপ্লেট → উইন্ডোজ উপাদান → উইন্ডোজ ডিফেন্ডার অ্যাপ্লিকেশন গার্ড → উইন্ডোজ ডিফেন্ডার অ্যাপ্লিকেশন গার্ড চালু করুন'৷ নীতিগুলি ক্লিপবোর্ড অ্যাক্সেস নিয়ন্ত্রণ করে (কপি/পেস্ট অনুমোদিত?), ফাইল ডাউনলোড পুনঃনির্দেশ (হোস্টে সংরক্ষণ করুন?), এবং কন্টেইনার থেকে মুদ্রণ। আপনি এন্টারপ্রাইজ রিসোর্স ট্রাস্টকেও সংজ্ঞায়িত করতে পারেন (যেমন, অভ্যন্তরীণ শেয়ারপয়েন্ট সাইটগুলি স্বাভাবিক এজে খোলা)।
Performance & User Experience
প্রথম লঞ্চটি ধারক তৈরি করতে 5-10 সেকেন্ড সময় নেয়; ক্যাশিংয়ের কারণে পরবর্তী লঞ্চগুলি দ্রুততর হয়। একবার ভিতরে, ব্রাউজিং কাছাকাছি-নেটিভ হয়. ধারকটি কোনো ডেটা বজায় রাখে না - কন্টেইনার বন্ধ হয়ে গেলে কুকিজ, ডাউনলোড এবং ব্রাউজিং ইতিহাস বাতিল করা হয়। ব্যবহারকারীরা একটি বিশেষ UI দেখতে পান যা নির্দেশ করে যে তারা 'অ্যাপ্লিকেশন গার্ড' মোডে রয়েছে।
Integration with Defender for Endpoint
যদি কন্টেইনারের ভিতরে একটি ম্যালওয়্যার নমুনা সনাক্ত করা হয়, তাহলে এন্ডপয়েন্টের জন্য ডিফেন্ডার স্বয়ংক্রিয়ভাবে পেলোড সংগ্রহ করতে পারে এবং বিশ্লেষণের জন্য জমা দিতে পারে। সন্দেহজনক আচরণ শনাক্ত হলে কন্টেইনারটি স্বয়ংক্রিয়ভাবে পরিচিত-ভাল অবস্থায় রিসেট করা যেতে পারে।
DirectAccess & BranchCache
বিতরণ করা সংস্থাগুলির জন্য বিরামহীন দূরবর্তী অ্যাক্সেস এবং WAN অপ্টিমাইজেশান
DirectAccess – Always On VPN
DirectAccess ডিভাইসটিতে ইন্টারনেট অ্যাক্সেস পাওয়ার সাথে সাথে কর্পোরেট নেটওয়ার্কে একটি স্বয়ংক্রিয়, স্বচ্ছ, সর্বদা চালু IPsec টানেল প্রদান করে। কোনো ব্যবহারকারীর ইনপুট নেই (কোন ক্লিক-টু-সংযোগ নেই) - এটি প্রমাণীকরণের জন্য মেশিন শংসাপত্র ব্যবহার করে। ব্যবহারকারীরা অভ্যন্তরীণ সম্পদ (ফাইল শেয়ার, ইন্ট্রানেট সাইট) অ্যাক্সেস করে যেন তারা অন-প্রিমিসেস, এমনকি NAT এবং ফায়ারওয়ালের পিছনেও। DirectAccess এছাড়াও মাল্টি-সাইট স্থাপনাকে সমর্থন করে এবং নেটওয়ার্ক অ্যাক্সেস সুরক্ষা (NAP) (লেগেসি) এর সাথে একীভূত করে।
DirectAccess vs Traditional VPN
প্রথাগত VPN-এর জন্য ব্যবহারকারীকে ম্যানুয়ালি সংযোগ করতে হয়, নিষ্ক্রিয় হওয়ার পরে সংযোগ বিচ্ছিন্ন করতে পারে এবং ব্যবহারকারী লগইন করার আগে কাজ করে না। লগইন করার আগে DirectAccess স্বয়ংক্রিয়ভাবে সংযোগ করে, অনির্দিষ্টকালের জন্য সংযুক্ত থাকে এবং ফোর্স টানেলিং (সকল ইন্টারনেট ট্রাফিক কর্পোরেট নেটওয়ার্কের মাধ্যমে রুট করা হয়) বা বিভক্ত টানেলিং সমর্থন করে। এটি ল্যাপটপের দূরবর্তী ব্যবস্থাপনা এবং অভ্যন্তরীণ সংস্থানগুলিতে ধ্রুবক অ্যাক্সেসের জন্য আদর্শ।
BranchCache – Reduce WAN Traffic
ব্রাঞ্চক্যাচে স্থানীয় ক্লায়েন্ট পিসি বা অন-সাইট হোস্ট করা ক্যাশে সার্ভারে দূরবর্তী ফাইল সার্ভার (এসএমবি শেয়ার) এবং HTTP (ওয়েব) সার্ভার থেকে সামগ্রী ক্যাশে করে। ডিস্ট্রিবিউটেড ক্যাশে মোডে, প্রতিটি ক্লায়েন্ট কন্টেন্ট ক্যাশে করে এবং স্থানীয় LAN আবিষ্কারের (WS-Discovery) মাধ্যমে পিয়ার ক্লায়েন্টদের সাথে শেয়ার করে। হোস্টেড ক্যাশে মোডে, একটি ডেডিকেটেড উইন্ডোজ সার্ভার কেন্দ্রীয় ক্যাশে হিসেবে কাজ করে। একই ফাইলের জন্য পরবর্তী অনুরোধগুলি স্থানীয় ক্যাশে থেকে পরিবেশন করা হয়, যা লেটেন্সি এবং WAN ব্যবহার মারাত্মকভাবে হ্রাস করে৷
BranchCache Security
ডেটা এনক্রিপ্ট করা হয় এবং SHA-256 ব্যবহার করে অখণ্ডতা-চেক করা হয়। ক্লায়েন্টরা তাদের অনুরোধ করা ফাইলের শুধুমাত্র অংশগুলি পায় এবং অননুমোদিত পুনর্গঠন প্রতিরোধ করার জন্য ক্যাশে ভাগ করা হয়। BranchCache HTTP এবং SMB প্রোটোকলের উপর কাজ করে, উইন্ডোজ ফাইল সার্ভারের সাথে নির্বিঘ্নে একত্রিত।
Windows Defender Application Control (WDAC) & AppLocker
জিরো-ট্রাস্ট অ্যাপ্লিকেশন হোয়াইটলিস্টিং – শুধুমাত্র অনুমোদিত সফ্টওয়্যার চলে
WDAC – Hypervisor‑Protected Code Integrity
WDAC (পূর্বে ডিভাইস গার্ড) অ্যাডমিনিস্ট্রেটরদের ঠিক কোন এক্সিকিউটেবল ফাইল, ড্রাইভার, স্ক্রিপ্ট এবং MSI বিশ্বস্ত তা নির্দিষ্ট করতে দেয়। নিয়মগুলি ফাইল পাথ, প্রকাশক (ডিজিটাল শংসাপত্র) বা ফাইল হ্যাশের উপর ভিত্তি করে। নীতিটি হাইপারভাইজার (HVCI) দ্বারা প্রয়োগ করা হয় এবং কার্নেল-মোড ম্যালওয়্যার দ্বারা বাইপাস করা যায় না৷ WDAC শুধুমাত্র পরিচিত ম্যালওয়্যারই নয় বরং আক্রমণকারীরা ব্যবহার করে এমন 'লিভিং অফ দ্য ল্যান্ড' বাইনারি (যেমন, PowerShell, wmic) ব্লক করতে পারে।
WDAC vs AppLocker
AppLocker হল একটি ব্যবহারকারী-মোড নীতি সমাধান এন্টারপ্রাইজ (এবং প্রো)-এ উপলব্ধ – পরিচালনা করা সহজ কিন্তু কার্নেল ড্রাইভার দ্বারা বাইপাস করা যেতে পারে। WDAC হল একটি কার্নেল-মোড, হাইপারভাইজার-সুরক্ষিত সমাধান - অনেক বেশি শক্তিশালী কিন্তু সতর্ক পরিকল্পনা এবং পরীক্ষার প্রয়োজন। অনেক প্রতিষ্ঠান উভয়ই ব্যবহার করে: গুরুত্বপূর্ণ সিস্টেম সুরক্ষার জন্য WDAC, ব্যবহারকারী-অ্যাপ বিধিনিষেধের জন্য AppLocker।
Creating WDAC Policies
একটি রেফারেন্স পিসিতে `ConfigCI` পাওয়ারশেল মডিউল ব্যবহার করুন। 'New-CIPolicy' সিস্টেমটি স্ক্যান করে এবং বর্তমানে ইনস্টল করা সমস্ত অ্যাপ্লিকেশন এবং ড্রাইভারের একটি অনুমোদিত তালিকা তৈরি করে। `ConvertFrom-CIPolicy` বাইনারি বিন্যাসে রূপান্তরিত করে। গ্রুপ নীতি বা MDM এর মাধ্যমে স্থাপন করুন। আসলে ব্লক না করে কি ব্লক করা হবে তা লগ করার জন্য আপনি প্রথমে অডিট মোডে চালাতে পারেন।
AppLocker Rulesets for Enterprises
AppLocker পাঁচটি নিয়ম সংগ্রহ সমর্থন করে: এক্সিকিউটেবল (.exe, .com), Windows Installers (.msi, .msp), স্ক্রিপ্ট (.ps1, .bat, .vbs, .js), DLL, এবং প্যাকেজড অ্যাপস (স্টোর অ্যাপস)। প্রতি ব্যবহারকারী গ্রুপে নীতি প্রয়োগ করা যেতে পারে। উদাহরণস্বরূপ: সমস্ত ব্যবহারকারীকে `C:\Program Files` এবং `C:\Program Files (x86)` থেকে প্রোগ্রাম চালানোর অনুমতি দিন, কিন্তু `%USERPROFILE%\Downloads` বা `%TEMP%` থেকে চালানো অস্বীকার করুন।
Microsoft Defender for Endpoint (formerly ATP)
স্বয়ংক্রিয় তদন্ত এবং প্রতিক্রিয়া সহ এন্টারপ্রাইজ EDR
Next‑Generation Protection
আচরণগত সেন্সর, ক্লাউড এআই, এবং মেশিন লার্নিং মডেলগুলি প্রক্রিয়া আচরণ, নেটওয়ার্ক সংযোগ এবং রেজিস্ট্রি পরিবর্তনগুলি বিশ্লেষণ করে। আক্রমণ সারফেস রিডাকশন নিয়ম (যেমন, অফিসকে চাইল্ড প্রসেস তৈরি করা থেকে ব্লক করা, ইমেল ক্লায়েন্ট থেকে এক্সিকিউটেবল কনটেন্ট ব্লক করা) সাধারণ ইনফেকশন ভেক্টর প্রতিরোধ করে।
Endpoint Detection & Response (EDR)
শেষ পয়েন্টগুলিতে গভীর দৃশ্যমানতা: সন্দেহজনক আচরণের বিষয়ে সতর্কতা, মেশিন জুড়ে তদন্ত এবং প্রক্রিয়া গাছের সময়রেখার দৃশ্য। সিকিউরিটি অপারেশন সেন্টার (এসওসি) 6 মাস পর্যন্ত (লাইসেন্সের উপর নির্ভর করে) কাঁচা টেলিমেট্রি জিজ্ঞাসা করতে পারে।
Automated Investigation & Remediation
যখন একটি সতর্কতা ট্রিগার করা হয়, তখন এন্ডপয়েন্টের জন্য ডিফেন্ডার স্বয়ংক্রিয়ভাবে ঘটনার তদন্ত করতে পারে: মূল কারণ নির্ধারণ করে, প্রভাবিত মেশিনগুলিকে নেটওয়ার্ক থেকে বিচ্ছিন্ন করে (Microsoft Intune ইন্টিগ্রেশন ব্যবহার করে), এবং দূষিত শিল্পকর্ম (ফাইল, রেজিস্ট্রি কী, নির্ধারিত কাজগুলি) সরিয়ে দেয়৷
Threat & Vulnerability Management (TVM)
TVM ক্রমাগত অনুপস্থিত নিরাপত্তা আপডেট, ভুল কনফিগারেশন (যেমন, দুর্বল ফায়ারওয়াল নিয়ম), এবং দুর্বল সফ্টওয়্যার সংস্করণ আবিষ্কার করে। এটি ঝুঁকি-ভিত্তিক অগ্রাধিকার প্রদান করে - শোষণের সম্ভাবনা এবং সম্পদের এক্সপোজারের উপর ভিত্তি করে 'প্যাচ ফার্স্ট' সুপারিশ।
Long‑Term Servicing Channel (LTSC)
বৈশিষ্ট্য পরিবর্তন ছাড়াই 10 বছরের নিরাপত্তা আপডেট - নির্দিষ্ট-উদ্দেশ্য ডিভাইসের জন্য
What is LTSC?
দীর্ঘমেয়াদী সার্ভিসিং চ্যানেল (পূর্বে LTSB) হল Windows 10 এন্টারপ্রাইজের একটি বিশেষ সংস্করণ যা বৈশিষ্ট্য আপডেটগুলি নয় পায় না৷ এতে 10 বছর পর্যন্ত (5 বছর মূলধারা + 5 বছর বর্ধিত) জন্য শুধুমাত্র নিরাপত্তা এবং গুণমানের আপডেট অন্তর্ভুক্ত রয়েছে। এমন ডিভাইসগুলির জন্য আদর্শ যা কখনই কার্যকারিতা পরিবর্তন করবে না: এটিএম, চিকিৎসা সরঞ্জাম (MRI, CT স্ক্যানার), শিল্প নিয়ন্ত্রণ ব্যবস্থা (SCADA), কিয়স্ক এবং এমবেডেড সিস্টেম।
What’s Missing in LTSC
LTSC মাইক্রোসফ্ট এজ (শুধুমাত্র উত্তরাধিকার সংস্করণ, ক্রোমিয়াম নয়), উইন্ডোজ স্টোর, কর্টানা, ইনবক্স অ্যাপস (মেল, ক্যালেন্ডার, ক্যালকুলেটর), ওয়ানড্রাইভ এবং টাইমলাইন এবং সেটগুলির মতো আধুনিক বৈশিষ্ট্যগুলি ছাড়াই প্রেরণ করে। এটি Windows 10-এর আধা-বার্ষিক বৈশিষ্ট্য আপডেটগুলিকেও সমর্থন করে না (যেমন, 21H2, 22H2)। এটি LTSC কে নতুন হার্ডওয়্যারের সাথে বেমানান করে তোলে (ড্রাইভারদের নতুন উইন্ডোজ তৈরির প্রয়োজন হতে পারে)।
Licensing & Availability
LTSC সক্রিয় সফ্টওয়্যার নিশ্চয়তা (ভলিউম লাইসেন্সিং) বা Microsoft 365 E3/E5 (কোনও LTSC নেই - আপনার SA প্রয়োজন) এর মাধ্যমে গ্রাহকদের জন্য শুধু উপলব্ধ। প্রতিটি নতুন LTSC রিলিজ তার প্রকাশের তারিখ থেকে 10 বছরের জন্য সমর্থিত (যেমন, Windows 10 Enterprise LTSC 2019 2029 পর্যন্ত, LTSC 2021 2031 পর্যন্ত)। আপনি পরিষ্কার ইনস্টল ছাড়া একটি LTSC রিলিজ থেকে অন্যটিতে আপগ্রেড করতে পারবেন না।
LTSC vs Semi‑Annual Channel (SAC)
বেশিরভাগ এন্টারপ্রাইজ ডিভাইসের সেমি-বার্ষিক চ্যানেল (SAC) ব্যবহার করা উচিত - বছরে দুবার নতুন বৈশিষ্ট্য পান। LTSC হল জটিল অবকাঠামোর জন্য একটি বিশেষ টুল যা UI পরিবর্তন সহ্য করতে পারে না বা বৈশিষ্ট্য আপডেটের জন্য রিবুট করতে পারে না। Microsoft সাধারণ-উদ্দেশ্য ডেস্কটপ, অফিস বা ডেভেলপমেন্ট মেশিনের জন্য LTSC ব্যবহার করার বিরুদ্ধে পরামর্শ দেয়।
Pros
- ✓অতুলনীয় নিরাপত্তা – ক্রেডেনশিয়াল গার্ড, অ্যাপ্লিকেশন গার্ড, WDAC, এবং এন্ডপয়েন্টের জন্য ডিফেন্ডার গভীরভাবে প্রতিরক্ষা প্রদান করে
- ✓DirectAccess ব্যবহারকারীর মুখোমুখি VPN - নির্বিঘ্ন রিমোট অ্যাক্সেস ম্যানেজমেন্ট দূর করে
- ✓BranchCache ফাইল সার্ভার এবং ওয়েব অ্যাপের জন্য শাখা অফিসের অভিজ্ঞতাকে নাটকীয়ভাবে উন্নত করে
- ✓সম্পূর্ণ ডিভাইস ব্যবস্থাপনা – Intune, ConfigMgr, গ্রুপ নীতি, এবং সহ-ব্যবস্থাপনা
- ✓ব্যবসার জন্য উইন্ডোজ আপডেট ১-বছরের বিলম্ব সহ - আপনার সময়সূচীর আপডেটের পরিকল্পনা করুন
- ✓নিয়ন্ত্রক বা স্থিতিশীলতা-সমালোচনামূলক পরিবেশের জন্য দীর্ঘমেয়াদী সার্ভিসিং চ্যানেল (LTSC)
- ✓AppLocker + WDAC - কার্নেল থেকে ব্যবহারকারী মোডে জিরো-ট্রাস্ট অ্যাপ্লিকেশন নীতিগুলি প্রয়োগ করুন
- ✓Microsoft Defender for Endpoint তৃতীয় পক্ষের এজেন্ট ছাড়া এন্টারপ্রাইজ EDR প্রদান করে
- ✓ডেস্কটপ অ্যানালিটিক্স বাস্তব-বিশ্বের সামঞ্জস্যপূর্ণ ডেটার সাথে আপগ্রেড ঝুঁকি হ্রাস করে
- ✓রিমোট ক্রেডেনশিয়াল গার্ড আরডিপি সেশনের সময় শংসাপত্র রক্ষা করে
- ✓ইউনিভার্সাল প্রিন্ট প্রিন্ট সার্ভারের জটিলতা কমায়
- ✓S মোডে Windows 10 সমর্থন করে - অতি-সীমাবদ্ধ পরিবেশের জন্য শুধুমাত্র মাইক্রোসফট স্টোর অ্যাপে লক ডাউন
Cons
- ✗খুচরা বিক্রয়ের জন্য উপলব্ধ নয় - ভলিউম লাইসেন্সিং চুক্তির প্রয়োজন (Microsoft 365 E3/E5 বা সফ্টওয়্যার নিশ্চয়তা)
- ✗প্রো-ব্যবহারকারী/প্রতি-ডিভাইস সাবস্ক্রিপশন ফি (সাধারণত Microsoft 365-এর অংশ হিসাবে প্রতি ব্যবহারকারী/মাসে $7–$14) এর চেয়ে উচ্চ খরচ
- ✗জটিলতা – অনেক বৈশিষ্ট্যের (WDAC, ক্রেডেনশিয়াল গার্ড, অ্যাপ্লিকেশন গার্ড) সতর্ক পরিকল্পনা এবং পরীক্ষার প্রয়োজন
- ✗হার্ডওয়্যার প্রয়োজনীয়তা – VBS বৈশিষ্ট্যগুলির জন্য TPM 2.0, UEFI, এবং সাম্প্রতিক CPUs প্রয়োজন; পুরানো ডিভাইসগুলি তাদের সমর্থন নাও করতে পারে
- ✗অ্যাপ্লিকেশন সামঞ্জস্যের সমস্যা – WDAC বৈধ সফ্টওয়্যার ব্লক করতে পারে; ক্রেডেনশিয়াল গার্ড কিছু তৃতীয় পক্ষের প্রমাণীকরণ মডিউল ভেঙে দেয়
- ✗পারফরম্যান্স ওভারহেড – VBS (ক্রেডেনশিয়াল গার্ড, HVCI) পারফরম্যান্স 2-8% কমাতে পারে, উচ্চ-I/O বা গেমিং কাজের চাপে লক্ষণীয়
- ✗DirectAccess-এর জন্য Windows Server infrastructure প্রয়োজন (DirectAccess সার্ভার, PKI, DNS, এবং IPv6 ট্রানজিশন প্রযুক্তি)
- ✗BranchCache এর জন্য Windows Server ফাইল সার্ভার এবং সতর্ক ক্যাশে সাইজিং প্রয়োজন
- ✗সমর্থন 14 অক্টোবর, 2025-এ শেষ হবে – সমস্ত Windows 10 সংস্করণের মতোই (যদিও নির্দিষ্ট প্রকাশের জন্য LTSC 2031-এ যায়)
- ✗কোন ভোক্তা বৈশিষ্ট্য নেই – Cortana, Windows Store (অক্ষম করা যেতে পারে), ভোক্তা ক্লাউড অভিজ্ঞতা নীতি দ্বারা বন্ধ করা হয় (ব্যবহারকারীরা তাদের আশা করে বিভ্রান্ত করতে পারে)
- ✗LTSC-তে আধুনিক ব্রাউজার এবং অ্যাপ স্টোরের অভাব রয়েছে - সমাধান ছাড়াই Microsoft টিম, নতুন এজ বা স্টোর অ্যাপ ইনস্টল করতে পারে না
Use Cases
Hidden & Useful Shortcuts
Master Windows 10 with these time‑saving keyboard shortcuts
Open Start Menu (Cortana disabled by default on Enterprise)
Open Action Centre
Show desktop
Open File Explorer
Open Settings
Lock workstation – secure against physical access
Open Run – use `secpol.msc` (local security), `gpedit.msc` (group policy), `wdagtool.exe` (Application Guard CLI)
Open Quick Link menu – includes Windows Terminal (if installed), Disk Management, Event Viewer
Open Search (Cortana disabled but search works)
Task View – virtual desktops (useful for separating classified and unclassified work)
New virtual desktop
Close current virtual desktop
Switch between virtual desktops
Open Game Bar (if not removed by policy)
Open Snip & Sketch for custom screenshots
Open clipboard history (if enabled by policy)
Emoji panel
Open Task Manager – can view VBS status (Performance → Virtualisation)
Open System Properties (shows 'Windows 10 Enterprise')
Open Connect (wireless displays) – may be disabled via policy
Open dictation (if not disabled)
Check TPM status (required for Credential Guard)
System Information – see 'Virtualisation‑Based Security' status
Advanced user account management
Computer Management – Local Users, Disk Management, Services
Windows Firewall with Advanced Security
Technical Specifications
| Architecture | 64‑bit (x86‑64) – 32‑bit available but deprecated; LTSC includes 32‑bit |
| Processor | 1 GHz or faster with 2 or more cores; supports up to 2 physical sockets (like Pro, not Workstation) |
| RAM | 4 GB minimum; maximum 2 TB for 64‑bit (same as Pro); Hyper‑V and VBS require additional memory overhead (~500 MB-2 GB) |
| Storage | 64 GB or larger drive (SSD strongly recommended); BitLocker requires TPM and UEFI |
| Graphics | DirectX 12 compatible with WDDM 2.0 driver; Application Guard requires GPU with Hyper‑V integration (any modern GPU) |
| Display | Minimum 800x600; recommended 1920x1080 or higher |
| TPM | TPM 2.0 required for Credential Guard and Device Guard; TPM 1.2 for BitLocker only |
| Virtualisation | Intel VT-x with EPT / AMD-V with RVI required for VBS, Credential Guard, Application Guard, and Hyper‑V |
| Secure Boot | Required for VBS features; strongly recommended for all Enterprise deployments |
| Memory for VBS | At least 8 GB RAM recommended if enabling Credential Guard or Application Guard (4 GB minimum, but performance suffers) |
| Internet | Required for initial setup, updates, DirectAccess, and Defender for Endpoint cloud features |
| DirectAccess Infrastructure | Requires Active Directory, PKI (smart card or machine certificates), and DirectAccess server running Windows Server 2016 or later |
Windows 10 Enterprise vs Windows 10 Pro vs Windows 10 Education
| Feature | enterprise | pro | education |
|---|---|---|---|
| Availability | Volume licensing (M365 E3/E5, SA) | Retail / OEM | Academic VL / Azure for Education (free) |
| Credential Guard | Yes | No | Yes (same as Enterprise) |
| Application Guard for Edge | Yes | No (consumer version only) | Yes |
| DirectAccess | Yes | No | Yes |
| BranchCache | Yes | No | Yes |
| WDAC (Hypervisor Code Integrity) | Yes (fully configurable) | Yes (but limited policies) | Yes (full) |
| AppLocker | Yes (full) | Yes (via GPO) | Yes |
| Microsoft Defender for Endpoint (ATP) | Yes (requires separate licence) | No | Yes (through M365 A5) |
| Long‑Term Servicing Channel (LTSC) | Yes (with SA) | No | No (only via VL, not free) |
| Desktop Analytics | Yes (with ConfigMgr) | No | Yes (with ConfigMgr) |
| Universal Print | Yes (full management) | Basic (client only) | Yes (with A3/A5) |
| Remote Desktop Host | Yes | Yes | Yes |
| Hyper‑V | Yes | Yes | Yes |
| Group Policy / MDM | Full (Intune + ConfigMgr co‑management) | Local + domain | Full (with appropriate licences) |
| Cortana | Disabled by default (can enable) | Enabled | Disabled by default |
| Max RAM (64‑bit) | 2 TB | 2 TB | 2 TB |