Windows 10 Enterprise
The most advanced Windows edition – comprehensive security, zero‑trust protection, full device management, and long‑term servicing for large organisations and mission‑critical environments
Overview
How It Works
1. UEFI, Secure Boot & BitLocker
सुरक्षित बूट सह UEFI फर्मवेअर बूटलोडर स्वाक्षरीची पडताळणी करते. बिटलॉकर सक्षम केले असल्यास, मोजमाप केलेले बूट कोणत्याही छेडछाडीची पडताळणी केल्यानंतरच TPM डिक्रिप्शन की सोडते. DMA संरक्षण (कर्नल DMA संरक्षण) असलेल्या डिव्हाइसेसवर, OS लोड होईपर्यंत थंडरबोल्ट पोर्ट ब्लॉक केले जातात.
2. Virtualisation‑Based Security (VBS) Initialisation
हायपरवाइजर (Microsoft Hyper-V) लवकर लोड होते, वेगळे व्हर्च्युअलायझेशन कंटेनर तयार करते. क्रेडेन्शियल गार्ड सुरक्षित VM मध्ये LSA चालवतो. Windows Defender Application Guard (WDAG) स्वतःचे हलके कंटेनर तयार करते. मुख्य OS कमी विशेषाधिकारांसह रूट विभाजन म्हणून चालते.
3. Kernel & Device Guard / WDAC
कर्नल हायपरवाइजर-प्रोटेक्टेड कोड इंटिग्रिटी (HVCI) सह लोड होते. प्रत्येक ड्रायव्हर आणि कर्नल मॉड्यूलची अंमलबजावणी करण्यापूर्वी पॉलिसी (WDAC) विरुद्ध पडताळणी केली जाते. केवळ अधिकृत प्रकाशकांनी (Microsoft, तुमची संस्था) स्वाक्षरी केलेली बायनरी चालवू शकतात - रूटकिट्स आणि स्वाक्षरी न केलेले ड्रायव्हर्स प्रभावीपणे ब्लॉक करतात.
4. DirectAccess & VPN Client
नेटवर्क कनेक्टिव्हिटी उपलब्ध होताच, DirectAccess क्लायंट मशीन प्रमाणपत्रे वापरून कॉर्पोरेट नेटवर्कमध्ये IPsec बोगदा स्थापित करण्याचा प्रयत्न करतो. हे वापरकर्ता लॉगऑन करण्यापूर्वी होते, रिमोट डिव्हाइस व्यवस्थापन (पॅच डिप्लॉयमेंट, पॉलिसी अपडेट्स) सक्षम करून, कोणीही वापरकर्ता साइन इन केलेले नसतानाही.
5. User Logon with Windows Hello for Business
लॉगिन स्क्रीनवर, विंडोज हॅलो फॉर बिझनेस (बायोमेट्रिक किंवा पिन) वापरकर्त्याला Azure AD किंवा ऑन-प्रिमाइसेस ऍक्टिव्ह डिरेक्टरीमध्ये प्रमाणीकृत करते. रिमोट क्रेडेन्शियल गार्ड वापरकर्त्याला त्यांचे क्रेडेन्शियल लक्ष्य मशीनवर न पाठवता दूरस्थ संसाधनांमध्ये प्रवेश करण्याची परवानगी देतो.
6. Group Policy / MDM Refresh & BranchCache
पार्श्वभूमी सेवा डोमेन कंट्रोलर किंवा Intune MDM पॉलिसींकडून ग्रुप पॉलिसी ऑब्जेक्ट्स (GPOs) रीफ्रेश करतात. 'वितरित कॅशे मोड' मध्ये शाखा कॅशे पूर्वी डाउनलोड केलेल्या फायलींसाठी स्थानिक पीअर कॅशे तपासते, अनावश्यक WAN हस्तांतरण टाळते.
7. Windows Defender Application Guard (Optional)
ॲडमिनिस्ट्रेटरने एज ॲप्लिकेशन गार्ड मोडमध्ये (किंवा पॉलिसीद्वारे) लाँच केल्यास, नवीन हायपर-V कंटेनर किमान विंडोज इमेजसह सुरू होतो. या सँडबॉक्समध्ये ब्राउझर चालतो, क्लिपबोर्ड आणि फाइल रीडायरेक्शन पॉलिसीद्वारे नियंत्रित होते. कंटेनर बंद केल्याने सर्व बदल काढून टाकले जातात.
8. Microsoft Defender for Endpoint Sensors
डिफेंडर फॉर एंडपॉईंट सेन्सर (`MsSense.exe`) प्रक्रियेची निर्मिती, नेटवर्क कनेक्शन, फाइल राइट्स आणि रेजिस्ट्री बदलांचे निरीक्षण करते. रिअल-टाइम जोखीम विश्लेषणासाठी वर्तणूक सिग्नल क्लाउडवर पाठवले जातात. धोका आढळल्यास, स्वयंचलित प्रतिसाद क्रिया (अलगाव, फाइल अलग ठेवणे) ट्रिगर केले जाऊ शकतात.
9. Windows Update for Business & Desktop Analytics
व्यवसायासाठी विंडोज अपडेट डिफरल पॉलिसी (वैशिष्ट्य अद्यतनांसाठी 365 दिवसांपर्यंत) आणि अपडेट रिंग वापरते. डेस्कटॉप ॲनालिटिक्स अपग्रेड रेडिनेस इनसाइट्स प्रदान करण्यासाठी कॉन्फिगरेशन मॅनेजरसह समाकलित होते - उपयोजनापूर्वी अनुप्रयोग सुसंगतता समस्या ओळखणे.
Key Features
Credential Guard
व्हर्च्युअलायझेशन-आधारित सुरक्षा LSASS अलग करते - पास-द-हॅश आणि पास-द-तिकीट हल्ले प्रतिबंधित करते. TPM 2.0 आणि UEFI लॉक आवश्यक आहे.
Application Guard for Edge
वेब ब्राउझिंगसाठी हार्डवेअर-विलग कंटेनर – दुर्भावनापूर्ण वेबसाइट होस्ट OS शी तडजोड करू शकत नाहीत. क्लिपबोर्ड नियंत्रण आणि फाइल पुनर्निर्देशन धोरणांना समर्थन देते.
DirectAccess
IPsec वापरून नेहमी-चालू, पारदर्शक VPN. वापरकर्ता लॉगऑन करण्यापूर्वी कनेक्ट होते, मल्टी-साइटला समर्थन देते आणि प्रमाणपत्र प्रमाणीकरणासह समाकलित होते.
BranchCache
SMB/HTTP सामग्रीचे वितरित किंवा होस्ट केलेले कॅशिंग - शाखा कार्यालय वापरकर्त्यांसाठी WAN बँडविड्थ आणि विलंब कमी करते.
Windows Defender Application Control (WDAC)
हायपरवाइजर-संरक्षित कोड अखंडता – केवळ विश्वसनीय एक्झिक्यूटेबल, ड्रायव्हर्स आणि स्क्रिप्टला अनुमती द्या. कर्नल स्तरावर रॅन्समवेअर आणि फाइललेस मालवेअर अवरोधित करते.
AppLocker
EXE, MSI, स्क्रिप्ट आणि स्टोअर ॲप्ससाठी नियम संग्रहांसह वापरकर्ता-मोड ॲप्लिकेशन व्हाइटलिस्टिंग. चाचणीसाठी ऑडिट मोड.
Microsoft Defender for Endpoint
पूर्ण एंटरप्राइझ EDR - वर्तणूक सेन्सर्स, क्लाउड एआय, स्वयंचलित तपास, धोका आणि भेद्यता व्यवस्थापन आणि प्रतिसाद क्रिया (अलगाव, अलग ठेवणे).
BitLocker
TPM आणि PIN सह पूर्ण-डिस्क एन्क्रिप्शन. Enterprise BitLocker नेटवर्क अनलॉक (कॉर्पोरेट नेटवर्कशी कनेक्ट केलेले असताना एनक्रिप्टेड ड्राइव्हवरून बूट) आणि Microsoft BitLocker Administration and Monitoring (MBAM) एकत्रीकरण जोडते.
Windows Hello for Business
बायोमेट्रिक्स + TPM वापरून द्वि-घटक प्रमाणीकरण. की-आधारित किंवा प्रमाणपत्र-आधारित प्रमाणीकरणासह पासवर्ड पुनर्स्थित करते. Azure AD आणि ऑन-प्रिमाइसेस AD चे समर्थन करते.
Desktop Analytics
Windows वैशिष्ट्य अद्यतनांसह अनुप्रयोग सुसंगततेचे मूल्यांकन करण्यासाठी कॉन्फिगरेशन व्यवस्थापकासह एकत्रीकरण. पायलट शिफारसी आणि रोलबॅक अंतर्दृष्टी प्रदान करते.
Windows Update for Business (Advanced)
वैशिष्ट्य अद्यतने 365 दिवसांपर्यंत, गुणवत्ता अद्यतने 30 दिवसांपर्यंत स्थगित करा. अपडेट रिंगसह डिव्हाइस गट (पायलट, विस्तृत, गंभीर) तयार करा. डिलिव्हरी ऑप्टिमायझेशन (पीअर-टू-पीअर) सह समाकलित करते.
Universal Print
क्लाउड-आधारित प्रिंट सोल्यूशन - कोणत्याही प्रिंट सर्व्हरची आवश्यकता नाही. एंटरप्राइझ एडिशनमध्ये युनिव्हर्सल प्रिंट कनेक्टर्सचे व्यवस्थापन आणि प्रति-वापरकर्ता प्रिंट जॉब कोटा समाविष्ट आहे.
Microsoft Endpoint Manager (Intune + ConfigMgr) Co‑management
Seamlessly manage devices with both cloud MDM (Intune) and on‑premises SCCM. सशर्त प्रवेश, अनुपालन धोरणे आणि दूरस्थ क्रिया (वाइप, रिटायर, सिंक) सक्षम करते.
Long‑Term Servicing Channel (LTSC)
वैशिष्ट्यातील बदलांशिवाय 10 वर्षांची सुरक्षा अद्यतने – निश्चित-उद्देशीय उपकरणांसाठी (ATM, वैद्यकीय, औद्योगिक). फक्त सॉफ्टवेअर आश्वासनासह.
Credential Guard & Virtualisation‑Based Security
ऑपरेटिंग सिस्टममधील रहस्ये वेगळे करा - कर्नल मालवेअर देखील हॅश चोरू शकत नाही
How Credential Guard Works
क्रेडेन्शियल गार्ड हार्डवेअर-विलग व्हर्च्युअल मशीनमध्ये स्थानिक सुरक्षा प्राधिकरण सबसिस्टम सेवा (LSASS) चालविण्यासाठी व्हर्च्युअलायझेशन-आधारित सुरक्षा (VBS) वापरतो. या सुरक्षित VM बाहेरील Windows प्रक्रिया हॅश केलेले क्रेडेंशियल, Kerberos तिकिटे किंवा आत साठवलेल्या NTLM हॅशमध्ये प्रवेश करू शकत नाहीत. पास‑द‑हॅश आणि पास‑द-तिकीट हल्ले अशक्य होतात कारण रहस्ये कधीही वेगळ्या वातावरणात सोडत नाहीत.
Requirements & Enablement
Intel VT‑x (विस्तारित पृष्ठ सारण्यांसह) किंवा AMD‑V (रॅपिड व्हर्च्युअलायझेशन इंडेक्सिंगसह), UEFI लॉक आणि TPM 2.0 सह 64-बिट CPU आवश्यक आहे. गट धोरणाद्वारे सक्षम करा: `संगणक कॉन्फिगरेशन → प्रशासकीय टेम्पलेट → सिस्टम → डिव्हाइस गार्ड → व्हर्च्युअलायझेशन आधारित सुरक्षा चालू करा`. 'क्रेडेन्शियल गार्डसह सक्षम' वर सेट करा.
Key Protection & Remote Credential Guard
क्रेडेन्शियल गार्ड की ट्रस्ट (TPM-बाउंड की) आणि सर्टिफिकेट ट्रस्ट (स्मार्टकार्ड प्रमाणपत्रे) देखील संरक्षित करते. रिमोट क्रेडेन्शियल गार्ड हे RDP सत्रांपर्यंत वाढवते – जेव्हा एखादा वापरकर्ता रिमोट पीसीशी कनेक्ट करतो, तेव्हा त्यांचे क्रेडेन्शियल कधीही क्लायंट मशीन सोडत नाहीत. लक्ष्य पीसीला कर्बेरॉस सेवा तिकीट मिळते, वापरकर्त्याचा पासवर्ड हॅश नाही.
Performance Impact
सुरक्षित VM आणि सामान्य OS दरम्यान संदर्भ स्विच करण्यासाठी VBS एक लहान ओव्हरहेड (2-5% CPU) लादते. आधुनिक सर्व्हर-क्लास हार्डवेअरवर, बहुतेक वर्कलोडसाठी हे नगण्य आहे. काही लीगेसी ड्रायव्हर्स आणि ऍप्लिकेशन्स (विशेषतः अँटी-चीट गेम सॉफ्टवेअर) विसंगत आहेत आणि VBS चालू होण्यापासून अवरोधित करतील.
Windows Defender Application Guard (WDAG)
हार्डवेअर-पृथक ब्राउझिंग – अविश्वसनीय वेबसाइट सर्फ करण्याचा सर्वात सुरक्षित मार्ग
Hyper‑V Container per Browser Session
WDAG ने Microsoft Edge ला हलक्या वजनाच्या हायपर-V कंटेनरमध्ये लॉन्च केले. हा कंटेनर होस्ट OS ची प्रत वापरतो परंतु होस्टच्या मेमरी, स्टोरेज किंवा नेटवर्क स्टॅकमध्ये प्रवेश न करता वेगळ्या व्हर्च्युअल मशीनमध्ये चालतो (व्हर्च्युअल स्विचद्वारे). वेबसाइटने ब्राउझरचे शोषण केल्यास, आक्रमणकर्त्याला फक्त कंटेनरमध्ये प्रवेश मिळतो - होस्ट पूर्णपणे अस्पर्श राहतो.
Configuration & Policies
ग्रुप पॉलिसी किंवा इंट्यूनद्वारे सक्षम करा: `प्रशासकीय टेम्पलेट्स → विंडोज घटक → विंडोज डिफेंडर ॲप्लिकेशन गार्ड → विंडोज डिफेंडर ॲप्लिकेशन गार्ड चालू करा`. धोरणे क्लिपबोर्ड प्रवेश नियंत्रित करतात (कॉपी/पेस्ट करण्याची परवानगी आहे?), फाइल डाउनलोड रीडायरेक्शन (होस्टवर सेव्ह करा?), आणि कंटेनरमधून प्रिंटिंग. तुम्ही एंटरप्राइझ रिसोर्स ट्रस्ट देखील परिभाषित करू शकता (उदा. अंतर्गत SharePoint साइट्स सामान्य एजमध्ये उघडतात).
Performance & User Experience
कंटेनर तयार करण्यासाठी प्रथम प्रक्षेपण 5-10 सेकंद घेते; त्यानंतरचे प्रक्षेपण कॅशिंगमुळे जलद होते. आत गेल्यावर, ब्राउझिंग जवळ-नेटिव्ह असते. कंटेनर कोणताही डेटा टिकवून ठेवत नाही - कंटेनर बंद झाल्यावर कुकीज, डाउनलोड आणि ब्राउझिंग इतिहास टाकून दिला जातो. वापरकर्त्यांना ते 'ॲप्लिकेशन गार्ड' मोडमध्ये असल्याचे सूचित करणारा एक विशेष UI दिसतो.
Integration with Defender for Endpoint
कंटेनरमध्ये मालवेअर नमुना आढळल्यास, एन्डपॉइंटसाठी डिफेंडर स्वयंचलितपणे पेलोड गोळा करू शकतो आणि विश्लेषणासाठी सबमिट करू शकतो. संशयास्पद वर्तन आढळल्यास कंटेनर देखील ज्ञात-चांगल्या स्थितीवर स्वयंचलितपणे रीसेट केला जाऊ शकतो.
DirectAccess & BranchCache
वितरीत संस्थांसाठी अखंड दूरस्थ प्रवेश आणि WAN ऑप्टिमायझेशन
DirectAccess – Always On VPN
डिव्हाइसला इंटरनेट ॲक्सेस होताच DirectAccess कॉर्पोरेट नेटवर्कला एक स्वयंचलित, पारदर्शक, नेहमी-चालू IPsec बोगदा प्रदान करते. वापरकर्ता इनपुट नाही (कनेक्ट करण्यासाठी क्लिक नाही) - ते प्रमाणीकरणासाठी मशीन प्रमाणपत्रे वापरते. वापरकर्ते अंतर्गत संसाधनांमध्ये प्रवेश करतात (फाइल शेअर्स, इंट्रानेट साइट्स) जणू ते ऑन-प्रिमाइसेस आहेत, अगदी NATs आणि फायरवॉलच्या मागेही. DirectAccess देखील मल्टी-साइट तैनातीला समर्थन देते आणि नेटवर्क ॲक्सेस प्रोटेक्शन (NAP) (वारसा) सह समाकलित करते.
DirectAccess vs Traditional VPN
पारंपारिक VPN साठी वापरकर्त्याने व्यक्तिचलितपणे कनेक्ट करणे आवश्यक आहे, निष्क्रिय झाल्यानंतर डिस्कनेक्ट करू शकते आणि वापरकर्ता लॉगऑन करण्यापूर्वी कार्य करत नाही. DirectAccess लॉगिन करण्यापूर्वी आपोआप कनेक्ट होते, अनिश्चित काळासाठी कनेक्ट केलेले राहते आणि फोर्स टनेलिंग (कॉर्पोरेट नेटवर्कद्वारे मार्ग केलेले सर्व इंटरनेट ट्रॅफिक) किंवा स्प्लिट टनेलिंगला समर्थन देते. हे लॅपटॉपच्या दूरस्थ व्यवस्थापनासाठी आणि अंतर्गत संसाधनांमध्ये सतत प्रवेशासाठी आदर्श आहे.
BranchCache – Reduce WAN Traffic
BranchCache स्थानिक क्लायंट पीसी किंवा ऑन-साइट होस्ट केलेल्या कॅशे सर्व्हरवरील रिमोट फाइल सर्व्हर (SMB शेअर्स) आणि HTTP (वेब) सर्व्हरवरून सामग्री कॅश करते. डिस्ट्रिब्युटेड कॅशे मोड मध्ये, प्रत्येक क्लायंट सामग्री कॅश करतो आणि स्थानिक LAN डिस्कव्हरी (WS-Discovery) द्वारे पीअर क्लायंटसोबत शेअर करतो. होस्टेड कॅशे मोड मध्ये, एक समर्पित Windows सर्व्हर मध्यवर्ती कॅशे म्हणून काम करतो. त्याच फाईलसाठी त्यानंतरच्या विनंत्या स्थानिक कॅशेमधून दिल्या जातात, ज्यामुळे विलंबता आणि WAN वापर कमी होतो.
BranchCache Security
SHA-256 वापरून डेटा एन्क्रिप्ट केलेला आणि अखंडता तपासला जातो. क्लायंटना त्यांनी विनंती केलेल्या फाईलचे फक्त भाग प्राप्त होतात आणि अनधिकृत पुनर्बांधणी टाळण्यासाठी कॅशेचे विभाजन केले जाते. BranchCache HTTP आणि SMB प्रोटोकॉलवर कार्य करते, Windows File Server सह अखंडपणे एकत्रित केले जाते.
Windows Defender Application Control (WDAC) & AppLocker
शून्य-विश्वास अनुप्रयोग व्हाइटलिस्टिंग – फक्त मंजूर सॉफ्टवेअर चालते
WDAC – Hypervisor‑Protected Code Integrity
WDAC (पूर्वीचे डिव्हाइस गार्ड) प्रशासकांना नेमक्या कोणत्या एक्झिक्युटेबल फाइल्स, ड्रायव्हर्स, स्क्रिप्ट्स आणि MSI विश्वसनीय आहेत हे निर्दिष्ट करण्याची परवानगी देते. नियम फाइल पथ, प्रकाशक (डिजिटल प्रमाणपत्र) किंवा फाइल हॅशवर आधारित आहेत. धोरण हायपरवाइजर (HVCI) द्वारे लागू केले जाते आणि कर्नल-मोड मालवेअरद्वारे बायपास केले जाऊ शकत नाही. WDAC केवळ ज्ञात मालवेअरच नाही तर हल्लेखोर वापरत असलेल्या बायनरी (उदा. PowerShell, wmic) देखील ब्लॉक करू शकते.
WDAC vs AppLocker
AppLocker हे एंटरप्राइझ (आणि प्रो) मध्ये उपलब्ध एक वापरकर्ता-मोड धोरण समाधान आहे – व्यवस्थापित करणे सोपे आहे परंतु कर्नल ड्रायव्हर्सद्वारे त्यास बायपास केले जाऊ शकते. WDAC एक कर्नल-मोड, हायपरवाइजर-संरक्षित उपाय आहे – खूप मजबूत परंतु काळजीपूर्वक नियोजन आणि चाचणी आवश्यक आहे. बऱ्याच संस्था दोन्ही वापरतात: गंभीर सिस्टम संरक्षणासाठी WDAC, वापरकर्ता-ॲप निर्बंधांसाठी AppLocker.
Creating WDAC Policies
संदर्भ PC वर `ConfigCI` PowerShell मॉड्यूल वापरा. `New-CIPolicy` सिस्टीम स्कॅन करते आणि सध्या स्थापित सर्व ऍप्लिकेशन्स आणि ड्रायव्हर्सची अनुमत सूची तयार करते. `ConvertFrom-CIPolicy` बायनरी फॉरमॅटमध्ये रूपांतरित करते. ग्रुप पॉलिसी किंवा MDM द्वारे तैनात करा. प्रत्यक्षात ब्लॉक न करता काय ब्लॉक केले जाईल हे लॉग करण्यासाठी तुम्ही सुरुवातीला ऑडिट मोड मध्ये चालू शकता.
AppLocker Rulesets for Enterprises
AppLocker पाच नियम संग्रहांना समर्थन देते: एक्झिक्युटेबल (.exe, .com), Windows Installers (.msi, .msp), स्क्रिप्ट्स (.ps1, .bat, .vbs, .js), DLLs आणि पॅकेज केलेले ॲप्स (स्टोअर ॲप्स). प्रत्येक वापरकर्ता गटासाठी धोरणे लागू केली जाऊ शकतात. उदाहरणार्थ: सर्व वापरकर्त्यांना `C:\Program Files` आणि `C:\Program Files (x86)` वरून प्रोग्राम चालवण्यास अनुमती द्या, परंतु `%USERPROFILE%\Downloads` किंवा `%TEMP%` वरून चालण्यास नकार द्या.
Microsoft Defender for Endpoint (formerly ATP)
स्वयंचलित तपासणी आणि प्रतिसादासह एंटरप्राइझ ईडीआर
Next‑Generation Protection
वर्तणूक सेन्सर, क्लाउड एआय आणि मशीन लर्निंग मॉडेल प्रक्रिया वर्तन, नेटवर्क कनेक्शन आणि नोंदणी बदलांचे विश्लेषण करतात. अटॅक सरफेस रिडक्शन नियम (उदा. ऑफिसला चाइल्ड प्रोसेस बनवण्यापासून ब्लॉक करा, ईमेल क्लायंटमधून एक्झिक्यूटेबल कंटेंट ब्लॉक करा) सामान्य इन्फेक्शन व्हेक्टर्सना प्रतिबंध करा.
Endpoint Detection & Response (EDR)
एंडपॉइंट्समध्ये खोल दृश्यमानता: संशयास्पद वर्तणुकीबद्दल सूचना, मशीन्सवरील तपासणी आणि प्रक्रियेच्या झाडांची टाइमलाइन दृश्ये. सिक्युरिटी ऑपरेशन सेंटर्स (एसओसी) 6 महिन्यांपर्यंत (परवान्यावर अवलंबून) कच्च्या टेलिमेट्रीची चौकशी करू शकतात.
Automated Investigation & Remediation
जेव्हा ॲलर्ट ट्रिगर केला जातो, तेव्हा एन्डपॉईंटसाठी डिफेंडर आपोआप घटनेची चौकशी करू शकतो: मूळ कारण निश्चित करा, प्रभावित मशीन नेटवर्कमधून वेगळे करा (Microsoft Intune एकत्रीकरण वापरून), आणि दुर्भावनापूर्ण कलाकृती (फाईल्स, रेजिस्ट्री की, शेड्यूल केलेले कार्य) काढून टाका.
Threat & Vulnerability Management (TVM)
TVM सतत गहाळ सुरक्षा अद्यतने, चुकीची कॉन्फिगरेशन (उदा. कमकुवत फायरवॉल नियम) आणि असुरक्षित सॉफ्टवेअर आवृत्त्या शोधते. हे जोखीम-आधारित प्राधान्य प्रदान करते - शोषणाची शक्यता आणि मालमत्तेच्या प्रदर्शनावर आधारित 'पॅच फर्स्ट' शिफारसी.
Long‑Term Servicing Channel (LTSC)
वैशिष्ट्यातील बदलांशिवाय 10 वर्षांची सुरक्षा अद्यतने – निश्चित-उद्देशीय उपकरणांसाठी
What is LTSC?
दीर्घकालीन सर्व्हिसिंग चॅनल (पूर्वीचे LTSB) ही Windows 10 Enterprise ची एक विशेष आवृत्ती आहे जी वैशिष्ट्य अद्यतने प्राप्त करत नाही. यात 10 वर्षांपर्यंत (5 वर्षे मुख्य प्रवाहात + 5 वर्षे विस्तारित) फक्त सुरक्षा आणि गुणवत्ता अद्यतने समाविष्ट आहेत. कार्यक्षमता कधीही बदलू नये अशा उपकरणांसाठी आदर्श: ATM, वैद्यकीय उपकरणे (MRI, CT स्कॅनर), औद्योगिक नियंत्रण प्रणाली (SCADA), किओस्क आणि एम्बेडेड सिस्टम.
What’s Missing in LTSC
LTSC Microsoft Edge (केवळ लीगेसी आवृत्ती, Chromium नाही), Windows Store, Cortana, Inbox ॲप्स (मेल, कॅलेंडर, कॅल्क्युलेटर), OneDrive आणि टाइमलाइन आणि सेट सारख्या आधुनिक वैशिष्ट्यांशिवाय पाठवते. हे Windows 10 च्या अर्ध-वार्षिक वैशिष्ट्य अद्यतनांना देखील समर्थन देत नाही (उदा. 21H2, 22H2). हे LTSC नवीन हार्डवेअरशी विसंगत बनवते (ड्रायव्हर्सना नवीन विंडोज बिल्डची आवश्यकता असू शकते).
Licensing & Availability
LTSC सक्रिय सॉफ्टवेअर ॲश्युरन्स (वॉल्यूम लायसन्सिंग) किंवा Microsoft 365 E3/E5 (तेथे LTSC नाही – तुम्हाला SA आवश्यक आहे) द्वारे फक्त उपलब्ध आहे. प्रत्येक नवीन LTSC रिलीझ त्याच्या रिलीज तारखेपासून 10 वर्षांसाठी समर्थित आहे (उदा., Windows 10 Enterprise LTSC 2019 2029 पर्यंत समर्थित आहे, LTSC 2021 2031 पर्यंत). तुम्ही क्लीन इन्स्टॉल केल्याशिवाय एका LTSC रिलीझमधून दुसऱ्यामध्ये अपग्रेड करू शकत नाही.
LTSC vs Semi‑Annual Channel (SAC)
बऱ्याच एंटरप्राइझ डिव्हाइसेसनी अर्ध-वार्षिक चॅनेल (SAC) वापरावे – वर्षातून दोनदा नवीन वैशिष्ट्ये मिळवा. LTSC हे गंभीर पायाभूत सुविधांसाठी एक विशेष साधन आहे जे UI बदल सहन करू शकत नाही किंवा वैशिष्ट्य अद्यतनांसाठी रीबूट करू शकत नाही. Microsoft सामान्य हेतूच्या डेस्कटॉप, ऑफिस किंवा डेव्हलपमेंट मशीनसाठी LTSC वापरण्याविरुद्ध सल्ला देते.
Pros
- ✓अतुलनीय सुरक्षा – क्रेडेन्शियल गार्ड, ऍप्लिकेशन गार्ड, WDAC आणि एंडपॉईंटसाठी डिफेंडर सखोल संरक्षण प्रदान करतात
- ✓DirectAccess वापरकर्त्याला तोंड देणारा VPN काढून टाकते - अखंड दूरस्थ प्रवेश व्यवस्थापन
- ✓BranchCache फाईल सर्व्हर आणि वेब ॲप्ससाठी शाखा कार्यालयाचा अनुभव नाटकीयरित्या सुधारते
- ✓संपूर्ण उपकरण व्यवस्थापन – Intune, ConfigMgr, गट धोरण आणि सह-व्यवस्थापन
- ✓व्यवसायासाठी विंडोज अपडेट १-वर्षाच्या स्थगितीसह - तुमच्या शेड्यूलवर योजना अपडेट
- ✓नियामक किंवा स्थिरता-गंभीर वातावरणासाठी दीर्घकालीन सर्व्हिसिंग चॅनल (LTSC)
- ✓AppLocker + WDAC - कर्नल ते वापरकर्ता मोडवर शून्य-विश्वास अनुप्रयोग धोरणांची अंमलबजावणी करा
- ✓एंडपॉइंटसाठी मायक्रोसॉफ्ट डिफेंडर तृतीय-पक्ष एजंटशिवाय एंटरप्राइझ ईडीआर प्रदान करतो
- ✓डेस्कटॉप विश्लेषण वास्तविक-जागतिक सुसंगतता डेटासह अपग्रेड जोखीम कमी करते
- ✓रिमोट क्रेडेन्शियल गार्ड RDP सत्रांदरम्यान क्रेडेन्शियलचे संरक्षण करते
- ✓युनिव्हर्सल प्रिंट प्रिंट सर्व्हरची जटिलता कमी करते
- ✓S मोडमध्ये Windows 10 ला सपोर्ट करते – अति-प्रतिबंधित वातावरणांसाठी केवळ Microsoft Store ॲप्ससाठी लॉक केलेले
Cons
- ✗किरकोळ विक्रीसाठी उपलब्ध नाही - व्हॉल्यूम परवाना करार आवश्यक आहे (Microsoft 365 E3/E5 किंवा सॉफ्टवेअर आश्वासन)
- ✗प्रो पेक्षा जास्त किंमत - प्रति-वापरकर्ता/प्रति-डिव्हाइस सदस्यता शुल्क (Microsoft 365 चा भाग म्हणून प्रति वापरकर्ता/महिना सामान्यतः $7–$14)
- ✗जटिलता – अनेक वैशिष्ट्यांसाठी (WDAC, क्रेडेन्शियल गार्ड, ऍप्लिकेशन गार्ड) काळजीपूर्वक नियोजन आणि चाचणी आवश्यक आहे
- ✗हार्डवेअर आवश्यकता - VBS वैशिष्ट्यांसाठी TPM 2.0, UEFI आणि अलीकडील CPUs आवश्यक आहेत; जुनी उपकरणे त्यांना समर्थन देत नाहीत
- ✗अनुप्रयोग सुसंगतता समस्या – WDAC कायदेशीर सॉफ्टवेअर ब्लॉक करू शकते; क्रेडेंशियल गार्ड काही तृतीय-पक्ष प्रमाणीकरण मॉड्यूल खंडित करतो
- ✗परफॉर्मन्स ओव्हरहेड – VBS (क्रेडेन्शियल गार्ड, HVCI) 2-8% ने कामगिरी कमी करू शकते, उच्च-I/O किंवा गेमिंग वर्कलोडमध्ये लक्षात येण्याजोगे
- ✗DirectAccess ला Windows Server पायाभूत सुविधा आवश्यक आहे (DirectAccess सर्व्हर, PKI, DNS, आणि IPv6 संक्रमण तंत्रज्ञान)
- ✗BranchCache साठी Windows Server फाइल सर्व्हर आणि काळजीपूर्वक कॅशे आकारमान आवश्यक आहे
- ✗सपोर्ट 14 ऑक्टोबर 2025 रोजी संपेल – सर्व Windows 10 आवृत्त्यांप्रमाणेच (जरी विशिष्ट प्रकाशनांसाठी LTSC 2031 ला जाते)
- ✗ग्राहक वैशिष्ट्ये नाहीत – Cortana, Windows Store (अक्षम केले जाऊ शकते), ग्राहक क्लाउड अनुभव धोरणाद्वारे बंद केले जातात (त्याची अपेक्षा करत असलेल्या वापरकर्त्यांना गोंधळात टाकू शकते)
- ✗LTSC मध्ये आधुनिक ब्राउझर आणि ॲप स्टोअरचा अभाव आहे - वर्कअराउंडशिवाय मायक्रोसॉफ्ट टीम्स, नवीन एज किंवा स्टोअर ॲप्स स्थापित करू शकत नाहीत
Use Cases
Hidden & Useful Shortcuts
Master Windows 10 with these time‑saving keyboard shortcuts
Open Start Menu (Cortana disabled by default on Enterprise)
Open Action Centre
Show desktop
Open File Explorer
Open Settings
Lock workstation – secure against physical access
Open Run – use `secpol.msc` (local security), `gpedit.msc` (group policy), `wdagtool.exe` (Application Guard CLI)
Open Quick Link menu – includes Windows Terminal (if installed), Disk Management, Event Viewer
Open Search (Cortana disabled but search works)
Task View – virtual desktops (useful for separating classified and unclassified work)
New virtual desktop
Close current virtual desktop
Switch between virtual desktops
Open Game Bar (if not removed by policy)
Open Snip & Sketch for custom screenshots
Open clipboard history (if enabled by policy)
Emoji panel
Open Task Manager – can view VBS status (Performance → Virtualisation)
Open System Properties (shows 'Windows 10 Enterprise')
Open Connect (wireless displays) – may be disabled via policy
Open dictation (if not disabled)
Check TPM status (required for Credential Guard)
System Information – see 'Virtualisation‑Based Security' status
Advanced user account management
Computer Management – Local Users, Disk Management, Services
Windows Firewall with Advanced Security
Technical Specifications
| Architecture | 64‑bit (x86‑64) – 32‑bit available but deprecated; LTSC includes 32‑bit |
| Processor | 1 GHz or faster with 2 or more cores; supports up to 2 physical sockets (like Pro, not Workstation) |
| RAM | 4 GB minimum; maximum 2 TB for 64‑bit (same as Pro); Hyper‑V and VBS require additional memory overhead (~500 MB-2 GB) |
| Storage | 64 GB or larger drive (SSD strongly recommended); BitLocker requires TPM and UEFI |
| Graphics | DirectX 12 compatible with WDDM 2.0 driver; Application Guard requires GPU with Hyper‑V integration (any modern GPU) |
| Display | Minimum 800x600; recommended 1920x1080 or higher |
| TPM | TPM 2.0 required for Credential Guard and Device Guard; TPM 1.2 for BitLocker only |
| Virtualisation | Intel VT-x with EPT / AMD-V with RVI required for VBS, Credential Guard, Application Guard, and Hyper‑V |
| Secure Boot | Required for VBS features; strongly recommended for all Enterprise deployments |
| Memory for VBS | At least 8 GB RAM recommended if enabling Credential Guard or Application Guard (4 GB minimum, but performance suffers) |
| Internet | Required for initial setup, updates, DirectAccess, and Defender for Endpoint cloud features |
| DirectAccess Infrastructure | Requires Active Directory, PKI (smart card or machine certificates), and DirectAccess server running Windows Server 2016 or later |
Windows 10 Enterprise vs Windows 10 Pro vs Windows 10 Education
| Feature | enterprise | pro | education |
|---|---|---|---|
| Availability | Volume licensing (M365 E3/E5, SA) | Retail / OEM | Academic VL / Azure for Education (free) |
| Credential Guard | Yes | No | Yes (same as Enterprise) |
| Application Guard for Edge | Yes | No (consumer version only) | Yes |
| DirectAccess | Yes | No | Yes |
| BranchCache | Yes | No | Yes |
| WDAC (Hypervisor Code Integrity) | Yes (fully configurable) | Yes (but limited policies) | Yes (full) |
| AppLocker | Yes (full) | Yes (via GPO) | Yes |
| Microsoft Defender for Endpoint (ATP) | Yes (requires separate licence) | No | Yes (through M365 A5) |
| Long‑Term Servicing Channel (LTSC) | Yes (with SA) | No | No (only via VL, not free) |
| Desktop Analytics | Yes (with ConfigMgr) | No | Yes (with ConfigMgr) |
| Universal Print | Yes (full management) | Basic (client only) | Yes (with A3/A5) |
| Remote Desktop Host | Yes | Yes | Yes |
| Hyper‑V | Yes | Yes | Yes |
| Group Policy / MDM | Full (Intune + ConfigMgr co‑management) | Local + domain | Full (with appropriate licences) |
| Cortana | Disabled by default (can enable) | Enabled | Disabled by default |
| Max RAM (64‑bit) | 2 TB | 2 TB | 2 TB |