Windows安全基线核查加固助手 更新1.2.3

1►

工具介绍

WindowsBaselineAssistant(WBA)是一个用于检测和加固Windows安全基线的辅助工具,借助此工具你可以免去繁琐的手工检测和加固操作,实现一键检测和加固你的Windows安全基线,并可以导出检测或加固结果,解放你的双手~

2►

工具截图

3►

运行要求

4►

自定义规则

WBA支持自定义规则以适应不同环境下的检测需求

WBA的所有规则位于item.xml文件中,其中检测规则分为registry和secedit两种,判定规则分为fixed,enum,greaternumber,lessnumber,array,equals六种.

规则格式

registry(读取注册表)

<item> <name>检查源路由配置</name> <description>源路由攻击有源地址欺骗、IP欺骗等,为了提高系统的可靠性,需要检查是否启用正确配置源路由攻击保护.</description> <type>registry</type> <registry>HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters</registry> <regitem>DisableIPSourceRouting</regitem> <standard>2</standard> <assessment>enum</assessment> <valuetype>dword</valuetype></item>

secedit(读取config.cfg信息)

<item> <name>检查密码最长使用期限</name> <description>长期修改密码会提高密码暴露风险,所以为了提高系统的保密性.需要检查密码最长使用期限.</description> <type>secedit</type> <mark>MaximumPasswordAge</mark> <standard>90</standard> <assessment>greaternumber</assessment></item>

附加标识

判定规则

数据类型

例

如现在要检测重新传输的TCP连接阈值

检测类型为检索注册表   检索的注册表路径为HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\services\\Tcpip\\Parameters检测项为TcpMaxHalfOpenRetried标准值为400数据类型为DWord检测值要小于此值时判定符合

<item> <name>检查处于SYN_RCVD 状态下,且至少已经进行了一次重新传输的TCP连接阈值</name> <description>xxxxxx</description> <type>registry</type> <registry>HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip\Parameters</registry> <regitem>TcpMaxHalfOpenRetried</regitem> <standard>400</standard> <assessment>lessnumber</assessment> <valuetype>dword</valuetype></item>

5►

工具获取

https://github.com/DeEpinGh0st/WindowsBaselineAssistant

文章来源：李白你好

黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！

如侵权请私聊我们删文

END