WindowsBaselineAssistant
介绍
WindowsBaselineAssistant(WBA)是一个用于检测和加固Windows安全基线的辅助工具,借助此工具你可以免去繁琐的手工检测和加固操作,实现一键检测和加固你的Windows安全基线,并可以导出检测或加固结果,解放你的双手~
工具运行要求
-
.Net Framework 4.0及以上
项目依赖库
-
SunnyUI 3.6.3
-
SunnyUI.Common 3.6.3
-
System.ValueTuple 4.5.0
-
NPOI 2.5.1
自定义规则
WBA支持自定义规则以适应不同环境下的检测需求
WBA的所有规则位于item.xml文件中,其中检测规则分为registry和secedit两种,判定规则分为fixed,enum,greaternumber,lessnumber,array,equals六种.
规则格式
registry(读取注册表)
<item><name>检查源路由配置</name><description>源路由攻击有源地址欺骗、IP欺骗等,为了提高系统的可靠性,需要检查是否启用正确配置源路由攻击保护.</description><type>registry</type><registry>HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters</registry><regitem>DisableIPSourceRouting</regitem><standard>2</standard><assessment>enum</assessment><valuetype>dword</valuetype></item>
secedit(读取config.cfg信息)
<item><name>检查密码最长使用期限</name><description>长期修改密码会提高密码暴露风险,所以为了提高系统的保密性.需要检查密码最长使用期限.</description><type>secedit</type><mark>MaximumPasswordAge</mark><standard>90</standard><assessment>greaternumber</assessment></item>
<item><manual>1<manual></item>
ignore: 用于标识检测项为已忽略
<item><ignore>1<ignore></item>
判定规则
数据类型
例
如现在要检测重新传输的TCP连接阈值
检测类型为检索注册表 检索的注册表路径为HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip\Parameters
检测项为TcpMaxHalfOpenRetried
标准值为400
数据类型为DWord
检测值要小于此值时判定符合
<item><name>检查处于SYN_RCVD 状态下,且至少已经进行了一次重新传输的TCP连接阈值</name><description>xxxxxx</description><type>registry</type><registry>HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesTcpipParameters</registry><regitem>TcpMaxHalfOpenRetried</regitem><standard>400</standard><assessment>lessnumber</assessment><valuetype>dword</valuetype></item>
下载地址：https://github.com/DeEpinGh0st/WindowsBaselineAssistant
文章来源：Hack之道
黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！
如侵权请私聊我们删文
END
原文始发于微信公众号（黑白之道）：Windows安全基线核查加固助手
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论