Windows Secure Host Baseline
1.0.0
Windows Secure Host Baseline（SHB）は、すべてのサイズの組織が消費できるフレームワークを使用して、Windows 10の最新リリースを展開する際にDODを支援するための自動化された柔軟なアプローチを提供します。
DOD CIOは、2015年11月20日に、戦闘員、サービス、機関、フィールドアクティビティ（CC/S/AS）を指示するメモを発行し、2017年1月末までに展開を完了する目的で、それぞれの組織全体でWindows 10オペレーティングシステムを迅速に展開するよう指示しました。 2017年1月末までにホストベースラインを保護します。[1]
正式な製品評価は、Windows 10への移行もサポートしています。NationalInformation Assurance Partnership（NIAP）およびNational Institute of Standards and Technology（NIST）は、国家安全保障システムで使用する商用IT製品の評価を監督しています。
安全なホストベースラインを使用することは、NSA情報保証のトップ10緩和戦略の1つです。 DOD Secure Host Baselineは、アプリケーションホワイトリストの使用、アンチエクスプロイテーション機能の有効化、最新バージョンのオペレーティングシステムとアプリケーションの使用など、他のIADトップ10の緩和戦略も例示しています。
このリポジトリは、Groupポリシーオブジェクト、コンプライアンスチェック、およびDODセキュアーホストベースライン（SHB）Framework for Windows 10をホストしています。防衛産業ベースの一部である国家セキュリティシステムの管理者は、Windows 10のCAC（CAC）にアクセスする必要があるDOD SHBフレームワークへのアクセスの代わりにこのリポジトリを活用できます。
質問またはコメントは、リポジトリの問題トラッカーに提出するか、CACまたはPIVスマートカードをアクセスする必要があるソフトウェアForgeに関するWindows 10 Secure Host Baseline Project Forumsに投稿できます。
SHBでユーザーを支援するためのスクリプトは、各コンポーネントのスクリプトサブフォルダーにあります。これまでに使用できるスクリプト：
Nessus（別名DODのACA）監査ファイルはこのリポジトリに含まれています。コンプライアンスチェックは以下を利用できます。
ドメインまたはスタンドアロン環境でコンプライアンスチェックを実行するための手順は、コンプライアンスページにあります。
ツールの使用を開始するには：
現在のコードをダウンロードフォルダーにダウンロードします。デフォルトでは、 Windows-Secure-Host-Baseline-Master.Zipとして保存されます。
PowerShellコマンドは、少なくともPowerShell 3.0がインストールされているシステムから実行することを目的としています。 PowerShellは、コマンドを実行するように構成する必要がある場合があります。
ユーザーは、デフォルトのPowerShell実行ポリシーを変更する必要がある場合があります。これは、さまざまな方法で達成できます。
ユーザーは、PowerShellがデフォルトで実行されるのをブロックするインターネットからダウンロードされたものとしてマークされるため、ダウンロードしたZIPファイルのブロックを解除する必要があります。 PowerShellプロンプトを開き、次のコマンドを実行して、ZIPファイルのPowerShellコードのブロックを解除します。
cd $env:USERPROFILEcd DownloadsUnblock-File -Path '.Windows-Secure-Host-Baseline-master.zip'ファイルを解除せずにzipファイル内でPowerShellスクリプトを実行すると、次の警告が発生します。
セキュリティ警告あなたが信頼するスクリプトのみを実行します。インターネットからのスクリプトは便利ですが、このスクリプトはコンピューターに害を及ぼす可能性があります。このスクリプトを信頼する場合は、Unblock-File cmdletを使用して、この警告メッセージなしでスクリプトを実行できるようにします。 c： uses user downloads script.ps1を実行しますか？ [d]一度[s] suspend [？]ヘルプを実行しないでください（デフォルトは「d」）：
ダウンロードされたzipファイルが抽出される前にブロックされていない場合、zipファイルにある個々のpowershellファイルはすべてブロック解除する必要があります。コードセクションのロードでステップ5の後に次のコマンドを実行する必要があります。
Get-ChildItem -Path '.Windows-Secure-Host-Baseline' -Recurse -Include '*.ps1','*.psm1' | Unblock-File -Verbose
使用方法の詳細については、Unblock-Fileコマンドのドキュメントを参照してください。
次に、ダウンロードしたzipファイルを抽出し、ポリシーの適用に使用されるPowerShellコードをロードします。
Import-Module -Name .Windows-Secure-Host-BaselineScriptsGroupPolicy.psm1グループポリシーPowerShellモジュールにあるInvoke-Applysecurehostbaselineコマンドは、ポリシーを適用するための主要なコマンドです。デフォルトでは、このコマンドは次のとおりです。
コマンドのオプションは次のとおりです。
Type Man Invoke-ApplySecureHostBaseLine PowerShellのプロンプトで、より多くのヘルプと例を求めて、リポジトリの問題トラッカーに質問を提出します。
SHBポリシーをスタンドアロンシステムに適用する場合（例：ドメインに結合されていない）、このMicrosoftブログ投稿からLGPOツールをダウンロードして、実行可能ファイルを抽出します。
Invoke-ApplySecureHostBaseline -Path '.Windows-Secure-Host-Baseline' -PolicyNames 'Adobe Reader','AppLocker','Certificates','Chrome','Internet Explorer','Office 2013','Office 2016','Windows','Windows Firewall' -ToolPath '.LGPOlgpo.exe'
SHBポリシーをドメインに適用する場合、グループポリシーオブジェクトはActive Directoryにのみロードされることに注意してください。ポリシーはOUSにリンクされていないため、設定が自動的に影響を与えません。
Invoke-ApplySecureHostBaseline -Path '.Windows-Secure-Host-Baseline' -PolicyNames 'Adobe Reader','AppLocker','Certificates','Chrome','Internet Explorer','Office 2013','Office 2016','Windows','Windows Firewall'
ポリシーが適用されたら（およびドメインケースの適切なOUSにリンクされています）、ポリシーへのコンプライアンスを確認する方法については、コンプライアンスページを参照してください。
ライセンスを参照してください。
免責事項を参照してください。
