awesome windows domain hardening下載 - awesome windows domain hardening源代碼下載

awesome windows domain hardening

其他源碼

1.0.0

下載

很棒的Windows域硬化

為Windows提供了精心策劃的安全性硬化技術的列表。

由Gepeto42和Paulwebsec創建，但受到Pyrotek3 Research的啟發！

概括

本文檔總結了與Pyrotek和Harmj0y的Derbycon演講有關的信息，名為“ 111攻擊公司黑客的Evilcorp解剖學”。視頻和幻燈片可在下面提供。

它還結合了防止其他攻擊所需的硬化技術，包括Gepeto42和Joeynoname在Thotcon 0x7 Talk中討論的技術。

缺少什麼？創建拉動請求並添加。

初始立足

不應該以升級操作系統為代價來實現硬化的努力。
將EMET部署到工作站（2018年7月的生產線結束 - 考慮保留Windows 7的EMET，但優先升級到Windows 10和Edge）。
使用applocker阻止在用戶位置（Home DIR，Profile Path，Temp等）運行的Exec內容。
強化DMA攻擊？在這裡，您和Synacktiv的一篇有趣的文章有關DMA攻擊
通過Appleocker或受約束的語言模式管理PowerShell執行。
啟用PowerShell記錄（V3+）和命令過程記錄。
從Internet下載的內容上的Block Office宏（Windows＆Mac）。
部署安全工具，以監視可疑行為。考慮使用WEF將有趣的事件轉發到您的SIEM或記錄系統。
通過電子郵件/下載阻止/限製附件來限制功能：
- 可執行文件擴展名：
- (ade, adp, ani, bas, bat, chm, cmd, com, cpl, crt, hlp, ht, hta, inf, ins, isp, job, js, jse, lnk, mda, mdb, mde, mdz, msc, msi, msp, mst, pcd, pif, reg, scr, sct, shs, url, vb, vbe, vbs, wsc, WSF，WSH，EXE，PIF等）
- 支持宏（DOCM，XLSM，PPTM等）的辦公文件
- 確保這些文件類型被阻止。
- 塊被忘記/未使用的Excel文件擴展名：IQY，SLK
更改Windows腳本到記事本的任何內容的默認程序（首先測試！）
- BAT，JS，JSE，VBE，VBS，WSF，WSH，HTA，VBS等。
- GPO：用戶配置 - >首選項 - >控制面板設置 - >文件夾選項 - >與
- 動作：替換
- 文件擴展名：（擴展）
- 相關程序：％windir％ system32 Notepad.exe
- 設置為默認值：啟用。
使用PackagerPrompt註冊表設置在辦公室中阻止OLE軟件包的激活

偵察

部署Windows 10並限製本地組枚舉。
將工作站限製到工作站通信。
提高敏感GPO的安全性。
評估行為分析的部署（Microsoft ATA）。

獵犬“預防”：

使用NetCease防止無私人的會話枚舉。
使用SAMRI10防止非特權的本地管理員集合（Windows 10 1607及以上已經存在此修復程序）。

橫向運動

配置GPO，以防止網絡身份驗證的本地帳戶（KB2871997）。除此KB外，《反見》文章還建議註冊表中的另外兩個更改：

設置HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsaTokenLeakDetectDelaySecs = 30。這將在30秒後清除記錄的用戶的憑據（模仿Windows 8.1+的行為）
set HKEY_LOCAL_MACHINESystemCurrentControlSetControlSecurityProvidersWDigestUseLogonCredential = 0。這將防止Windows 8.1+的默認設備存儲在存儲器中。