Windows安全基線核查加固助手

作者：simeon 2024-03-20 15:25:43

我記得我當初寫《網(wǎng)絡(luò)攻防實戰(zhàn)研究漏洞利用與提權(quán)》時曾經(jīng)單獨介紹過MBSA用來查看系統(tǒng)漏洞修補情況，在微軟官方搜索了半天，都沒有找到該軟件，國內(nèi)有一些網(wǎng)站提供該軟件下載，處于安全考慮，沒有下載到本地進行測試，意外發(fā)現(xiàn)一款小工具可以對Windows安全基線進行檢查和加固，其實現(xiàn)原來主要對Windows的注冊表值進行檢測，然后進行加固。

本來是想看看MBSA（Microsoft Baseline Security Analyzer），發(fā)現(xiàn)微軟已經(jīng)早就不更新了，我記得我當初寫《網(wǎng)絡(luò)攻防實戰(zhàn)研究漏洞利用與提權(quán)》時曾經(jīng)單獨介紹過MBSA用來查看系統(tǒng)漏洞修補情況，在微軟官方搜索了半天，都沒有找到該軟件，國內(nèi)有一些網(wǎng)站提供該軟件下載，處于安全考慮，沒有下載到本地進行測試，意外發(fā)現(xiàn)一款小工具可以對Windows安全基線進行檢查和加固，其實現(xiàn)原來主要對Windows的注冊表值進行檢測，然后進行加固。軟件名稱WindowsBaselineAssistant，下載地址https://github.com/DeEpinGh0st/WindowsBaselineAssistant。軟件是開源軟件，可以直接編譯，也可以下載編譯后的程序

https://github.com/DeEpinGh0st/WindowsBaselineAssistant/releases/download/v1.2.1

/WindowsBaselineAssistant-v1.2.1.zip。

一、運行WindowsBaselineAssistant

雖然是開源的，下載到本地后解壓后一共有三個文件，如圖1所示，通過火絨殺毒軟件對其殺毒，無病毒提示。

圖1 程序文件情況

軟件在Windows10下可以直接運行，Net Framework 4.0及以上，編譯則需要一些依賴項：SunnyUI 3.6.3、SunnyUI.Common 3.6.3、System.ValueTuple 4.5.0、NPOI 2.5.1、Costura.Fody 4.1.0。

1.檢測規(guī)則

如現(xiàn)在要檢測重新傳輸?shù)腡CP連接閾值

檢測類型為檢索注冊表檢索的注冊表路徑為HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\services\\Tcpip\\Parameters

檢測項為TcpMaxHalfOpenRetried

標準值為400

數(shù)據(jù)類型為DWord

檢測值要小于此值時判定符合

實現(xiàn)為：

<item>
  <name>檢查處于SYN_RCVD 狀態(tài)下,且至少已經(jīng)進行了一次重新傳輸?shù)腡CP連接閾值</name>
  <description>xxxxxx</description>
  <type>registry</type>
  <registry>HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip\Parameters</registry>
  <regitem>TcpMaxHalfOpenRetried</regitem>
  <standard>400</standard>
  <assessment>lessnumber</assessment>
    <valuetype>dword</valuetype>
</item>

直接運行WindowsBaselineAssistant.exe，運行效果如圖2所示。