Windows工作站免受現(xiàn)代的網(wǎng)絡(luò)是一件非常具有挑戰(zhàn)性的事情。 似乎每個(gè)星期者們總有一些新的方法用來入侵系統(tǒng)并獲取用戶憑據(jù)。Windows工作站免受現(xiàn)代的網(wǎng)絡(luò)是一件非常具有挑戰(zhàn)性的事情。 似乎每個(gè)星期者們總有一些新的方法用來入侵系統(tǒng)并獲取用戶憑據(jù)。
Windows工作站免受現(xiàn)代的網(wǎng)絡(luò)是一件非常具有挑戰(zhàn)性的事情。 似乎每個(gè)星期者們總有一些新的方法用來入侵系統(tǒng)并獲取用戶憑據(jù)。 創(chuàng)建一個(gè)非常安全的Windows工作站的最佳方法是下載Microsoft安全合規(guī)管理器(當(dāng)前版本為4.0)，并在要為其創(chuàng)建安全基線GPO的操作系統(tǒng)版本下選擇“安全合規(guī)”選項(xiàng)。 查看選項(xiàng)，根據(jù)需要進(jìn)行更改，并導(dǎo)出為GPO備份(文件夾)。 創(chuàng)建新的并且為空的GPO然后從SCM GPO備份中導(dǎo)入設(shè)置。 然后將新創(chuàng)建的GPO應(yīng)用到你的工作站。 如果你已配置為最小的安全設(shè)置，這將改進(jìn)你的工作站安全基線，特別是如果你還沒有創(chuàng)建現(xiàn)有的工作站GPO。 作為開發(fā)Windows工作站安全基線GPO的一部分，有幾個(gè)大型組織花費(fèi)了一些時(shí)間和確定了什么才是“安全”： 如果你已經(jīng)使用一個(gè)GPO配置了工作站的安全性，你還可以使用Microsoft的策略分析器將你現(xiàn)有的GPO與SCM生成的“安全合規(guī)性”的GPO進(jìn)行比較。 除了標(biāo)準(zhǔn)的“Windows安全事件”之外，還存在許多遺留和經(jīng)常未使用的組件，它們從早期的Windows版本中遺留下來，而現(xiàn)有的版本通常不再需要，但由于考慮到兼容性的原因而繼續(xù)保留。 部署Microsoft AppLocker以鎖定可以在系統(tǒng)上運(yùn)行的文件。使用推薦的軟件設(shè)置部署當(dāng)前Windows版本的EMET。部署LAPS對本地管理員(RID 500)的密碼進(jìn)行管理。強(qiáng)制組策略在“刷新”期間重新應(yīng)用設(shè)置。 強(qiáng)烈在那些你需要設(shè)置高級別安全性的Windows工作站和服務(wù)器上使用AppLocker鎖定可以在系統(tǒng)上執(zhí)行的操作。 AppLocker可用于將應(yīng)用程序執(zhí)行為特定的已批準(zhǔn)的應(yīng)用程序。這里有幾個(gè)我需要推薦的有關(guān)于AppLocker的不同設(shè)置階段： 階段1：審核模式 - 審核用戶的所有執(zhí)行操作及其運(yùn)行的徑。這個(gè)階段的日志記錄模式會提供有關(guān)企業(yè)中運(yùn)行的程序的信息，并將此數(shù)據(jù)記錄到事件日志中。階段2：“模式” - 配置AppLocker以執(zhí)行用戶的主目錄，配置文件徑和用戶對其具有寫入和訪問權(quán)限的臨時(shí)文件夾(例如c:\temp)中的任件。階段3：“文件夾白名單模式” - 通過添加新規(guī)則以允許執(zhí)行特定文件夾(如c:\Windows和c:\Program Files)中的文件，這種AppLocker配置是在階段2的基礎(chǔ)上進(jìn)行構(gòu)建。階段4：“應(yīng)用程序白名單” - 列出企業(yè)在使用的所有應(yīng)用程序，并通過徑和/或文件哈希(優(yōu)先使用數(shù)字簽名)將這些應(yīng)用程序列入白名單。這需要確保只有經(jīng)過批準(zhǔn)的企業(yè)或組織的應(yīng)用程序才會執(zhí)行。 Microsoft增強(qiáng)型緩解體驗(yàn)工具包(EMET)有助于防止應(yīng)用程序漏洞被利用(包括減少許多0day)。它是一個(gè)免費(fèi)的產(chǎn)品，能夠有效地“包裝” 熱門的應(yīng)用程序，所以當(dāng)嘗試漏洞利用時(shí)，嘗試的行為將被阻斷在“包裝器”中，而不會接觸到操作系統(tǒng)。 最好對應(yīng)用程序進(jìn)行測試，因?yàn)橐恍案踩钡脑O(shè)置可能會導(dǎo)致程序崩潰如Outlook和Chrome以及一些安全軟件。 請注意，微軟EMET將在2018年終止生命(EOL)，因?yàn)樗怯晌④涢_發(fā)的，它被發(fā)布的目的是幫助改進(jìn)Windows安全的某些元素。 Windows 10已經(jīng)極大的提升了安全性，超過了大多數(shù)EMET的安全增強(qiáng)功能。 Microsoft本地管理員密碼解決方案(LAPS)為Active Directory中的每臺計(jì)算機(jī)提供了自動對本地管理員帳戶進(jìn)行管理的功能(LAPS特別適用于工作站的本地管理員密碼管理)。 安裝在每臺計(jì)算機(jī)上的客戶端組件會生成隨機(jī)的密碼，并更新與本機(jī)相關(guān)聯(lián)的AD計(jì)算機(jī)帳戶上的LAPS密碼屬性，并在本地設(shè)置密碼。 LAPS配置通過組策略管理，該策略需要提供密碼復(fù)雜性，密碼長度，密碼更改的本地帳戶名稱，密碼更改頻率等設(shè)置值。 默認(rèn)的組策略應(yīng)用程序會在客戶端上“刷新組策略”，雖然這實(shí)際上并不意味著重新應(yīng)用GPO設(shè)置。默認(rèn)情況下，只有在刷新之前修改GPO才會重新應(yīng)用GPO的設(shè)置。這意味著可以通過計(jì)算機(jī)的注冊表(通常具有管理員權(quán)限)撤消GPO強(qiáng)制設(shè)置，并且未經(jīng)授權(quán)的設(shè)置將一直保持到GPO被修改(如果有的話)，之后才會重新應(yīng)用GPO設(shè)置。 通過測試后發(fā)現(xiàn)，更改組策略默認(rèn)設(shè)置以在每次刷新時(shí)重新應(yīng)用GPO設(shè)置 “即使組策略對象未更改也會進(jìn)行處理”。這對客戶端有潛在的性能損失，但是能確保所有的GPO強(qiáng)制設(shè)置重新應(yīng)用生效。 計(jì)算機(jī)配置，策略，管理模板，系統(tǒng)，組策略，配置注冊表策略處理計(jì)算機(jī)配置，策略，管理模板，系統(tǒng)，組策略，配置腳本策略處理以及根據(jù)需要的任何其他的策略設(shè)置。 從Windows 8.1 / Windows Server 2012 R2開始，可以添加注冊表項(xiàng)來啟用LSA，以防止未簽名的代碼與LSASS(如Mimikatz)進(jìn)行交互。在啟用LSA之前，最佳實(shí)踐是啟用LSA審核模式以了解哪些代碼可能與LSASS交互，否則將被。 LSA 包含本地安全機(jī)構(gòu)服務(wù)器服務(wù) (LSASS) 進(jìn)程，可以驗(yàn)證用戶的本地和遠(yuǎn)程登錄，并強(qiáng)制本地安全策略。Windows 8.1 操作系統(tǒng)為 LSA 提供附加，以防止未受的進(jìn)程讀取內(nèi)存及注入代碼。 這為 LSA 存儲和管理的憑據(jù)提供了更高的安全性。 LSA 的受進(jìn)程設(shè)置可以在 Windows 8.1 中配置，但不能在 Windows RT 8.1 中配置。 將此設(shè)置與安全啟動結(jié)合使用時(shí)，便可以實(shí)現(xiàn)附加，因?yàn)榻?HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa 注冊表項(xiàng)不起作用。 模式要求加載到 LSA 中的任何插件都已使用 Microsoft 簽名進(jìn)行數(shù)字簽名。 因此，未簽名的或者未使用 Microsoft 簽名進(jìn)行簽名的任何插件都無法加載到 LSA 中。 這些插件的示例包括智能卡驅(qū)動程序、加密插件和密碼篩選器。 用作驅(qū)動程序(例如智能卡驅(qū)動程序)的 LSA 插件需要使用 WHQL 認(rèn)證進(jìn)行簽名。 有關(guān)詳細(xì)信息，請 WHQL 版本簽名(Windows 驅(qū)動程序)。 所有插件必須符合適用的 SDL 過程指導(dǎo)。 有關(guān)詳細(xì)信息，請 Microsoft 安全開發(fā)生命周期 (SDL) 附錄。 即使插件已使用 Microsoft 簽名正確地進(jìn)行簽名，但如果不符合 SDL 過程，也可能會導(dǎo)致加載插件失敗。 識別組織中使用的所有 LSA 插件和驅(qū)動程序。 這包括非 Microsoft 驅(qū)動程序或插件(例如智能卡驅(qū)動程序和加密插件)，以及內(nèi)部開發(fā)的、用于強(qiáng)制密碼篩選器或密碼更改通知的所有軟件。確保使用 Microsoft 證書對所有 LSA 插件進(jìn)行數(shù)字簽名，以防止插件加載失敗。確保正確簽名的所有插件都能成功加載到 LSA 中，并且能按預(yù)期工作。使用審核日志來識別無法以受進(jìn)程運(yùn)行的 LSA 插件和驅(qū)動程序。如何識別無法以受進(jìn)程運(yùn)行的 LSA 插件和驅(qū)動程序本部分所述的事件位于 Applications and Services Logs\Microsoft\Windows\CodeIntegrity 下的運(yùn)行日志中。 這些事件可幫助你識別由于簽名方面的原因而無法加載的 LSA 插件和驅(qū)動程序。 若要管理這些事件，可以使用 wevtutil 命令行工具。 有關(guān)此工具的信息，請 Wevtutil [Vista]。 可以使用審核模式來識別 LSA 模式下無法加載的 LSA 插件和驅(qū)動程序。 在審核模式下，系統(tǒng)將生成事件日志，標(biāo)識在啟用 LSA 的情況下無法在 LSA 下加載的所有插件和驅(qū)動程序。 將會記錄消息，而不這些插件或驅(qū)動程序。 事件 3065：此事件記錄：代碼完整性檢查已確定某個(gè)進(jìn)程(通常為 lsass.exe)嘗試加載特定的驅(qū)動程序，但該驅(qū)動程序不符合共享區(qū)域的安全要求。 但是，由于所設(shè)置的系統(tǒng)策略的原因，允許加載相應(yīng)的映像。 事件 3066:此事件記錄：代碼完整性檢查已確定某個(gè)進(jìn)程(通常為 lsass.exe)嘗試加載特定的驅(qū)動程序，但該驅(qū)動程序不符合 Microsoft 簽名級別要求。 但是，由于所設(shè)置的系統(tǒng)策略的原因，允許加載相應(yīng)的映像。 默認(rèn)情況下，Windows計(jì)算機(jī)允許任何經(jīng)過身份驗(yàn)證的用戶枚舉其網(wǎng)絡(luò)會話。這意味著者可以枚舉托管主目錄的文件共享或域控制器的網(wǎng)絡(luò)會話，以查看誰連接到SYSVOL(應(yīng)用組策略)，并確定每個(gè)用戶和管理員帳戶登錄到哪個(gè)工作站。 Bloodhound廣泛地使用此功能來映射網(wǎng)絡(luò)中的憑證。 在參考工作站上運(yùn)行NetCease PowerShell腳本。打開 組策略管理控制臺。右鍵單擊應(yīng)包含新首選項(xiàng)條目的組策略對象(GPO)，然后單擊編輯。在計(jì)算機(jī)配置下的控制臺樹中，展開首選項(xiàng)文件夾，然后展開Windows設(shè)置文件夾。右鍵單擊注冊表節(jié)點(diǎn)，指向“新建”，然后選擇“注冊表向?qū)А�。選擇存在所需注冊表設(shè)置的參考工作站，然后單擊下一步。瀏覽到HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ LanmanServer \ DeultSecurity \并選中要從中創(chuàng)建注冊表首選項(xiàng)條目的“SrvsvcSessionInfo”復(fù)選框。僅當(dāng)您要為鍵而不是鍵中的值創(chuàng)建注冊表項(xiàng)時(shí)，才選中鍵的復(fù)選框。單擊“完成”。你所選擇的設(shè)置會在注冊表向?qū)е导现酗@示為首選項(xiàng)。 Web代理自動發(fā)現(xiàn)協(xié)議(WPAD)是一種由客戶端使用的方法，用于使用DHCP和/或DNS發(fā)現(xiàn)方法來定位配置文件的URL。一旦配置文件的檢測和下載完成，就可以執(zhí)行這個(gè)配置文件，以確定指定URL的代理。 禁用WPAD會使得用于被動竊取證書的方法以及Responder程序不可用。僅在中未使用時(shí)禁用。 簡而言之，當(dāng)DNS分配無析名稱時(shí)，鏈本地多播名稱解析(LLMNR)就會解析本地子網(wǎng)上的單個(gè)標(biāo)簽名稱(如：COMPUTER1)。如果你處于Ad-Hoc網(wǎng)絡(luò)場景或DNS條目不包括本地子網(wǎng)上的主機(jī)的情況下，這將非常有用。LLMNR應(yīng)在不使用時(shí)禁用，因?yàn)榻盟鼤⻊h除響應(yīng)程序，此程序用于被動證書竊取。 Windows NT使用瀏覽器服務(wù)(瀏覽器協(xié)議)發(fā)現(xiàn)和共享本地網(wǎng)絡(luò)上的資源信息。該過程通過在網(wǎng)絡(luò)上和收集該的結(jié)果來工作。網(wǎng)絡(luò)有點(diǎn)像在一個(gè)充滿著人的房間里每30秒去尋找一個(gè)朋友(一旦你發(fā)現(xiàn)你的朋友，你注意到他的，但過一會兒后可能會忘記，必須重新發(fā)現(xiàn)他的當(dāng)前)。為了使該過程效率稍低，在每個(gè)子網(wǎng)上選擇“主瀏覽器”，其資源并響應(yīng)這些資源請求。在Windows域中，PDC充當(dāng)域主瀏覽器，這些子網(wǎng)主瀏覽器將資源信息轉(zhuǎn)發(fā)給這些子瀏覽器。使用Windows Browser的資源發(fā)現(xiàn)協(xié)議最終被Windows Internet名稱服務(wù)(WINS)和Active Directory(含DNS)取代。盡管瀏覽器服務(wù)的必要性已降至幾乎為零，但Windows中的計(jì)算機(jī)瀏覽器服務(wù)仍然在Windows 10和Windows Server 2012 R2中存在(雖然該服務(wù)在Windows 10 v1607和Windows Server 2016中已刪除)。 打開組策略管理控制臺。 右鍵單擊需要修改的組策略對象(GPO)，然后單擊編輯。在計(jì)算機(jī)配置下的控制臺樹中，展開策略文件夾，展開Windows設(shè)置，展開安全設(shè)置，然后展開系統(tǒng)服務(wù)文件夾。向下滾動到“計(jì)算機(jī)瀏覽器”服務(wù)，右鍵單擊服務(wù)名稱，然后選擇屬性。選中“定義此策略設(shè)置”復(fù)選框，選擇“禁用”作為服務(wù)啟動模式，單擊“確定”。 NetBIOS over TCP / IP由RFC 1001和RFC 1002指定。Netbt.sys驅(qū)動程序是支持TDI接口的內(nèi)核模式組件。服務(wù)(例如工作站和服務(wù)器)直接使用TDI接口，而傳統(tǒng)的NetBIOS應(yīng)用程序通過Netbios.sys驅(qū)動程序?qū)⑵湔{(diào)用映射到TDI調(diào)用。使用TDI調(diào)用NetBT是一個(gè)更困難的編程任務(wù)，但可以提供更高的性能和免受歷史NetBIOS。 NetBIOS定義了軟件接口和命名約定，而不是協(xié)議。 NetBIOS over TCP/IP通過TCP/IP協(xié)議提供NetBIOS編程接口，將NetBIOS客戶端和服務(wù)器程序的范圍擴(kuò)展到IP互聯(lián)網(wǎng)絡(luò)，并提供與各種其他操作系統(tǒng)的互操作性。 大多數(shù)版本的Windows正在使用中，可以利用TCP/IP直接傳輸SMB，這意味著今天在網(wǎng)絡(luò)上使用NetBIOS只是為了兼容老版本的系統(tǒng)。 禁用NetBIOS需要一些工作來確定在網(wǎng)絡(luò)上使用NetBIOS的方式和。禁用它會使得用于被動竊取證書的方法以及Responder程序不可用。 在窗格中，展開SERVERNAME，展開Scope，右鍵單擊Scope選項(xiàng)，然后單擊配置選項(xiàng)。單擊高級選項(xiàng)卡，然后單擊供應(yīng)商類列表中的Microsoft Windows 2000選項(xiàng)。確保在用戶類列表中選擇默認(rèn)用戶類。單擊以選中可用選項(xiàng)列下的001 Microsoft禁用Netbios選項(xiàng)復(fù)選框。在數(shù)據(jù)輸入?yún)^(qū)域中，在較長的輸入框中輸入0x2，然后單擊確定。 轉(zhuǎn)到計(jì)算機(jī)上的所有網(wǎng)絡(luò)設(shè)備的屬性，TCPIPv4屬性，高級，WINS，禁用TCP / IP上的NetBIOS 推薦： |
