Windows工作站免受現代的網絡是一件非常具有挑戰(zhàn)性的事情。 似乎每個星期者們總有一些新的方法用來入侵系統(tǒng)并獲取用戶憑據。Windows工作站免受現代的網絡是一件非常具有挑戰(zhàn)性的事情。 似乎每個星期者們總有一些新的方法用來入侵系統(tǒng)并獲取用戶憑據。
Windows工作站免受現代的網絡是一件非常具有挑戰(zhàn)性的事情。 似乎每個星期者們總有一些新的方法用來入侵系統(tǒng)并獲取用戶憑據。 創(chuàng)建一個非常安全的Windows工作站的最佳方法是下載Microsoft安全合規(guī)管理器(當前版本為4.0)，并在要為其創(chuàng)建安全基線GPO的操作系統(tǒng)版本下選擇“安全合規(guī)”選項。 查看選項，根據需要進行更改，并導出為GPO備份(文件夾)。 創(chuàng)建新的并且為空的GPO然后從SCM GPO備份中導入設置。 然后將新創(chuàng)建的GPO應用到你的工作站。 如果你已配置為最小的安全設置，這將改進你的工作站安全基線，特別是如果你還沒有創(chuàng)建現有的工作站GPO。 作為開發(fā)Windows工作站安全基線GPO的一部分，有幾個大型組織花費了一些時間和確定了什么才是“安全”： 如果你已經使用一個GPO配置了工作站的安全性，你還可以使用Microsoft的策略分析器將你現有的GPO與SCM生成的“安全合規(guī)性”的GPO進行比較。 除了標準的“Windows安全事件”之外，還存在許多遺留和經常未使用的組件，它們從早期的Windows版本中遺留下來，而現有的版本通常不再需要，但由于考慮到兼容性的原因而繼續(xù)保留。 部署Microsoft AppLocker以鎖定可以在系統(tǒng)上運行的文件。使用推薦的軟件設置部署當前Windows版本的EMET。部署LAPS對本地管理員(RID 500)的密碼進行管理。強制組策略在“刷新”期間重新應用設置。 強烈在那些你需要設置高級別安全性的Windows工作站和服務器上使用AppLocker鎖定可以在系統(tǒng)上執(zhí)行的操作。 AppLocker可用于將應用程序執(zhí)行為特定的已批準的應用程序。這里有幾個我需要推薦的有關于AppLocker的不同設置階段： 階段1：審核模式 - 審核用戶的所有執(zhí)行操作及其運行的徑。這個階段的日志記錄模式會提供有關企業(yè)中運行的程序的信息，并將此數據記錄到事件日志中。階段2：“模式” - 配置AppLocker以執(zhí)行用戶的主目錄，配置文件徑和用戶對其具有寫入和訪問權限的臨時文件夾(例如c:\temp)中的任件。階段3：“文件夾白名單模式” - 通過添加新規(guī)則以允許執(zhí)行特定文件夾(如c:\Windows和c:\Program Files)中的文件，這種AppLocker配置是在階段2的基礎上進行構建。階段4：“應用程序白名單” - 列出企業(yè)在使用的所有應用程序，并通過徑和/或文件哈希(優(yōu)先使用數字簽名)將這些應用程序列入白名單。這需要確保只有經過批準的企業(yè)或組織的應用程序才會執(zhí)行。 Microsoft增強型緩解體驗工具包(EMET)有助于防止應用程序漏洞被利用(包括減少許多0day)。它是一個免費的產品，能夠有效地“包裝” 熱門的應用程序，所以當嘗試漏洞利用時，嘗試的行為將被阻斷在“包裝器”中，而不會接觸到操作系統(tǒng)。 最好對應用程序進行測試，因為一些“更安全”的設置可能會導致程序崩潰如Outlook和Chrome以及一些安全軟件。 請注意，微軟EMET將在2018年終止生命(EOL)，因為它是由微軟開發(fā)的，它被發(fā)布的目的是幫助改進Windows安全的某些元素。 Windows 10已經極大的提升了安全性，超過了大多數EMET的安全增強功能。 Microsoft本地管理員密碼解決方案(LAPS)為Active Directory中的每臺計算機提供了自動對本地管理員帳戶進行管理的功能(LAPS特別適用于工作站的本地管理員密碼管理)。 安裝在每臺計算機上的客戶端組件會生成隨機的密碼，并更新與本機相關聯的AD計算機帳戶上的LAPS密碼屬性，并在本地設置密碼。 LAPS配置通過組策略管理，該策略需要提供密碼復雜性，密碼長度，密碼更改的本地帳戶名稱，密碼更改頻率等設置值。 默認的組策略應用程序會在客戶端上“刷新組策略”，雖然這實際上并不意味著重新應用GPO設置。默認情況下，只有在刷新之前修改GPO才會重新應用GPO的設置。這意味著可以通過計算機的注冊表(通常具有管理員權限)撤消GPO強制設置，并且未經授權的設置將一直保持到GPO被修改(如果有的話)，之后才會重新應用GPO設置。 通過測試后發(fā)現，更改組策略默認設置以在每次刷新時重新應用GPO設置 “即使組策略對象未更改也會進行處理”。這對客戶端有潛在的性能損失，但是能確保所有的GPO強制設置重新應用生效。 計算機配置，策略，管理模板，系統(tǒng)，組策略，配置注冊表策略處理計算機配置，策略，管理模板，系統(tǒng)，組策略，配置腳本策略處理以及根據需要的任何其他的策略設置。 從Windows 8.1 / Windows Server 2012 R2開始，可以添加注冊表項來啟用LSA，以防止未簽名的代碼與LSASS(如Mimikatz)進行交互。在啟用LSA之前，最佳實踐是啟用LSA審核模式以了解哪些代碼可能與LSASS交互，否則將被。 LSA 包含本地安全機構服務器服務 (LSASS) 進程，可以驗證用戶的本地和遠程登錄，并強制本地安全策略。Windows 8.1 操作系統(tǒng)為 LSA 提供附加，以防止未受的進程讀取內存及注入代碼。 這為 LSA 存儲和管理的憑據提供了更高的安全性。 LSA 的受進程設置可以在 Windows 8.1 中配置，但不能在 Windows RT 8.1 中配置。 將此設置與安全啟動結合使用時，便可以實現附加，因為禁用 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa 注冊表項不起作用。 模式要求加載到 LSA 中的任何插件都已使用 Microsoft 簽名進行數字簽名。 因此，未簽名的或者未使用 Microsoft 簽名進行簽名的任何插件都無法加載到 LSA 中。 這些插件的示例包括智能卡驅動程序、加密插件和密碼篩選器。 用作驅動程序(例如智能卡驅動程序)的 LSA 插件需要使用 WHQL 認證進行簽名。 有關詳細信息，請 WHQL 版本簽名(Windows 驅動程序)。 所有插件必須符合適用的 SDL 過程指導。 有關詳細信息，請 Microsoft 安全開發(fā)生命周期 (SDL) 附錄。 即使插件已使用 Microsoft 簽名正確地進行簽名，但如果不符合 SDL 過程，也可能會導致加載插件失敗。 識別組織中使用的所有 LSA 插件和驅動程序。 這包括非 Microsoft 驅動程序或插件(例如智能卡驅動程序和加密插件)，以及內部開發(fā)的、用于強制密碼篩選器或密碼更改通知的所有軟件。確保使用 Microsoft 證書對所有 LSA 插件進行數字簽名，以防止插件加載失敗。確保正確簽名的所有插件都能成功加載到 LSA 中，并且能按預期工作。使用審核日志來識別無法以受進程運行的 LSA 插件和驅動程序。如何識別無法以受進程運行的 LSA 插件和驅動程序本部分所述的事件位于 Applications and Services Logs\Microsoft\Windows\CodeIntegrity 下的運行日志中。 這些事件可幫助你識別由于簽名方面的原因而無法加載的 LSA 插件和驅動程序。 若要管理這些事件，可以使用 wevtutil 命令行工具。 有關此工具的信息，請 Wevtutil [Vista]。 可以使用審核模式來識別 LSA 模式下無法加載的 LSA 插件和驅動程序。 在審核模式下，系統(tǒng)將生成事件日志，標識在啟用 LSA 的情況下無法在 LSA 下加載的所有插件和驅動程序。 將會記錄消息，而不這些插件或驅動程序。 事件 3065：此事件記錄：代碼完整性檢查已確定某個進程(通常為 lsass.exe)嘗試加載特定的驅動程序，但該驅動程序不符合共享區(qū)域的安全要求。 但是，由于所設置的系統(tǒng)策略的原因，允許加載相應的映像。 事件 3066:此事件記錄：代碼完整性檢查已確定某個進程(通常為 lsass.exe)嘗試加載特定的驅動程序，但該驅動程序不符合 Microsoft 簽名級別要求。 但是，由于所設置的系統(tǒng)策略的原因，允許加載相應的映像。 默認情況下，Windows計算機允許任何經過身份驗證的用戶枚舉其網絡會話。這意味著者可以枚舉托管主目錄的文件共享或域控制器的網絡會話，以查看誰連接到SYSVOL(應用組策略)，并確定每個用戶和管理員帳戶登錄到哪個工作站。 Bloodhound廣泛地使用此功能來映射網絡中的憑證。 在參考工作站上運行NetCease PowerShell腳本。打開 組策略管理控制臺。右鍵單擊應包含新首選項條目的組策略對象(GPO)，然后單擊編輯。在計算機配置下的控制臺樹中，展開首選項文件夾，然后展開Windows設置文件夾。右鍵單擊注冊表節(jié)點，指向“新建”，然后選擇“注冊表向導”。選擇存在所需注冊表設置的參考工作站，然后單擊下一步。瀏覽到HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ LanmanServer \ DeultSecurity \并選中要從中創(chuàng)建注冊表首選項條目的“SrvsvcSessionInfo”復選框。僅當您要為鍵而不是鍵中的值創(chuàng)建注冊表項時，才選中鍵的復選框。單擊“完成”。你所選擇的設置會在注冊表向導值集合中顯示為首選項。 Web代理自動發(fā)現協議(WPAD)是一種由客戶端使用的方法，用于使用DHCP和/或DNS發(fā)現方法來定位配置文件的URL。一旦配置文件的檢測和下載完成，就可以執(zhí)行這個配置文件，以確定指定URL的代理。 禁用WPAD會使得用于被動竊取證書的方法以及Responder程序不可用。僅在中未使用時禁用。 簡而言之，當DNS分配無析名稱時，鏈本地多播名稱解析(LLMNR)就會解析本地子網上的單個標簽名稱(如：COMPUTER1)。如果你處于Ad-Hoc網絡場景或DNS條目不包括本地子網上的主機的情況下，這將非常有用。LLMNR應在不使用時禁用，因為禁用它會刪除響應程序，此程序用于被動證書竊取。 Windows NT使用瀏覽器服務(瀏覽器協議)發(fā)現和共享本地網絡上的資源信息。該過程通過在網絡上和收集該的結果來工作。網絡有點像在一個充滿著人的房間里每30秒去尋找一個朋友(一旦你發(fā)現你的朋友，你注意到他的，但過一會兒后可能會忘記，必須重新發(fā)現他的當前)。為了使該過程效率稍低，在每個子網上選擇“主瀏覽器”，其資源并響應這些資源請求。在Windows域中，PDC充當域主瀏覽器，這些子網主瀏覽器將資源信息轉發(fā)給這些子瀏覽器。使用Windows Browser的資源發(fā)現協議最終被Windows Internet名稱服務(WINS)和Active Directory(含DNS)取代。盡管瀏覽器服務的必要性已降至幾乎為零，但Windows中的計算機瀏覽器服務仍然在Windows 10和Windows Server 2012 R2中存在(雖然該服務在Windows 10 v1607和Windows Server 2016中已刪除)。 打開組策略管理控制臺。 右鍵單擊需要修改的組策略對象(GPO)，然后單擊編輯。在計算機配置下的控制臺樹中，展開策略文件夾，展開Windows設置，展開安全設置，然后展開系統(tǒng)服務文件夾。向下滾動到“計算機瀏覽器”服務，右鍵單擊服務名稱，然后選擇屬性。選中“定義此策略設置”復選框，選擇“禁用”作為服務啟動模式，單擊“確定”。 NetBIOS over TCP / IP由RFC 1001和RFC 1002指定。Netbt.sys驅動程序是支持TDI接口的內核模式組件。服務(例如工作站和服務器)直接使用TDI接口，而傳統(tǒng)的NetBIOS應用程序通過Netbios.sys驅動程序將其調用映射到TDI調用。使用TDI調用NetBT是一個更困難的編程任務，但可以提供更高的性能和免受歷史NetBIOS。 NetBIOS定義了軟件接口和命名約定，而不是協議。 NetBIOS over TCP/IP通過TCP/IP協議提供NetBIOS編程接口，將NetBIOS客戶端和服務器程序的范圍擴展到IP互聯網絡，并提供與各種其他操作系統(tǒng)的互操作性。 大多數版本的Windows正在使用中，可以利用TCP/IP直接傳輸SMB，這意味著今天在網絡上使用NetBIOS只是為了兼容老版本的系統(tǒng)。 禁用NetBIOS需要一些工作來確定在網絡上使用NetBIOS的方式和。禁用它會使得用于被動竊取證書的方法以及Responder程序不可用。 在窗格中，展開SERVERNAME，展開Scope，右鍵單擊Scope選項，然后單擊配置選項。單擊高級選項卡，然后單擊供應商類列表中的Microsoft Windows 2000選項。確保在用戶類列表中選擇默認用戶類。單擊以選中可用選項列下的001 Microsoft禁用Netbios選項復選框。在數據輸入區(qū)域中，在較長的輸入框中輸入0x2，然后單擊確定。 轉到計算機上的所有網絡設備的屬性，TCPIPv4屬性，高級，WINS，禁用TCP / IP上的NetBIOS 推薦： |
