免责声明：由于传播、利用本公众号HACK之道所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号HACK之道及作者不为此承担任何责任。如有侵权烦请告知，我们会立即删除并致歉。谢谢！

WindowsBaselineAssistant

介绍

WindowsBaselineAssistant(WBA)是一个用于检测和加固Windows安全基线的辅助工具,借助此工具你可以免去繁琐的手工检测和加固操作,实现一键检测和加固你的Windows安全基线,并可以导出检测或加固结果,解放你的双手~

工具运行要求

.Net Framework 4.0及以上

项目依赖库

SunnyUI 3.6.3
SunnyUI.Common 3.6.3
System.ValueTuple 4.5.0
NPOI 2.5.1

自定义规则

WBA支持自定义规则以适应不同环境下的检测需求

WBA的所有规则位于item.xml文件中,其中检测规则分为registry和secedit两种,判定规则分为fixed,enum,greaternumber,lessnumber,array,equals六种.

规则格式

registry(读取注册表)

<item>  <name>检查源路由配置</name>  <description>源路由攻击有源地址欺骗、IP欺骗等,为了提高系统的可靠性,需要检查是否启用正确配置源路由攻击保护.</description>  <type>registry</type>  <registry>HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters</registry>  <regitem>DisableIPSourceRouting</regitem>  <standard>2</standard>  <assessment>enum</assessment>  <valuetype>dword</valuetype></item>

secedit(读取config.cfg信息)

<item>  <name>检查密码最长使用期限</name>  <description>长期修改密码会提高密码暴露风险,所以为了提高系统的保密性.需要检查密码最长使用期限.</description>  <type>secedit</type>  <mark>MaximumPasswordAge</mark>  <standard>90</standard>  <assessment>greaternumber</assessment></item>

附加标识

manual: 用于标识检测项需要手动进行加固

<item><manual>1<manual></item>

ignore: 用于标识检测项为已忽略

<item><ignore>1<ignore></item>

判定规则

数据类型

例

如现在要检测重新传输的TCP连接阈值
检测类型为检索注册表 检索的注册表路径为HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip\Parameters
检测项为TcpMaxHalfOpenRetried
标准值为400
数据类型为DWord
检测值要小于此值时判定符合

<item><name>检查处于SYN_RCVD 状态下,且至少已经进行了一次重新传输的TCP连接阈值</name><description>xxxxxx</description><type>registry</type><registry>HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesTcpipParameters</registry><regitem>TcpMaxHalfOpenRetried</regitem><standard>400</standard><assessment>lessnumber</assessment><valuetype>dword</valuetype></item>