Windows安全基線核查加固助手

作者：simeon 2024-03-20 15:25:43

我記得我當初寫《網絡攻防實戰研究漏洞利用與提權》時曾經單獨介紹過MBSA用來查看系統漏洞修補情況，在微軟官方搜索了半天，都沒有找到該軟件，國內有一些網站提供該軟件下載，處于安全考慮，沒有下載到本地進行測試，意外發現一款小工具可以對Windows安全基線進行檢查和加固，其實現原來主要對Windows的注冊表值進行檢測，然后進行加固。

本來是想看看MBSA（Microsoft Baseline Security Analyzer），發現微軟已經早就不更新了，我記得我當初寫《網絡攻防實戰研究漏洞利用與提權》時曾經單獨介紹過MBSA用來查看系統漏洞修補情況，在微軟官方搜索了半天，都沒有找到該軟件，國內有一些網站提供該軟件下載，處于安全考慮，沒有下載到本地進行測試，意外發現一款小工具可以對Windows安全基線進行檢查和加固，其實現原來主要對Windows的注冊表值進行檢測，然后進行加固。軟件名稱WindowsBaselineAssistant，下載地址https://github.com/DeEpinGh0st/WindowsBaselineAssistant。軟件是開源軟件，可以直接編譯，也可以下載編譯后的程序

https://github.com/DeEpinGh0st/WindowsBaselineAssistant/releases/download/v1.2.1

/WindowsBaselineAssistant-v1.2.1.zip。

一、運行WindowsBaselineAssistant

雖然是開源的，下載到本地后解壓后一共有三個文件，如圖1所示，通過火絨殺毒軟件對其殺毒，無病毒提示。

圖1 程序文件情況

軟件在Windows10下可以直接運行，Net Framework 4.0及以上，編譯則需要一些依賴項：SunnyUI 3.6.3、SunnyUI.Common 3.6.3、System.ValueTuple 4.5.0、NPOI 2.5.1、Costura.Fody 4.1.0。

1.檢測規則

如現在要檢測重新傳輸的TCP連接閾值

檢測類型為檢索注冊表檢索的注冊表路徑為HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\services\\Tcpip\\Parameters

檢測項為TcpMaxHalfOpenRetried

標準值為400

數據類型為DWord

檢測值要小于此值時判定符合

實現為：

<item>
  <name>檢查處于SYN_RCVD 狀態下,且至少已經進行了一次重新傳輸的TCP連接閾值</name>
  <description>xxxxxx</description>
  <type>registry</type>
  <registry>HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip\Parameters</registry>
  <regitem>TcpMaxHalfOpenRetried</regitem>
  <standard>400</standard>
  <assessment>lessnumber</assessment>
    <valuetype>dword</valuetype>
</item>

直接運行WindowsBaselineAssistant.exe，運行效果如圖2所示。