Verwendung Verwandtes Vertrauen Support Sicherheitsempfehlungen Ressourcen Lizenz Wiki Grundlegende FAQs Roadmap Spende

[!IMPORTANT]
Hier sind Schnellzugriffspunkte zu wichtigen Abschnitten dieses Repositorys

Harden System Security App

AppControl Manager App

Application Control for Business-Ressourcen

[!NOTE]
Dieses Repository verwendet ausschließlich Funktionen, die von Microsoft bereits im Windows-Betriebssystem implementiert wurden, um es auf den höchsten Sicherheits- und Sperrzustand abzustimmen – ohne Abhängigkeit von Drittanbieter-Komponenten, unter Verwendung gut dokumentierter, unterstützter, empfohlener und offizieller Methoden. Lesen Sie weiter für umfassende Informationen.

Verwendung

Installieren Sie die Harden System Security aus dem Microsoft Store

• Dokumentation

Installieren Sie den AppControl Manager aus dem Microsoft Store

• YouTube-Demo
• Dokumentation

💡 (zurück nach oben)

Begründung

𝐖𝐞𝐥𝐜𝐨𝐦𝐞 zum 𝙷𝚊𝚛𝚍𝚎𝚗 𝚆𝚒𝚗𝚍𝚘𝚠𝚜 𝚂𝚎𝚌𝚞𝚛𝚒𝚝𝚢 𝚁𝚎𝚙𝚘𝚜𝚒𝚝𝚘𝚛𝚢

Dieser Abschnitt liefert die Begründung und das Ziel dieses GitHub-Repositorys und seiner Inhalte. Er beschreibt, wie es verschiedene Bedrohungen adressiert und wie Sie Ihre Erwartungen für verschiedene Szenarien und Umgebungen anpassen sollten. Er bietet außerdem viele nützliche zusätzliche Ressourcen.

Dieses Repository enthält derzeit 2 Haupt-Produkte.

1. Die Harden System Security App
2. Der AppControl Manager

Lassen Sie uns jedes davon unten im Detail erkunden

Harden System Security App

Verwenden Sie die Harden System Security App, um Ihre persönlichen und Unternehmensgeräte gegen die meisten fortgeschrittenen Bedrohungen zu schützen. Die App ist für jeden geeignet.

Wenn Sie ein privater Benutzer sind, können Sie die Harden System Security verwenden, um Ihr Betriebssystem zu härten, unnötige Funktionen oder Apps zu entfernen und erweiterte Einblicke in die Sicherheitsstruktur Ihres Systems zu erhalten.

Wenn Sie ein Unternehmensbenutzer oder Administrator sind, können Sie die bereitgestellten Intune-Sicherheitsrichtlinien verwenden und sie mit der Harden System Security App auf alle Ihre Arbeitsstationen anwenden. Anschließend können Sie die App verwenden, um die Einhaltung der Arbeitsstationen gegenüber den angewendeten Richtlinien zu überprüfen und eine Sicherheitsbewertung zu erhalten.

Sie verwendet dieselben Sicherheitsfunktionen, die in Ihrem Gerät und Windows-Betriebssystem integriert sind, um es auf den höchsten Sicherheits- und Sperrzustand abzustimmen. Sie installiert keine externen Komponenten und vergrößert Ihre Angriffsfläche überhaupt nicht.

Werfen wir einen Blick auf die folgenden Infografiken:

Weitere Informationen zu dieser Karte

Die Begründung hinter der obigen Infografik

💡 (zurück nach oben)

AppControl Manager

Der AppControl Manager ist eine sichere Open-Source-Windows-Anwendung, die entwickelt wurde, um Ihnen die einfache Konfiguration der Anwendungssteuerung in Ihrem System zu ermöglichen. Sie ist sowohl für private Benutzer als auch für Unternehmen, Firmen und hochsichere Arbeitsstationen geeignet.

[!TIP]
Wenn Sie nicht wissen, was App Control ist, lesen Sie bitte diesen Artikel, in dem es ausführlich erklärt wird.

Die ordnungsgemäße Verwendung der Anwendungssteuerung kann in Verbindung mit den Richtlinien der Harden System Security App 99 % Schutz vor verschiedenen Bedrohungen bieten, sei es aus dem Internet oder physisch. Es stimmt, dass es keine absolute Sicherheit gibt, aber andererseits gibt es auch nichts Absolutes im Universum. Alles, selbst die grundlegendsten physikalischen Gesetze, ist und war Veränderungen und Bedingungen unterworfen.

• Hier ist ein Walkthrough-Video des AppControl Managers

• Hier ist die Landingpage des AppControl Managers in diesem Repository

Wie treffen Sie die richtige Wahl?

𝙵𝚒𝚛𝚜𝚝 𝚊𝚗𝚍 𝙵𝚘𝚛𝚎𝚖𝚘𝚜𝚝 verwenden Sie die Harden System Security App, um die von ihr angebotenen Härtungsmaßnahmen anzuwenden. Ihr System wird gegen mindestens ~98 % der Bedrohungen sicher sein, wenn Sie für die tägliche Arbeit ein Standardkonto (ohne Privilegien) verwenden. Diese Bedrohungen sind nicht die üblichen Computerviren, sondern motivierte staatliche Akteure.

𝚃𝚑𝚎𝚗 verwenden Sie den AppControl Manager, um eine App Control-Richtlinie bereitzustellen und noch mehr Kontrolle über den Betrieb der Windows-Anwendungssteuerung zu haben.

Diese Methoden erzeugen mehrere Sicherheitsebenen; auch bekannt als Defense in Depth. Zusätzlich können Sie eine Kernel-Level-Zero-Trust-Strategie für Ihr System erstellen.

Sollte es jemals eine Zero-Day-Schwachstelle in einer oder sogar mehreren Sicherheitsebenen gleichzeitig geben, bleiben immer noch genügend Ebenen übrig, um Ihr Gerät zu schützen. Es ist praktisch unmöglich, alle gleichzeitig zu durchdringen.

Außerdem werden Zero-Day-Schwachstellen schnell gepatcht. Daher ist es eine der grundlegendsten Sicherheitsempfehlungen und Best Practices, Ihr Gerät und Betriebssystem unabhängig vom verwendeten Betriebssystem auf dem neuesten Stand zu halten.

💡 (zurück nach oben)

Schwachstellen wie Zero-Days werden auf 3 verschiedene Arten offengelegt

1. Die Schwachstelle wird verantwortungsvoll offengelegt. Sie wird zunächst privat mit dem Software-Anbieter/Entwickler kommuniziert, damit dieser Zeit hat, die Schwachstelle zu beheben und Updates/Patches zu veröffentlichen, bevor sie öffentlich bekannt gegeben wird. Auf diese Weise sind die Menschen immer sicher, denn alles, was nötig ist, ist, Ihr Betriebssystem und Ihre Software auf dem neuesten Stand zu halten, um die neuesten Sicherheitspatches zu erhalten.

2. Die Schwachstelle wird unverantwortlich offengelegt. Sie wird öffentlich über soziale Medien oder durch die Erstellung von PoCs (Proof of Concept) bekannt gegeben, sodass sie von jedem genutzt und missbraucht werden kann.

3. Die Schwachstelle wird von böswilligen Akteuren missbraucht. Sie wird von Bedrohungsakteuren in Cyberangriffen und privat ausgenutzt. Diese Schwachstellen werden entweder von den Bedrohungsakteuren selbst entdeckt oder von Sicherheitsforschern gekauft, die sie zuerst finden – all dies ist illegal und hat Konsequenzen.

Was ist mit fortgeschrittenerer Sicherheit im großen Maßstab?

Um das höchste Maß an Sicherheit im großen Maßstab für Unternehmen, Firmen und militärische Szenarien zu erreichen, können Sie die folgenden Dienste verwenden, um undurchdringliche Geräte und Umgebungen zu schaffen.

[!IMPORTANT]
Die folgenden Dienste müssen zusätzlich zu den in diesem Repository bereits besprochenen Maßnahmen verwendet werden, wie z. B. ordnungsgemäße App Control-Richtlinien und die Sicherheitsmaßnahmen, die die Harden System Security App anwendet. Sie sind kein Ersatz dafür.

Als einzelner Benutzer können Sie diese Funktionen und Dienste weiterhin nutzen; sie fügen Ihrem Sicherheitsstapel eine zusätzliche Schutzschicht hinzu.

• Microsoft Defender for Endpoint – Entdecken und sichern Sie Endpunktgeräte in Ihrem Multiplattform-Unternehmen.

• Microsoft Security Copilot – Bauen Sie eine Verteidigung auf, so automatisiert, dass selbst Ihr Praktikant zum Cybersicherheitsexperten wird.

• Confidential Computing auf Azure – Schützen Sie Ihre hochsensiblen Daten, während sie in Verwendung sind

• Confidential AI – Trainieren Sie Ihre Daten privat und sicher auf den fortschrittlichsten KI-Supercomputern

• Microsoft Entra Conditional Access – Erhöhen Sie den Schutz, ohne die Produktivität zu beeinträchtigen

• Microsoft Sentinel – Skalierbare, cloud-native Lösung, die SIEM, SOAR und mehr bietet!

• Key Vault – Schützen Sie kryptografische Schlüssel und andere Geheimnisse, die von Cloud-Apps und -Diensten verwendet werden. Dieser Azure-Dienst verwendet die besten Produkte der Welt für diese Aufgabe, wie z. B. Thales HSMs. Weitere Informationen hier verfügbar.

• Microsoft Defender for Cloud – Schützen Sie Multi-Cloud- und Hybridumgebungen mit integrierter Sicherheit vom Code bis zur Cloud

• Microsoft Defender for Cloud Apps – Modernisieren Sie, wie Sie Ihre Apps sichern, Ihre Daten schützen und Ihre App-Position mit Software-as-a-Service (SaaS)-Sicherheit verbessern.

• Microsoft Defender for Identity – Schützen Sie Ihre lokalen Identitäten mit cloudgestützter Intelligenz.

• Passwortlose Authentifizierungsoptionen für Azure Active Directory – Multifaktor- und passwortlose Authentifizierung, die sicherste und bequemste Art der Authentifizierung.* PIM (PAM) – Privileged Access Management

• PAW – Privileged Access Workstation

• SAW – Secure Admin Workstations

• Liste aller Azure-Sicherheitsdienste für Unternehmen, Firmen usw.

💡 (zurück nach oben)

Wichtige Überlegungen

• Vermeiden Sie die Verwendung anderer Sicherheitslösungen von Drittanbietern, wenn Sie die Harden System Security App oder App Control for Business verwenden. Andere Lösungen können schwach sein, sind inkompatibel und unnötig, sie vergrößern außerdem Ihre Angriffsfläche.

[!NOTE]
Um zu verstehen, warum dies zutrifft, nehmen Sie sich bitte die Zeit und lesen Sie die Wiki-Dokumentation jeder oben verlinkten App. Für weitere Beweise können Sie jederzeit eine Code-Überprüfung durchführen, Vergleiche anstellen und mir alle Fragen stellen, die Sie haben.

• Verwenden Sie virtuelle Maschinen für fragwürdige oder unsichere Software. Verwenden Sie Windows Sandbox oder Hyper-V-VM.

Welches Gerät verwenden?

Verwenden Sie Microsoft Surface-Produkte für die beste Geräte- und Firmware-Sicherheit. Sie unterstützen die Secured-Core-PC-Spezifikationen, der Herstellungsprozess und die Plattform sind vertrauenswürdig und sicher.

Stellen Sie sicher, dass Sie Surface-Produkte verwenden, die Device Firmware Configuration Interface (DFCI) für zusätzlichen Schutz und Sicherheit unterstützen. Hier ist eine Liste der Surface-Produkte, die dies unterstützen.

• So verwenden Sie Device Firmware Configuration Interface (DFCI) für Surface-Geräte mit Intune

• Unter anderem können Geräte, die mit DFCI eingerichtet sind, so konfiguriert werden, dass das Booten von USB-Geräten deaktiviert ist und es keine Möglichkeit gibt, die Sicherheit auf Chipebene direkt zu umgehen, nicht einmal ein CMOS-Reset kann dies umgehen, da nichtflüchtiger Speicher, auch Flash-Speicher genannt, verwendet wird. Es legt die BIOS-Zertifikatsauthentifizierung fest, und der private Schlüssel liegt hinter der Cloud-Edge in Intune, und nicht einmal der Microsoft-Support kann diesen Schlüssel erhalten.

• Die Liste der Surface-Produkte, die DFCI unterstützen, wird in diesem Dokument möglicherweise nicht schnell aktualisiert, aber keine Sorge, dies ist ein aktives Projekt und alle neuen Surface-Geräte haben dies integriert, das Dokumentationsteam ist möglicherweise nur etwas langsam.

• Microsoft Surface-Geräte verwenden Project Mu für den Quellcode ihrer Firmware.

• Surface-Geräte können für UEFI Zertifikate anstelle von Passwörtern verwenden. Sie haben auch keinen Reset-Schalter wie andere Geräte. Sie erstellen und installieren Ihr eigenes Zertifikat mit dem Surface Management Toolkit. Sie können ein Konfigurationspaket erstellen, das das Zertifikat enthält, und es in der Firmware installieren. Danach kann das Paket ohne das signierende Zertifikat, das die Änderung autorisiert, nicht entfernt oder geändert werden, d. h. Zertifikatsauthentifizierung, oder Sie können einfach DFCI verwenden, wie zuvor erwähnt, und sich keine Sorgen machen, da die Pakete mit dem privaten Schlüssel von Microsoft signiert sind und es keine PKI gibt, die Sie selbst hosten müssen.

• Surface-Geräte der Business-Klasse verfügen über dedizierte TPM-Chips.

• Schauen Sie sich die Device Guard-Kategorie zu den Secured-Core-Spezifikationen an.

• Der Pluton-Sicherheitschip ist keine Voraussetzung für die Secured-Core-Zertifizierung.

• Der Pluton-Sicherheitschip ist in Qualcomm Snapdragon ARM-CPUs, AMD und Intel-CPUs enthalten.

• Copilot+ PCs gehören zu den sichersten Consumer-Geräten. Sie sind Secured-Core und integrieren den Pluton-Sicherheitschip.

[!IMPORTANT]
Es ist wichtig, sich potenzieller Hardware-Hintertüren bewusst zu sein, die die Sicherheit Ihres Systems gefährden können. Einige gängige OEMs wie Compaq, Dell, Fujitsu, Hewlett-Packard (HP), Sony und Samsung sowie OEMs, die unveränderte Insyde-H20- oder Phoenix-Firmware verwenden, nutzen Algorithmen, die auf Geräteseriennummern für Passwort-Resets basieren. Diese Algorithmen ermöglichen das Entfernen des Master-Passworts aus der Firmware und können so unbefugten Zugriff auf das System gewähren.

[!NOTE]
Wenn Sie Geräte von Drittanbietern kaufen, stellen Sie sicher, dass sie den Pluton-Sicherheitschip haben. Er adressiert Sicherheitsanforderungen wie das sichere Booten eines Betriebssystems auch gegen Firmware-Bedrohungen und das sichere Speichern sensibler Daten auch gegen physische Angriffe.

Schutz vor BYOVD-Angriffen (Bring Your Own Vulnerable Driver)

• Secured-Core-PCs bieten die Hardware, die Schutz vor BYOVD-Angriffen ermöglicht. Es liegt in Ihrer Verantwortung, die Funktionen zu aktivieren. Dazu gehören App Control for Business, ASR-Regeln (Attack Surface Reduction), dynamische/statische Root of Trust und Firmware, die erweiterbar ist, um Treiber zu widerrufen. Sie sind besonders nützlich für Treiber, die nicht ausdrücklich in der Microsoft Recommended Driver Block List erwähnt werden, die die dynamischere Seite darstellt.

• Verwenden Sie Strict Kernel-mode App Control policy für vollständigen BYOVD-Schutz

💡 (zurück nach oben)

Was tun, wenn ein Angriff stattfindet?

Sie sollten einen bestehenden Unified Contract mit Microsoft haben (früher bekannt als Premier Support). Microsoft bietet eine breite Palette von Diensten und Teams, die Ihnen helfen, sich von einem Cyberangriff zu erholen, wie zum Beispiel:

• GHOST: Global Hunting, Oversight and Strategic Triage
• DART – Das Microsoft Detection and Response Team
• CRSP – Global Compromise Recovery Security Practice Team – einschließlich Ransomware

Nachdem Sie gehackt wurden, sollten Sie diese Teams anfordern, indem Sie Ihren Customer Success Account Manager kontaktieren und ihm mitteilen, dass Sie die Hilfe eines dieser Teams benötigen.

[!TIP]
Wenn Sie eine Cybersicherheitsversicherung für Ihr Unternehmen oder Ihre Organisation abschließen, stellen Sie sicher, dass diese die Kosten für die Beauftragung der Elite-Teams von Microsoft wie GHOST/DART abdeckt, d. h. diese Microsoft-Teams sind für Ihre Versicherung im Netzwerk.

Farbaufschlüsselung der Sicherheitsteams in Organisationen

• 🔴 Rot – Pen-Tester/White-Hat-Hacker
• 🔵 Blau – SOC/Data Science/Telemetrie-Analyse/SIEM-Junkies
• 🟢 Grün – Fixer, nehmen Eingaben von Blau und Rot entgegen und erstellen die Fixes, die für identifizierte blinde Flecken (Blau) oder Schwachstellen/Risiken (Rot) benötigt werden
• 🟡 Gelb – Tooling, SWE, um neue Dinge für alle oben genannten zu bauen, damit sie schneller und effektiver arbeiten können

💡 (zurück nach oben)

Für Penetrationstests und Benchmarking

So führen Sie einen ordnungsgemäßen Pentest durch und benchmarken ein System, das durch dieses Repository gehärtet wurde, und bringen es so nah wie möglich an ein reales Szenario:

1. Verwenden Sie wenn möglich eine physische Maschine. Sie sollte über Windows 11-zertifizierte Hardware und ein Standardbenutzerkonto verfügen.

   • Wenn Sie keine physische Maschine verwenden können, verwenden Sie den Hyper-V-Hypervisor. Ihr Host (auch physische Maschine genannt) muss über Windows 11-zertifizierte Hardware verfügen und alle in der Readme erläuterten Hardware- und UEFI-Sicherheitsanforderungen erfüllen. VMs sind jedoch anfällig für Seitenkanalangriffe. Verwenden Sie diesen Angriffsvektor daher nicht in Pentests, wenn Sie realistischere Ergebnisse erzielen möchten.

2. Wenden Sie zuerst die Harden System Security App (alle Kategorien davon) an und verwenden Sie dann den AppControl Manager, um eine geeignete signierte App Control-Richtlinie bereitzustellen.

[!IMPORTANT]
Achten Sie immer auf die Microsoft Security Servicing Criteria für Windows, insbesondere auf die Sicherheitsgrenzen. Es gibt keine Sicherheitsgrenze zwischen Administrator und Kernel.

Einige Penetrationstester übersehen diese Tatsache und nehmen an, es sei eine Schwachstelle, dass sie als Administrator administrative Aufgaben wie das Deaktivieren von Sicherheitsfunktionen ausführen können. Dies ist ein erwartetes Verhalten. Administratoren haben die Macht, die Sicherheit eines Geräts zu kontrollieren und können Sicherheitsfunktionen nach eigenem Ermessen deaktivieren. Deshalb müssen Sie bei einem realistischen Penetrationstest ein Standardbenutzerkonto verwenden.

Ein weiterer zu berücksichtigender Aspekt ist die Mehrdeutigkeit des Wortes „Admin“. Es gibt mindestens zwei verschiedene Arten von Admins: Lokaler Admin und Cloud-Admin. Wenn Sie beispielsweise ein System testen, das eine Unternehmens-Cloud-Sicherheitslösung wie Microsoft Defender for Endpoint (MDE) nutzt, sollte der Admin-Zugriff als Cloud-Admin betrachtet werden, da diese Geräte Microsoft Entra ID verwenden und keinen lokalen Admin haben. In dieser Situation kann der Cloud-Admin Sicherheitsfunktionen wie erwartet mühelos deaktivieren, was einen Pentest mit lokalem Admin-Zugriff völlig sinnlos macht. Wenn Sie dagegen ein System testen, das nur auf persönlichen Sicherheitsfunktionen wie Microsoft Defender basiert, sollte Admin als lokaler Admin behandelt werden. In diesem Fall kann der Admin auch jede Sicherheitsfunktion aus den oben genannten Gründen deaktivieren.

Natürlich setzt Microsoft zusätzliche Sicherheitsmaßnahmen wie Protected Process Light (PPL) für Defense-in-Depth-Strategien ein, aber diese ändern nichts an den oben genannten Fakten. Das Ziel ist es, immer das Beste zu hoffen und das Schlimmste zu planen.

Fragen oder Anregungen?

Bitte eröffnen Sie ein neues Issue oder eine Diskussion im Repository.

💡 (zurück nach oben)

Verwandt

Azure DevOps Repository (Spiegel)

Harden Windows Security-Website

Offizielle globale IANA-IP-Blöcke für jedes Land

Windows Security Blog

WinSecureDNSMgr

Datenschutz, Anonymität und Kompartimentierung

Vertrauen

Dieses Repository verwendet effektive Methoden, die eine einfache Überprüfung ermöglichen:

• Artifact-Attestationen werden verwendet, um die Herkunft von Builds zu belegen. Sie garantieren, dass die Pakete zu 100 % aus dem Quellcode erstellt werden, der in diesem Repository vorhanden ist.

• SBOMs (Software Bill of Materials) werden für das gesamte Repository generiert, um Datenschutzstandards zu erfüllen und Transparenz zu bieten. Zusammen mit Attestation und Isolation bieten sie SLSA-L3-Sicherheitsstufe für den Build-Prozess.

• Sie können die Dateien in Visual Studio Code / Visual Studio Code Web / GitHub CodeSpace öffnen und in einer schönen und leicht lesbaren Umgebung anzeigen. Sie sind gut formatiert, kommentiert und eingerückt.

• Commits und Tags werden entweder mit meinem GPG-Schlüssel oder SSH-Schlüssel verifiziert, und der Vigilant-Modus ist in meinem GitHub-Konto aktiviert.

• Sie können dieses Repository forken, es bis zu diesem Zeitpunkt verifizieren und dann alle nachfolgenden Änderungen/Updates, die ich in dieses Repository pushe, in Ihrem eigenen Tempo verifizieren (mit den Optionen Sync fork und Compare in Ihrem Fork). Wenn Sie mit den Änderungen zufrieden sind, können Sie sie mit Ihrer eigenen Kopie/Ihrem eigenen Fork in Ihrem GitHub-Konto zusammenführen.

• Alle in diesem Repository angebotenen Apps sind signiert und im Microsoft Store verfügbar.

[!TIP]
Alle Dateien in diesem Repository werden gezippt und automatisch zur Überprüfung an VirusTotal übermittelt. Alle verfügbaren Pakete im letzten Release werden ebenfalls direkt zum Scannen hochgeladen. Dies erfolgt über eine GitHub Action, die jedes Mal ausgelöst wird, wenn ein Release erstellt oder ein PR zusammengeführt wird. Die Historie der hochgeladenen Dateien finden Sie in meinem VirusTotal-Profil.*

[!WARNING]
Zu Ihrer eigenen Sicherheit: Seien Sie vorsichtig, wenn Sie andere Tools, Programme oder Skripte von Drittanbietern in Betracht ziehen, die behaupten, Windows auf irgendeine Weise zu härten oder zu modifizieren. Überprüfen Sie deren Legitimität gründlich vor der Verwendung und nach jedem Release. Vermeiden Sie blindes Vertrauen in Internetquellen von Drittanbietern. Wenn diese nicht dieselben hohen Standards wie die Angebote dieses Repositorys einhalten, können sie Systemschäden, unbekannte Probleme und Fehler verursachen.

💡 (zurück nach oben)

Support

Wenn Sie Fragen, Anfragen, Vorschläge usw. zu diesem GitHub-Repository und seinem Inhalt haben, öffnen Sie bitte eine neue Diskussion oder ein Issue.

Melden einer Sicherheitslücke in diesem GitHub-Repository.

Ich bin auch privat erreichbar unter: [email protected]

💡 (zurück nach oben)

Sicherheitsempfehlungen

• Laden Sie Ihr Betriebssystem immer von offiziellen Microsoft-Websites herunter. Derzeit ist Windows 11 die neueste Version von Windows; die ISO-Datei kann von diesem offiziellen Microsoft-Server heruntergeladen werden. Eine der schlimmsten Dinge, die Sie Ihrer eigenen Sicherheit und Privatsphäre antun können, ist das Herunterladen Ihres Betriebssystems, das die Wurzel aller aktiven und passiven Sicherheitsmaßnahmen ist, von einer Drittanbieter-Website, die behauptet, die offiziellen unveränderten Dateien zu haben. Es gibt unzählige schlimme Dinge, die daraus resultieren können, wie z. B. dass Bedrohungsakteure Malware oder Hintertüren in das angepasste Betriebssystem einbetten oder vorinstallierte, angepasste Root-CA-Zertifikate in Ihrem Betriebssystem installieren, sodass sie TLS-Terminierung durchführen und alle Ihre HTTPS- und verschlüsselten Internetdaten im Klartext einsehen können, selbst wenn Sie ein VPN verwenden. Ein vergifteter und kompromittierter Zertifikatsspeicher ist das Ende für Sie, und das ist nur die Spitze des Eisbergs.

  • Siehe Wiki, um zu erfahren, wie man einen bootfähigen USB-Stick ohne Tools von Drittanbietern erstellt

• Wenn Sie ein Programm oder eine App installieren möchten, verwenden Sie zuerst den Microsoft Store oder Winget. Wenn das gesuchte Programm oder die App dort nicht verfügbar ist, laden Sie es von der offiziellen Website herunter. Erwägen Sie die Verwendung der WinGet-Verwaltungsseite in der App „Harden System Security“, um Ihre Programme oder Apps zu verwalten oder zu installieren. Die Verwendung von Winget oder dem Microsoft Store bietet viele Vorteile:

  • Microsoft-Store-UWP-Apps sind von Natur aus sicher, digital signiert und im MSIX-Format. Das bedeutet, dass ihre Installation und Deinstallation garantiert ist und nach der Deinstallation keine Rückstände verbleiben.

  • Der Microsoft Store enthält auch Win32-Apps; das sind herkömmliche .exe-Installationsprogramme, die wir alle kennen. Der Store verfügt über eine Bibliotheksfunktion, die das Auffinden zuvor installierter Apps erleichtert.

  • Sowohl Microsoft als auch Winget überprüfen standardmäßig den Hash der Dateien. Wenn ein Programm oder eine Datei manipuliert wurde, warnen sie Sie und blockieren die Installation, während Sie bei einem manuellen Download von einer Website den Datei-Hash manuell mit dem auf der Website angezeigten Hash überprüfen müssen, sofern vorhanden.

• Verwenden Sie sicheres DNS; Windows 11 unterstützt nativ DNS über HTTPS und DNS über TLS.

  • Verwenden Sie mein WinSecureDNSMgr-Modul, um DNS über HTTPS in Windows einfach zu konfigurieren

• Verwenden Sie nur Microsoft Edge als Browser; Er bietet den höchstbewerteten Schutz gegen Phishing und Malware, ist standardmäßig im Windows-Betriebssystem verfügbar und verfügt über eng integrierte, wertvolle Sicherheitsfunktionen wie Microsoft Defender Application Guard, Microsoft Defender SmartScreen, Hardware-Erzwungener Stack-Schutz, Arbitrary Code Guard (ACG), Control Flow Guard (CFG), Tracking Prevention und die vertrauenswürdige, integrierte Secure Network-Funktion von Cloudflare, um nur einige zu nennen.

• Aktivieren Sie immer die Zwei-Faktor-/Multi-Faktor-Authentifizierung auf Websites, Apps und Diensten, die Sie nutzen. Verwenden Sie vorzugsweise die Microsoft Authenticator-App, die über eine Backup- und Wiederherstellungsfunktion verfügt, sodass Sie nie den Zugriff auf Ihre TOTPs (zeitbasierte Einmalpasswörter) verlieren, selbst wenn Sie Ihr Telefon verlieren. Verfügbar für Android und iOS.

• Stellen Sie sicher, dass das OneDrive-Backup für wichtige Ordner (Desktop/Dokumente/Bilder) aktiviert ist. Es ist schnell, sicher und funktioniert unter allen Netzwerkbedingungen, und da es x64 (64-Bit) ist, kann es viele kleine und große Dateien gleichzeitig verarbeiten.

• Wenn Sie die Verwendung eines VPN in Betracht ziehen, ist es entscheidend, Urteilsvermögen zu üben und es nur dann zu nutzen, wenn es unbedingt notwendig ist. Ein VPN kann ein lebenswichtiges Werkzeug sein, wenn Sie in einem totalitären, kommunistischen oder diktatorischen Regime leben oder in einer Nation, in der demokratische Prinzipien nicht aufrechterhalten werden. Wenn Sie jedoch in einem Land leben, das nicht in diese Kategorien fällt, könnte es klug sein, die Notwendigkeit der VPN-Nutzung zu überdenken. Ihr lokaler ISP (Internetdienstanbieter) ist wahrscheinlich vertrauenswürdiger als der ISP, der mit einem entfernten VPN-Server verbunden ist. Durch die Nutzung eines VPN übertragen Sie lediglich das Vertrauen, das Sie Ihrem lokalen ISP entgegenbringen, auf eine unbekannte Einheit – den ISP, den der VPN-Anbieter nutzt. Es ist wichtig, sich nicht von den irreführenden Marketingtaktiken der VPN-Unternehmen beeinflussen zu lassen. Die wahren Identitäten, politischen Zugehörigkeiten, Hintergründe und Loyalitäten der Personen hinter diesen Diensten bleiben oft im Dunkeln. In den permissiven und offenen Gesellschaften der westlichen Welt ist es denkbar, dass ein VPN-Dienst von Einheiten mit fragwürdigen Absichten eingerichtet wird, einschließlich staatlicher Sponsoren des Terrorismus oder anderer feindlicher Akteure. Solche Dienste könnten genutzt werden, um Informationen zu sammeln, Data Mining zu betreiben und Benutzer zu verfolgen, was erhebliche Risiken für Ihre Privatsphäre und Sicherheit darstellt.

  • Es gibt Situationen, in denen die Nutzung eines VPN Sicherheit und Privatsphäre bieten kann. Zum Beispiel bei der Nutzung eines öffentlichen WLAN-Hotspots oder grundsätzlich jedes Netzwerks, über das Sie keine Kontrolle haben. Verwenden Sie in solchen Fällen Cloudflare WARP, das das WireGuard-Protokoll verwendet, oder wie erwähnt, verwenden Sie das Secure Network im Edge-Browser, das dasselbe sichere Cloudflare-Netzwerk nutzt. Es ist kostenlos, stammt von einem amerikanischen Unternehmen, das globalen Radar hat und viele Einblicke in Länder der Welt in Echtzeit bietet, mindestens 19,7 % aller Websites nutzen es (2022). Man kann wohl sagen, dass es eines der Rückgrate des Internets ist.

• Gehen Sie passwortlos mit Ihrem Microsoft-Konto und verwenden Sie die Windows Hello-Authentifizierung. In Ihrem Microsoft-Konto, das den Outlook-Dienst enthält, können Sie bis zu 10 E-Mail-Aliasse erstellen zusätzlich zu der einen E-Mail-Adresse, die Sie bei der Erstellung Ihres Microsoft-Kontos erhalten. Das bedeutet, dass Sie ohne ein neues Konto zu erstellen, 11 E-Mail-Adressen haben können, die alle dasselbe Postfach und Konto verwenden. Sie können festlegen, welcher dieser E-Mail-Aliasse zum Anmelden bei Ihrem Konto verwendet werden kann, in den Anmeldeeinstellungen Ihres Microsoft-Kontos. Wenn Sie also beispielsweise passwortlos arbeiten, können Sie bei Bedarf einen Ihrer E-Mail-Aliasse anderen zur Kommunikation geben oder zu Ihrem öffentlichen Profil hinzufügen und dann die Anmeldung mit diesem E-Mail-Alias blockieren, sodass niemand Ihnen Authenticator-Benachrichtigungen senden kann, indem er diesen E-Mail-Alias auf der Anmeldeseite eingibt. Verwenden Sie die anderen 10 privaten Aliasse, um sich beruhigt bei Ihrem Microsoft-Konto anzumelden. Sie können eine Regel in Ihrem Outlook erstellen, sodass alle E-Mails, die an Ihren öffentlichen E-Mail-Alias gesendet werden, in einem anderen Ordner gespeichert werden, getrennt von Ihren anderen Postfach-E-Mails. All dies kann mit einem kostenlosen Microsoft-Konto und der Outlook-Web-App erledigt werden.

• Legen Sie ein starkes Passwort für die UEFI-Firmware Ihres Geräts fest, damit vor Änderungen an der Firmware nach einem Passwort gefragt wird. Sie können das Passwort auch so konfigurieren, dass es beim Start erforderlich ist.

• Verwenden Sie NTFS (das Standard-Dateisystem in Windows) oder ReFS (Resilient File System, neuer). Zusätzlich zu all ihren Vorteilen unterstützen sie Mark Of The Web (MOTW) oder zone.identifier. Wenn eine Datei auf ein Gerät mit Windows heruntergeladen wird, wird Mark of the Web zur Datei hinzugefügt, das ihre Quelle als aus dem Internet stammend kennzeichnet. Sie können hier alle Informationen dazu lesen. Wenn Ihr USB-Stick als FAT32 formatiert ist, ändern Sie ihn in NTFS, da FAT32 das MOTW der Dateien nicht beibehält. Wenn die heruntergeladene Datei im .zip-Format komprimiert ist, stellen Sie sicher, dass Sie sie mit der integrierten Windows-Unterstützung für .zip-Dateien öffnen/extrahieren, da diese das MOTW der Dateien beibehält. Wenn die heruntergeladene komprimierte Datei in anderen Formaten wie .7zip oder .rar vorliegt, stellen Sie sicher, dass Sie ein Archivprogramm verwenden, das das Beibehalten des Mark of the Web der Dateien nach der Extraktion unterstützt. Eines dieser Programme ist NanaZip, ein Fork von 7zip, verfügbar im Microsoft Store und auf GitHub. Im Vergleich zu 7zip hat es eine bessere und modernere GUI, und die Anwendung ist digital signiert. Öffnen Sie es nach der Installation, navigieren Sie oben zu Tools und wählen Sie dann Options, setzen Sie Propagate zone.id stream auf Yes. Sie können diesen PowerShell-Befehl verwenden, um alle Informationen über die Zone Identifier der Dateien zu finden, die Sie aus dem Internet heruntergeladen haben.```powershell Get-Content -stream zone.identifier

• Wallet-Link

• Wallet-QR-Code

Bitcoin Cash

• Wallet-Adresse für BCH``` qrrj03927q90z4wg4nu2e3nf4y3qnun2ku7muv8rvm

• Wallet-Link

• Wallet-QR-Code

BSC (Binance Smart Chain - Coin)

• Wallet-Adresse für BSC``` 0xF784a3D4F9A7CC5c26d69de41D7dD6480112114D