このプロジェクトは、Windows 10 向けのシンプルなハードニングリストとして始まりました。しばらくして、Windows のハードニングを簡素化するために HardeningKitty が作成されました。現在、HardeningKitty は Microsoft、CIS Benchmarks、DoD STIG、BSI SiSyPHuS Win10 のガイドラインをサポートしています。そしてもちろん、私自身のハードニングリストも含まれています。
これは、Windows 10 のハードニングのためにプライベート環境およびビジネス環境で使用できるハードニングチェックリストです。このチェックリストはすべての Windows バージョンで使用できますが、Windows 10 Home ではグループポリシーエディターが統合されていないため、設定をレジストリで直接行う必要があります。このために、HardeningKitty には HailMary モードがあります。
これらの設定はセキュリティとプライバシーの推奨事項として見なされるべきであり、インフラストラクチャの運用に影響を与えたり、主要な機能の使いやすさに影響を与えたりしないか慎重に確認する必要があります。セキュリティと使いやすさのバランスを取ることが重要です。
このプロジェクトは、Windows 10 向けのシンプルなハードニングチェックリストの作成から始まりました。HardeningKitty の開発に伴い、焦点はさまざまな著名なフレームワーク／ベンチマークの監査に移行しました。現在では、さまざまな CIS ベンチマークと Microsoft セキュリティベースラインがサポートされています。HailMary モードの開発により、任意のハードニングチェックリストの設定を Windows システムに適用することも可能になります。
HardeningKitty は Windows システムのハードニングをサポートします。システムの構成は検出リストを使用して取得および評価されます。さらに、システムは事前定義された値に従ってハードニングできます。HardeningKitty はレジストリから設定を読み取り、他のモジュールを使用してレジストリ外の構成を読み取ります。
このスクリプトは英語版のシステム向けに開発されました。他の言語では分析が正しくない可能性があります。そのような場合は issue を作成してください。
HardeningKitty の開発はこのリポジトリで行われています。scip AG のリポジトリ には、scip AG のコード署名証明書で署名された安定版の HardeningKitty があります。これにより、署名済みスクリプトのみを許可するシステムでも HardeningKitty を実行できます。
マシン設定にアクセスするには、管理者権限でスクリプトを実行してください。ユーザー設定については、通常のユーザーアカウントで実行する方が適切です。理想的には、日常業務で使用するユーザーアカウントを使用します。
HardeningKitty をダウンロードし、ターゲットシステムにコピーします（スクリプトとリスト）。その後、HardeningKitty をインポートして実行できます：```powershell PS C:\tmp> Import-Module .\HardeningKitty.psm1 PS C:\tmp> Invoke-HardeningKitty -EmojiSupport
=^._.^=
_( )/ HardeningKitty 0.9.0-1662273740
[*] 9/4/2022 8:54:12 AM - Starting HardeningKitty
[] 9/4/2022 8:54:12 AM - Getting user information [] Hostname: DESKTOP-DG83TOD [*] Domain: WORKGROUP
...
[] [] 9/4/2022 8:54:12 AM - Starting Category Account Policies [😺] ID 1103, Store passwords using reversible encryption, Result=0, Severity=Passed [😺] ID 1100, Account lockout threshold, Result=10, Severity=Passed [😺] ID 1101, Account lockout duration, Result=30, Severity=Passed
...
[*] 9/4/2022 8:54:12 AM - Starting Category User Rights Assignment [😿] ID 1200, Access this computer from the network, Result=BUILTIN\Administrators;BUILTIN\Users, Recommended=BUILTIN\Administrators, Severity=Medium
...
[*] 9/4/2022 8:54:14 AM - Starting Category Administrative Templates: Printer [🙀] ID 1764, Point and Print Restrictions: When installing drivers for a new connection (CVE-2021-34527), Result=1, Recommended=0, Severity=High [🙀] ID 1765, Point and Print Restrictions: When updating drivers for an existing connection (CVE-2021-34527), Result=2, Recommended=0, Severity=High
...
[*] 9/4/2022 8:54:19 AM - Starting Category MS Security Guide [😿] ID 2200, LSA Protection, Result=, Recommended=1, Severity=Medium [😼] ID 2201, Lsass.exe audit mode, Result=, Recommended=8, Severity=Low
...
[] 9/4/2022 8:54:25 AM - HardeningKitty is done [] 9/4/2022 8:54:25 AM - Your HardeningKitty score is: 4.82. HardeningKitty Statistics: Total checks: 325 - Passed: 213, Low: 33, Medium: 76, High: 3.
### インストール方法
まず、*HardeningKitty* ディレクトリを作成し、*PSModulePath* 環境変数にリストされているパス内に、バージョンごとのサブディレクトリ（例: *0.9.3*）を作成します。
モジュール *HardeningKitty.psm1*、*HardeningKitty.psd1*、および *lists* ディレクトリをこの新しいディレクトリにコピーします。```powershell
PS C:\tmp> $Version = "0.9.3"
PS C:\tmp> New-Item -Path $Env:ProgramFiles\WindowsPowerShell\Modules\HardeningKitty\$Version -ItemType Directory
PS C:\tmp> Copy-Item -Path .\HardeningKitty.psd1,.\HardeningKitty.psm1,.\lists\ -Destination $Env:ProgramFiles\WindowsPowerShell\Modules\HardeningKitty\$Version\ -Recurse
詳細については、Microsoft の記事「Installing a PowerShell Module」を参照してください。
以下のスクリプトを使用して、HardeningKitty の最新リリースをダウンロードしてインストールできます。```powershell Function InstallHardeningKitty() { $Version = (((Invoke-WebRequest "https://api.github.com/repos/0x6d69636b/windows_hardening/releases/latest" -UseBasicParsing) | ConvertFrom-Json).Name).SubString(2) $HardeningKittyLatestVersionDownloadLink = ((Invoke-WebRequest "https://api.github.com/repos/0x6d69636b/windows_hardening/releases/latest" -UseBasicParsing) | ConvertFrom-Json).zipball_url $ProgressPreference = 'SilentlyContinue' Invoke-WebRequest $HardeningKittyLatestVersionDownloadLink -Out HardeningKitty$Version.zip Expand-Archive -Path ".\HardeningKitty$Version.zip" -Destination ".\HardeningKitty$Version" -Force $Folder = Get-ChildItem .\HardeningKitty$Version | Select-Object Name -ExpandProperty Name Move-Item ".\HardeningKitty$Version$Folder*" ".\HardeningKitty$Version" Remove-Item ".\HardeningKitty$Version$Folder" New-Item -Path $Env:ProgramFiles\WindowsPowerShell\Modules\HardeningKitty$Version -ItemType Directory Set-Location .\HardeningKitty$Version Copy-Item -Path .\HardeningKitty.psd1,.\HardeningKitty.psm1,.\lists\ -Destination $Env:ProgramFiles\WindowsPowerShell\Modules\HardeningKitty$Version\ -Recurse Import-Module "$Env:ProgramFiles\WindowsPowerShell\Modules\HardeningKitty$Version\HardeningKitty.psm1" } InstallHardeningKitty
### 例
#### 監査
デフォルトモードは _audit_ です。HardeningKitty は監査を実行し、結果を CSV ファイルに保存してログファイルを作成します。ファイルは自動的に命名され、タイムスタンプが付与されます。パラメータ _ReportFile_ または _LogFile_ を使用すると、独自の名前とパスを割り当てることも可能です。
_Filter_ パラメータを使用して、ハードニングリストをフィルタリングできます。そのためには PowerShell ScriptBlock 構文を使用する必要があります。例えば `{ $_.ID -eq 4505 }` のように記述します。フィルタリングには以下の要素が役立ちます: ID、Category、Name、Method、Severity。```powershell
Invoke-HardeningKitty -Mode Audit -Log -Report
HardeningKittyは、パラメータ FileFindingList で定義された特定のリストを使用して実行できます。同じシステム上でHardeningKittyを複数回実行する場合、マシン情報を非表示にすると便利なことがあります。この目的にはパラメータ SkipMachineInformation が使用されます。```powershell Invoke-HardeningKitty -FileFindingList .\lists\finding_list_0x6d69636b_user.csv -SkipMachineInformation
HardeningKittyはデフォルトリストを使用し、重大度がMediumのテストのみをチェックします。```powershell
Invoke-HardeningKitty -Filter { $_.Severity -eq "Medium" }
config モードは、システムの現在の設定をすべて取得します。設定が構成されていない場合、HardeningKitty は finding リストに保存されているデフォルト値を使用します。このモードは他の機能と組み合わせることができ、例えばバックアップを作成するために使用できます。
HardeningKitty は現在の設定を取得し、レポートに保存します：```powershell Invoke-HardeningKitty -Mode Config -Report -ReportFile C:\tmp\my_hardeningkitty_report.csv
#### バックアップ
バックアップは重要です。本当に重要です。そのため、HardeningKitty には現在の設定を取得し、部分的に復元可能な形式で保存する機能もあります。
**免責事項:** HardeningKitty は元の設定を復元しようとします。これはレジストリキーではかなりうまく機能し、Hardening Kitty は本当に最善を尽くします。しかし、バックアップ機能はスナップショットではなく、実際のシステムバックアップの代わりにはなりません。HailMary 後に HardeningKitty だけでシステムを 1:1 で復元することはできません。これが要件である場合は、イメージまたはシステムバックアップを作成し、それを復元してください。
_Backup_ スイッチは、ファイルがファインディングリストの形式で書き出されることを指定し、したがって _HailMary_ モードで使用できます。バックアップの名前とパスは、パラメータ _BackupFile_ で指定できます。```powershell
Invoke-HardeningKitty -Mode Config -Backup
この機能が対象システムで本当に正しく動作するか、重大な変更を加える前に必ずテストしてください。シュレーディンガーのバックアップは危険です。
-FileFindingList が指定されていない場合、バックアップはデフォルトの検出リストを参照することに注意してください。HailMary モードで 特定の リストを展開する前に、必ず その特定のリストを参照する バックアップを作成してください。```powershell Invoke-HardeningKitty -Mode Config -Backup -BackupFile ".\myBackup.csv" -FileFindingList ".\list{list}.csv"
##### バックアップの復元
_Backup_ スイッチはファインディングリスト形式のファイルを作成します。バックアップを復元するには、他のファインドリストと同様に _HailMary_ モードで読み込みます:```powershell
Invoke-HardeningKitty -Mode HailMary -Log -Report -FileFindingList ".\myBackup.csv"
HailMary メソッドは非常に強力です。これはシステム上に検出結果リストを展開するために使用できます。すべての検出結果は、リストで推奨されているとおりにこのシステム上に設定されます。力には責任が伴います。このモードは、自分が何をしているかを理解している場合にのみ使用してください。システムのバックアップを必ず取得してください。