scipag/hardeningkittyHardeningKitty - Checks and hardens your Windows configuration
Esta é a versão estável do HardeningKitty do Windows Hardening Project por Michael Schneider. A versão estável do HardeningKitty é assinada com o certificado de assinatura de código da scip AG. Como esta é a versão estável, não aceitamos pull requests neste repositório; envie-os para o repositório de desenvolvimento.
O HardeningKitty suporta hardening de um sistema Windows. A configuração do sistema é obtida e avaliada usando uma lista de descobertas. Além disso, o sistema pode ser endurecido de acordo com valores predefinidos. O HardeningKitty lê as configurações do registro e usa outros módulos para ler configurações fora do registro.
O script foi desenvolvido para sistemas em inglês. É possível que em outros idiomas a análise seja incorreta. Por favor, crie uma issue se isso ocorrer.
Execute o script com privilégios administrativos para acessar as configurações da máquina. Para as configurações do usuário, é melhor executá-las com uma conta de usuário normal. Idealmente, a conta de usuário é usada para o trabalho diário.
Baixe o HardeningKitty e copie-o para o sistema de destino (script e listas). Em seguida, o HardeningKitty pode ser importado e executado:```powershell PS C:\tmp> Import-Module .\HardeningKitty.psm1 PS C:\tmp> Invoke-HardeningKitty -EmojiSupport
=^._.^=
_( )/ HardeningKitty 0.9.0-1662273740
[*] 9/4/2022 8:54:12 AM - Starting HardeningKitty
[] 9/4/2022 8:54:12 AM - Getting user information [] Hostname: DESKTOP-DG83TOD [*] Domain: WORKGROUP
...
[] [] 9/4/2022 8:54:12 AM - Starting Category Account Policies [😺] ID 1103, Store passwords using reversible encryption, Result=0, Severity=Passed [😺] ID 1100, Account lockout threshold, Result=10, Severity=Passed [😺] ID 1101, Account lockout duration, Result=30, Severity=Passed
...
[*] 9/4/2022 8:54:12 AM - Starting Category User Rights Assignment [😿] ID 1200, Access this computer from the network, Result=BUILTIN\Administrators;BUILTIN\Users, Recommended=BUILTIN\Administrators, Severity=Medium
...
[*] 9/4/2022 8:54:14 AM - Starting Category Administrative Templates: Printer [🙀] ID 1764, Point and Print Restrictions: When installing drivers for a new connection (CVE-2021-34527), Result=1, Recommended=0, Severity=High [🙀] ID 1765, Point and Print Restrictions: When updating drivers for an existing connection (CVE-2021-34527), Result=2, Recommended=0, Severity=High
...
[*] 9/4/2022 8:54:19 AM - Starting Category MS Security Guide [😿] ID 2200, LSA Protection, Result=, Recommended=1, Severity=Medium [😼] ID 2201, Lsass.exe audit mode, Result=, Recommended=8, Severity=Low
...
[] 9/4/2022 8:54:25 AM - HardeningKitty is done [] 9/4/2022 8:54:25 AM - Your HardeningKitty score is: 4.82. HardeningKitty Statistics: Total checks: 325 - Passed: 213, Low: 33, Medium: 76, High: 3.
## Como Instalar
Primeiro crie o diretório *HardeningKitty* e, para cada versão, um subdiretório como *0.9.3* em um caminho listado na variável de ambiente *PSModulePath*.
Copie o módulo *HardeningKitty.psm1*, *HardeningKitty.psd1* e o diretório *lists* para este novo diretório.```powershell
PS C:\tmp> $Version = "0.9.3"
PS C:\tmp> New-Item -Path $Env:ProgramFiles\WindowsPowerShell\Modules\HardeningKitty\$Version -ItemType Directory
PS C:\tmp> Copy-Item -Path .\HardeningKitty.psd1,.\HardeningKitty.psm1,.\lists\ -Destination $Env:ProgramFiles\WindowsPowerShell\Modules\HardeningKitty\$Version\ -Recurse
Para obter mais informações, consulte o artigo da Microsoft Instalando um Módulo PowerShell.
Você pode usar o script abaixo para baixar e instalar a última versão do HardeningKitty.```powershell Function InstallHardeningKitty() { $Version = (((Invoke-WebRequest "https://api.github.com/repos/0x6d69636b/windows_hardening/releases/latest" -UseBasicParsing) | ConvertFrom-Json).Name).SubString(2) $HardeningKittyLatestVersionDownloadLink = ((Invoke-WebRequest "https://api.github.com/repos/0x6d69636b/windows_hardening/releases/latest" -UseBasicParsing) | ConvertFrom-Json).zipball_url $ProgressPreference = 'SilentlyContinue' Invoke-WebRequest $HardeningKittyLatestVersionDownloadLink -Out HardeningKitty$Version.zip Expand-Archive -Path ".\HardeningKitty$Version.zip" -Destination ".\HardeningKitty$Version" -Force $Folder = Get-ChildItem .\HardeningKitty$Version | Select-Object Name -ExpandProperty Name Move-Item ".\HardeningKitty$Version$Folder*" ".\HardeningKitty$Version" Remove-Item ".\HardeningKitty$Version$Folder" New-Item -Path $Env:ProgramFiles\WindowsPowerShell\Modules\HardeningKitty$Version -ItemType Directory Set-Location .\HardeningKitty$Version Copy-Item -Path .\HardeningKitty.psd1,.\HardeningKitty.psm1,.\lists\ -Destination $Env:ProgramFiles\WindowsPowerShell\Modules\HardeningKitty$Version\ -Recurse Import-Module "$Env:ProgramFiles\WindowsPowerShell\Modules\HardeningKitty$Version\HardeningKitty.psm1" } InstallHardeningKitty
## Exemplos
### Auditoria
O modo padrão é _audit_. O HardeningKitty executa uma auditoria, salva os resultados em um arquivo CSV e cria um arquivo de log. Os arquivos são nomeados automaticamente e recebem um timestamp. Usando os parâmetros _ReportFile_ ou _LogFile_, também é possível atribuir seu próprio nome e caminho.
O parâmetro _Filter_ pode ser usado para filtrar a lista de hardening. Para isso, deve-se usar a sintaxe do ScriptBlock do PowerShell, por exemplo `{ $_.ID -eq 4505 }`. Os seguintes elementos são úteis para filtragem: ID, Categoria, Nome, Método e Severidade.```powershell
Invoke-HardeningKitty -Mode Audit -Log -Report
HardeningKitty pode ser executado com uma lista específica definida pelo parâmetro FileFindingList. Se o HardeningKitty for executado várias vezes no mesmo sistema, pode ser útil ocultar as informações da máquina. O parâmetro SkipMachineInformation é usado para esse fim.```powershell Invoke-HardeningKitty -FileFindingList .\lists\finding_list_0x6d69636b_user.csv -SkipMachineInformation
HardeningKitty usa a lista padrão e verifica apenas testes com severidade Medium.```powershell
Invoke-HardeningKitty -Filter { $_.Severity -eq "Medium" }
O modo config recupera todas as definições atuais de um sistema. Se uma definição não tiver sido configurada, o HardeningKitty utilizará um valor predefinido armazenado na lista de descobertas. Este modo pode ser combinado com outras funções, por exemplo, para criar uma cópia de segurança.
O HardeningKitty obtém as definições atuais e armazena-as num relatório:```powershell Invoke-HardeningKitty -Mode Config -Report -ReportFile C:\tmp\my_hardeningkitty_report.csv
### Backup
Backups são importantes. Muito importantes. Portanto, o HardeningKitty também possui uma função para recuperar a configuração atual e salvá-la em uma forma que pode ser parcialmente restaurada.
**Aviso:** O HardeningKitty tenta restaurar a configuração original. Isso funciona muito bem com chaves de registro e o Hardening Kitty realmente faz o seu melhor. Mas a função de backup não é um snapshot e não substitui um backup real do sistema. Não é possível restaurar o sistema 1:1 somente com o HardeningKitty após o HailMary. Se esse for um requisito, crie uma imagem ou backup do sistema e restaure-o.
O parâmetro _Backup_ especifica que o arquivo é gravado na forma de uma lista de descobertas e, portanto, pode ser usado para o modo _HailMary_. O nome e o caminho do backup podem ser especificados com o parâmetro _BackupFile_.```powershell
Invoke-HardeningKitty -Mode Config -Backup
Por favor, teste esta função para ver se ela realmente funciona corretamente no sistema de destino antes de fazer qualquer alteração séria. Um backup de Schrödinger é perigoso.
Observe que, se -FileFindingList não for especificado, o backup é associado à lista de descobertas padrão. Antes de implantar uma lista específica no modo HailMary, crie sempre um backup associado a essa lista específica.```powershell Invoke-HardeningKitty -Mode Config -Backup -BackupFile ".\myBackup.csv" -FileFindingList ".\list{list}.csv"
#### Restaurando um Backup
A opção _Backup_ cria um arquivo na forma de uma lista de descobertas; para restaurar o backup, carregue-o no modo _HailMary_ como qualquer lista de descobertas:```powershell
Invoke-HardeningKitty -Mode HailMary -Log -Report -FileFindingList ".\myBackup.csv"
O método HailMary é muito poderoso. Pode ser usado para implantar uma lista de descobertas em um sistema. Todas as descobertas são definidas neste sistema conforme recomendado na lista. Com poder vem responsabilidade. Use este modo somente se você souber o que está fazendo. Certifique-se de ter um backup do sistema.
Por enquanto, a função de filtro é suportada apenas nos modos Audit e Config. Como o modo HailMary é uma questão delicada, crie seu próprio arquivo e remova todas as linhas que deseja filtrar.```powershell Invoke-HardeningKitty -Mode HailMary -Log -Report -FileFindingList .\lists\finding_list_0x6d69636b_machine.csv
Antes de executar o HailMary, uma lista de achados deve ser selecionada. É importante verificar se as configurações têm influência na estabilidade e funcionalidade do sistema. Antes de executar o HailMary, deve ser feito um backup.
### Criar uma Política de Grupo (experimental)
Graças a [@gderybel](https://github.com/gderybel), o HardeningKitty pode converter uma lista de achados em uma política de grupo. Como requisito básico, o módulo do PowerShell Group Policy Management deve estar instalado. No momento, apenas configurações de registro podem ser convertidas e nem tudo foi testado ainda. Uma nova política é criada; desde que não seja atribuída a um objeto, nenhuma alteração é feita no sistema. Use com cuidado.```powershell
Invoke-HardeningKitty -Mode GPO -FileFindingList .\lists\finding_list_0x6d69636b_machine.csv -GPOName HardeningKitty-Machine-01
Nos modos de gravação (HailMary e GPO), a lista de descobertas controla totalmente o que é aplicado ao sistema. Para garantir que uma lista não foi adulterada a caminho do operador (por exemplo, repositório envenenado, baseline compartilhada, "execute esta lista" baixada ou enviada por e-mail), o HardeningKitty pode verificar se uma lista é autêntica e inalterada em relação à publicada pelo mantenedor.
As listas oficiais são atestadas por um manifesto assinado incluído no diretório lists\:
lists\hardeningkitty_lists_manifest.psd1 - um arquivo legível que mapeia cada lista oficial para o seu hash SHA-256lists\hardeningkitty_lists_manifest.psd1.p7s - uma assinatura destacada sobre esse manifesto, criada com o certificado do mantenedorEm tempo de execução, o HardeningKitty verifica a assinatura destacada e confere se o certificado do signatário corresponde à impressão digital fixada no módulo ($HardeningKittyListSigningThumbprint). Ele também compara o hash da lista carregada com o manifesto. Uma lista cujo hash esteja no manifesto assinado é oficial / verificada. Qualquer outra lista é personalizada / não verificada. Isso é proveniência, não uma lista de permissões - listas personalizadas são totalmente suportadas.
Comportamento por modo:
Invoke-HardeningKitty -Mode HailMary -FileFindingList .\my_custom_list.csv -AllowCustomList
Observe que a verificação apenas confirma que uma lista não foi alterada pelo publicador. Ela não pode garantir que as configurações em uma lista sejam seguras. Ela também não protege contra um administrador mal-intencionado - alguém com privilégios de administrador pode alterar o sistema diretamente. No entanto, ela protege o operador honesto contra a execução de uma lista adulterada ou incorreta.
### Executando Suas Próprias Listas
Criar e executar suas próprias listas personalizadas é totalmente suportado. Uma lista personalizada não assinada simplesmente é executada em Audit/Config e exige a opção `-AllowCustomList` no modo de gravação. Para obter a mesma experiência 'verificada' para suas próprias listas, assine o conteúdo da sua lista com seu certificado de assinatura de código e fixe sua impressão digital localmente. A âncora de confiança do HardeningKitty é uma única impressão digital.
### Por que RSA e não ECC?
O manifesto é assinado e verificado como uma estrutura PKCS#7/CMS (`System.Security.Cryptography.Pkcs.SignedCms`). No Windows PowerShell 5.1 (.NET Framework 4.x, ainda o padrão no Windows), a assinatura/verificação CMS com chaves ECDSA não é confiável, enquanto o RSA funciona tanto no Windows PowerShell 5.1 quanto no PowerShell 7. Como o HardeningKitty precisa ser executado em ambos, o RSA-4096 é a escolha interoperável.
## Pontuação do HardeningKitty
Cada resultado Aprovado vale 4 pontos, um resultado Baixo vale 2 pontos, um resultado Médio vale 1 ponto e um resultado Alto vale 0 pontos.
A fórmula para a Pontuação do HardeningKitty é _(Pontos obtidos / Pontos máximos) * 5 + 1_.
### Classificação
| Pontuação | Classificação Casual | Classificação Profissional |
| :---- | :------------ | :------------------ |
| 6 | 😹 Excelente | Excelente |
| 5 | 😺 Muito bem | Bom |
| 4 | 😼 Suficiente | Suficiente |
| 3 | 😿 Você deveria fazer melhor | Insuficiente |
| 2 | 🙀 Fraco | Insuficiente |
| 1 | 😾 Péssimo | Insuficiente |
## Interface do HardeningKitty
[@ataumo](https://github.com/ataumo) construiu uma interface baseada na web para o HardeningKitty. A ferramenta pode ser usada para criar suas próprias listas e fornece informações adicionais sobre as configurações de hardening. O [código-fonte](https://github.com/ataumo/policies_hardening_interface) está sob licença AGPL e há um [site de demonstração](https://phi.cryptonit.fr/policies_hardening_interface/).
## KittyPorter - Torne os Relatórios do Hardening Kitty Ótimos Novamente
[Yair](https://github.com/Y8765) cuidou de apresentar os resultados do HardeningKitty para administradores de sistemas e até mesmo para a gestão, na forma de uma bela planilha do Excel contendo Painéis de Avaliação de Segurança e um Painel com Atualizações Dinâmicas com base no status dos resultados, bem como uma Visão Geral do Relatório em HTML. Ele publica seu trabalho no repositório [KittyPorter](https://github.com/Y8765/KittyPorter).
## Última Atualização
O HardeningKitty pode ser usado para auditar sistemas contra as seguintes linhas de base / benchmarks:
| Nome | Versão do Sistema | Versão |
| :--- | :---------------- | :------ |
| 0x6d69636b Windows 11 (Machine) | 25H2 | |
| 0x6d69636b Windows 11 (User) | 25H2 | |
| BSI SiSyPHuS Windows 10 hoher Schutzbedarf Domänenmitglied (Machine) | 1809 | 1.0 |
| BSI SiSyPHuS Windows 10 hoher Schutzbedarf Domänenmitglied (User) | 1809| 1.0
| BSI SiSyPHuS Windows 10 normaler Schutzbedarf Domänenmitglied (Machine) | 1809| 1.0 |
| BSI SiSyPHuS Windows 10 normaler Schutzbedarf Domänenmitglied (User) | 1809| 1.0 |
| BSI SiSyPHuS Windows 10 normaler Schutzbedarf Einzelrechner (Machine) | 1809| 1.0 |
| BSI SiSyPHuS Windows 10 normaler Schutzbedarf Einzelrechner (User) | 1809 | 1.0 |
| CIS Microsoft Windows 10 Enterprise (Machine) | 1809 | 1.6.1 |
| CIS Microsoft Windows 10 Enterprise (User) | 1809 | 1.6.1 |
| CIS Microsoft Windows 10 Enterprise (Machine) | 1903 | 1.7.1 |
| CIS Microsoft Windows 10 Enterprise (User) | 1903 | 1.7.1 |
| CIS Microsoft Windows 10 Enterprise (Machine) | 1909 | 1.8.1 |
| CIS Microsoft Windows 10 Enterprise (User) | 1909 | 1.8.1 |
| CIS Microsoft Windows 10 Enterprise (Machine) | 2004 | 1.9.1 |
| CIS Microsoft Windows 10 Enterprise (User) | 2004 | 1.9.1 |
| CIS Microsoft Windows 10 Enterprise (Machine) | 20H2 | 1.10.1 |
| CIS Microsoft Windows 10 Enterprise (User) | 20H2 | 1.10.1 |
| CIS Microsoft Windows 10 Enterprise (Machine) | 21H1 | 1.11.0 |
| CIS Microsoft Windows 10 Enterprise (User) | 21H1 | 1.11.0 |
| CIS Microsoft Windows 10 Enterprise (Machine) | 21H2 | 1.12.0 |
| CIS Microsoft Windows 10 Enterprise (User) | 21H2 | 1.12.0 |
| CIS Microsoft Windows 10 Enterprise (Machine) | 22H2 | 2.0.0 |
| CIS Microsoft Windows 10 Enterprise (User) | 22H2 | 2.0.0 |
| CIS Microsoft Windows 10 Enterprise (Machine) | 22H2 | 3.0.0 |
| CIS Microsoft Windows 10 Enterprise (User) | 22H2 | 3.0.0 |
| CIS Microsoft Windows 11 Enterprise (Machine) | 21H2 | 1.0.0 |
| CIS Microsoft Windows 11 Enterprise (User) | 21H2 | 1.0.0 |
| CIS Microsoft Windows 11 Enterprise (Machine) | 22H2 | 2.0.0 |
| CIS Microsoft Windows 11 Enterprise (User) | 22H2 | 2.0.0 |
| CIS Microsoft Windows 11 Enterprise (Machine) | 23H2 | 3.0.0 |
| CIS Microsoft Windows 11 Enterprise (User) | 23H2 | 3.0.0 |
| CIS Microsoft Windows 11 Enterprise (Machine) | 24H2 | 4.0.0 |
| CIS Microsoft Windows 11 Enterprise (User) | 24H2 | 4.0.0 |
| CIS Microsoft Windows Server 2012 R2 (Machine) | R2 | 2.4.0 |
| CIS Microsoft Windows Server 2012 R2 (User) | R2 | 2.4.0 |
| CIS Microsoft Windows Server 2012 R2 (Machine) | R2 | 2.6.0 |
| CIS Microsoft Windows Server 2012 R2 (User) | R2 | 2.6.0 |
| CIS Microsoft Windows Server 2012 R2 (Machine) | R2 | 3.0.0 |
| CIS Microsoft Windows Server 2012 R2 (User) | R2 | 3.0.0 |
| CIS Microsoft Windows Server 2016 (Machine) | 1607 | 1.2.0 |
| CIS Microsoft Windows Server 2016 (User) | 1607 | 1.2.0 |
| CIS Microsoft Windows Server 2016 (Machine) | 1607 | 1.3.0 |
| CIS Microsoft Windows Server 2016 (User) | 1607 | 1.3.0 |
| CIS Microsoft Windows Server 2016 (Machine) | 1607 | 2.0.0 |
| CIS Microsoft Windows Server 2016 (User) | 1607 | 2.0.0 |
| CIS Microsoft Windows Server 2016 (Machine) | 1607 | 3.0.0 |
| CIS Microsoft Windows Server 2016 (User) | 1607 | 3.0.0 |
| CIS Microsoft Windows Server 2019 (Machine) | 1809 | 1.1.0 |
| CIS Microsoft Windows Server 2019 (User) | 1809 | 1.1.0 |
| CIS Microsoft Windows Server 2019 (Machine) | 1809 | 1.2.1 |
| CIS Microsoft Windows Server 2019 (User) | 1809 | 1.2.1 |
| CIS Microsoft Windows Server 2019 (Machine) | 1809 | 2.0.0 |
| CIS Microsoft Windows Server 2019 (User) | 1809 | 2.0.0 |
| CIS Microsoft Windows Server 2019 (Machine) | 1809 | 3.0.0 |
| CIS Microsoft Windows Server 2019 (User) | 1809 | 3.0.0 |
| CIS Microsoft Windows Server 2022 (Machine) | 21H2 | 1.0.0 |
| CIS Microsoft Windows Server 2022 (User) | 21H2 | 1.0.0 |
| CIS Microsoft Windows Server 2022 (Machine) | 22H2 | 2.0.0 |
| CIS Microsoft Windows Server 2022 (User) | 22H2 | 2.0.0 |
| CIS Microsoft Windows Server 2022 (Machine) | 22H2 | 3.0.0 |
| CIS Microsoft Windows Server 2022 (User) | 22H2 | 3.0.0 |
| CIS Microsoft Windows Server 2022 (Machine) | 22H2 | 4.0.0 |
| CIS Microsoft Windows Server 2022 (User) | 22H2 | 4.0.0 |
| CIS Microsoft Windows Server 2025 (Machine) | 24H2 | 1.0.0 |
| CIS Microsoft Windows Server 2025 (User) | 24H2 | 1.0.0 |
| DoD Microsoft Windows 10 STIG (Machine) | 20H2 | v2r1 |
| DoD Microsoft Windows 10 STIG (User) | 20H2 | v2r1 |
| DoD Windows Server 2019 Domain Controller STIG (Machine) | 20H2 | v2r1 |
| DoD Windows Server 2019 Domain Controller STIG (User) | 20H2 | v2r1 |
| DoD Windows Server 2019 Member Server STIG (Machine) | 20H2 | v2r1 |
| DoD Windows Server 2019 Member Server STIG (User) | 20H2 | v2r1 |
| DoD Windows Defender Antivirus STIG | 20H2 | v2r1 |
| DoD Windows Firewall STIG | 20H2 | v1r7 |
| Microsoft Security baseline for Microsoft Edge | 87 | Final |
| Microsoft Security baseline for Microsoft Edge | 88, 89, 90, 91 | Final |
| Microsoft Security baseline for Microsoft Edge | 92 | Final |
| Microsoft Security baseline for Microsoft Edge | 93, 94 | Final |
| Microsoft Security baseline for Microsoft Edge | 95 | Final |
| Microsoft Security baseline for Microsoft Edge | 96 | Final |
| Microsoft Security baseline for Microsoft Edge | 97 | Final |
| Microsoft Security baseline for Microsoft Edge | 98, 99, 100, 101, 102, 103, 104, 105, 106 | Final |
| Microsoft Security baseline for Microsoft Edge | 107, 108, 109, 110, 111 | Final |
| Microsoft Security baseline for Microsoft Edge | 112, 113 | Final |
| Microsoft Security baseline for Microsoft Edge | 114, 115, 116 | Final |
| Microsoft Security baseline for Microsoft Edge | 117, 118, 119, 120, 121, 122, 123, 124, 125, 126, 127 | Final |
| Microsoft Security baseline for Microsoft Edge | 128, 129, 130, 131, 132, 133, 134, 135, 136, 137, 138 | Final |
| Microsoft Security baseline for Microsoft Edge | 139, 140, 141, 142, 143, 144, 145, 146, 147, 148, 149 | Final |
| Microsoft Security baseline for Windows 10 | 2004 | Final |
| Microsoft Security baseline for Windows 10 | 20H2, 21H1 | Final |
| Microsoft Security baseline for Windows 10 | 21H2 | Final |
| Microsoft Security baseline for Windows 10 (Machine) | 22H2 | Final |
| Microsoft Security baseline for Windows 10 (User) | 22H2 | Final |
| Microsoft Security baseline for Windows 11 | 21H2 | Final |
| Microsoft Security baseline for Windows 11 (Machine) | 22H2 | Final |
| Microsoft Security baseline for Windows 11 (User) | 22H2 | Final |
| Microsoft Security baseline for Windows 11 (Machine) | 23H2 | Final |
| Microsoft Security baseline for Windows 11 (User) | 23H2 | Final |
| Microsoft Security baseline for Windows 11 (Machine) | 24H2 | Final |
| Microsoft Security baseline for Windows 11 (User) | 24H2 | Final |
| Microsoft Security baseline for Windows 11 (Machine) | 25H2 | Final |
| Microsoft Security baseline for Windows 11 (User) | 25H2 | Final |
| Microsoft Security baseline for Windows Server (DC) | 2004 | Final |
| Microsoft Security baseline for Windows Server (Member) | 2004 | Final |
| Microsoft Security baseline for Windows Server (DC) | 20H2 | Final |
| Microsoft Security baseline for Windows Server (Member) | 20H2 | Final |
| Microsoft Security baseline for Windows Server 2022 (DC) | 21H2 | Final |
| Microsoft Security baseline for Windows Server 2022 (Member) | 21H2 | Final |
| Microsoft Security baseline for Windows Server 2025 (DC) | 24H2 | Final |
| Microsoft Security baseline for Windows Server 2025 (Member) | 24H2 | Final |
| Microsoft Security baseline for Windows Server 2025 (DC) | 2506 | Final |
| Microsoft Security baseline for Windows Server 2025 (Member) | 2506 | Final |
| Microsoft Security baseline for Windows Server 2025 (DC) | 2602 | Final |
| Microsoft Security baseline for Windows Server 2025 (Member) | 2602 | Final |
| Microsoft Security baseline for Office 365 ProPlus (Machine) | Sept 2019 | Final |
| Microsoft Security baseline for Office 365 ProPlus (User) | Sept 2019 | Final |
| Microsoft Security Baseline for Microsoft 365 Apps for enterprise (Machine) | v2104, v2106 | Final |
| Microsoft Security Baseline for Microsoft 365 Apps for enterprise (User) | v2104, v2106 | Final |
| Microsoft Security Baseline for Microsoft 365 Apps for enterprise (Machine) | v2112 | Final |
| Microsoft Security Baseline for Microsoft 365 Apps for enterprise (User) | v2112 | Final |
| Microsoft Security Baseline for Microsoft 365 Apps for enterprise (Machine) | v2206 | Final |
| Microsoft Security Baseline for Microsoft 365 Apps for enterprise (User) | v2206 | Final |
| Microsoft Security Baseline for Microsoft 365 Apps for enterprise (Machine) | v2306, v2312 | Final |
| Microsoft Security Baseline for Microsoft 365 Apps for enterprise (User) | v2306, v2312 | Final |
| Microsoft Security Baseline for Microsoft 365 Apps for enterprise (Machine) | v2412 | Final |
| Microsoft Security Baseline for Microsoft 365 Apps for enterprise (User) | v2412 | Final |
| Microsoft Security Baseline for Microsoft 365 Apps for enterprise (Machine) | v2512 | Final |
| Microsoft Security Baseline for Microsoft 365 Apps for enterprise (User) | v2512 | Final |
| Microsoft Windows Server TLS Settings | 1809 | 1.0 |
| Microsoft Windows Server TLS Settings (Future Use with TLSv1.3) | 1903 | 1.0 |
## Fontes* [Referências CIS](https://www.cisecurity.org/cis-benchmarks/)
* [Baseline de segurança (FINAL): Windows 10 e Windows Server, versão 2004](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-final-windows-10-and-windows-server-version/ba-p/1543631)
* [Baseline de segurança (FINAL) para Windows 10 e Windows Server, versão 20H2](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-final-for-windows-10-and-windows-server/ba-p/1999393)
* [Baseline de segurança (FINAL) para Windows 10, versão 21H1](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-final-for-windows-10-version-21h1/ba-p/2362353)
* [Baseline de segurança para Windows 10, versão 21H2](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-windows-10-version-21h2/ba-p/3042703)
* [Baseline de segurança do Windows Server 2022](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/windows-server-2022-security-baseline/ba-p/2724685)
* [Baseline de segurança para Windows Server 2025, baseline de segurança](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/windows-server-2025-security-baseline/4358733)
* [Baseline de segurança para Windows Server 2025, versão 2506](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/security-baseline-for-windows-server-2025-version-2506/4426431)
* [Baseline de segurança para Windows Server 2025, versão 2602](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/security-baseline-for-windows-server-2025-version-2602/4496468)
* [Baseline de segurança do Windows 11](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/windows-11-security-baseline/ba-p/2810772)
* [Baseline de segurança do Windows 11, versão 22H2](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/windows-11-version-22h2-security-baseline/ba-p/3632520)
* [Baseline de segurança do Windows 11, versão 23H2](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/windows-11-version-23h2-security-baseline/ba-p/3967618)
* [Baseline de segurança do Windows 11, versão 24H2](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/windows-11-version-24h2-security-baseline/ba-p/4252801)
* [Baseline de segurança do Windows 11, versão 25H2](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/windows-11-version-25h2-security-baseline/4456231)
* [Proteção de DMA do kernel para Thunderbolt 3](https://docs.microsoft.com/en-us/windows/security/information-protection/kernel-dma-protection-for-thunderbolt)
* [Contramedidas do BitLocker](https://docs.microsoft.com/en-us/windows/security/information-protection/bitlocker/bitlocker-countermeasures)
* [Bloqueio do driver SBP-2 e dos controladores Thunderbolt para reduzir as ameaças de DMA 1394 e DMA Thunderbolt ao BitLocker](https://support.microsoft.com/en-us/help/2516445/blocking-the-sbp-2-driver-and-thunderbolt-controllers-to-reduce-1394-d)
* [Gerenciar o Windows Defender Credential Guard](https://docs.microsoft.com/en-us/windows/security/identity-protection/credential-guard/credential-guard-manage)
* [Reduzir superfícies de ataque com regras de redução de superfície de ataque](https://docs.microsoft.com/en-us/windows/security/threat-protection/microsoft-defender-atp/attack-surface-reduction)
* [Configurando proteção adicional da LSA](https://docs.microsoft.com/en-us/windows-server/security/credentials-protection-and-management/configuring-additional-lsa-protection)
* [Abrir com segurança documentos do Microsoft Office que contêm campos Dynamic Data Exchange (DDE)](https://docs.microsoft.com/en-us/security-updates/securityadvisories/2017/4053440)
* [Configurações de registro do DDE](https://gist.githubusercontent.com/wdormann/732bb88d9b5dd5a66c9f1e1498f31a1b/raw/69c9d9d14b386d8f178e59a046804501ec1ee304/disable_ddeauto.reg)
* [Sysmon](https://docs.microsoft.com/en-us/sysinternals/downloads/sysmon)
* [SwiftOnSecurity/sysmon-config](https://github.com/SwiftOnSecurity/sysmon-config)
* [Dane Stuckey - @cryps1s Isolamento de endpoint com o Firewall do Windows](https://medium.com/@cryps1s/endpoint-isolation-with-the-windows-firewall-462a795f4cfb)
* [Microsoft Security Compliance Toolkit 1.0](https://www.microsoft.com/en-us/download/details.aspx?id=55319)
* [Policy Analyzer](https://blogs.technet.microsoft.com/secguide/2016/01/22/new-tool-policy-analyzer/)
* [Baseline de segurança para Office 365 ProPlus (v1908, setembro de 2019) - FINAL](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-office-365-proplus-v1908-sept-2019-final/ba-p/873084)
* [Baseline de segurança para Microsoft 365 Apps for enterprise v2104 - FINAL](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-365-apps-for-enterprise-v2104/ba-p/2307695)
* [Baseline de segurança para Microsoft 365 Apps for enterprise v2106 - FINAL](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-365-apps-for-enterprise-v2106/ba-p/2492355)
* [Baseline de segurança para Microsoft 365 Apps for enterprise, v2112](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-365-apps-for-enterprise-v2112/ba-p/3038172)
* [Baseline de segurança para Microsoft 365 Apps for enterprise v2206](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-m365-apps-for-enterprise-v2306/ba-p/3858702)
* [Baseline de segurança para Microsoft 365 Apps for enterprise v2306](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-m365-apps-for-enterprise-v2306/ba-p/3858702)
* [Baseline de segurança para Microsoft 365 Apps for enterprise v2312](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-m365-apps-for-enterprise-v2312/ba-p/4009591)
* [Baseline de segurança para M365 Apps for enterprise v2412](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/security-baseline-for-m365-apps-for-enterprise-v2412/4357320)
* [Baseline de segurança para M365 Apps for enterprise v2512](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/security-baseline-for-m365-apps-for-enterprise-v2512/4487213)
* [mackwage/windows_hardening.cmd](https://gist.github.com/mackwage/08604751462126599d7e52f233490efe)
* [Baseline de segurança para Microsoft Edge versão 87](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-version-87/ba-p/1950297)
* [Baseline de segurança para Microsoft Edge versão 89](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-version-89/ba-p/2186265)
* [Baseline de segurança para Microsoft Edge v92](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-v92/ba-p/2563679)
* [Baseline de segurança para Microsoft Edge v93](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-v93/ba-p/2744505)
* [Baseline de segurança para Microsoft Edge v95](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-v95/ba-p/2897269)
* [Baseline de segurança para Microsoft Edge v96](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-v96/ba-p/2997665)
* [Baseline de segurança para Microsoft Edge v97](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-v97/ba-p/3062252)
* [Baseline de segurança para Microsoft Edge v98](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-v98/ba-p/3165443)
* [Baseline de segurança para Microsoft Edge v99](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-v99/ba-p/3249241)
* [Baseline de segurança para Microsoft Edge v100](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-v100/ba-p/3281982)
* [Baseline de segurança para Microsoft Edge v101](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-v101/ba-p/3298140)
* [Baseline de segurança para Microsoft Edge v102](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-v102/ba-p/3465195)
* [Baseline de segurança para Microsoft Edge v103](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-v103/ba-p/3548236)
* [Baseline de segurança para Microsoft Edge v104](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-v104/ba-p/3593826)
* [Baseline de segurança para Microsoft Edge v105](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-v105/ba-p/3615904)
* [Baseline de segurança para Microsoft Edge versão 106](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-version-106/ba-p/3643958)
* [Baseline de segurança para Microsoft Edge v107](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-v107/ba-p/3678903)
* [Baseline de segurança para Microsoft Edge versão 108](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-version-108/ba-p/3691250)
* [Baseline de segurança para Microsoft Edge versão 109](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-version-109/ba-p/3713981)
* [Baseline de segurança para Microsoft Edge versão 110](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-version-110/ba-p/3740900)
* [Baseline de segurança para Microsoft Edge versão 111](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-version-111/ba-p/3767483)
* [Baseline de segurança para Microsoft Edge versão 112](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-version-112/ba-p/3789975)
* [Baseline de segurança para Microsoft Edge versão 113](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-version-113/ba-p/3814398)
* [Baseline de segurança para Microsoft Edge versão 114](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-version-114/ba-p/3839728)
* [Baseline de segurança para Microsoft Edge versão 115](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-version-115/ba-p/3882420)
* [Baseline de segurança para Microsoft Edge versão 116](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-116/ba-p/3905425)
* [Baseline de segurança para Microsoft Edge versão 117](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-version-117/ba-p/3930862)
* [Baseline de segurança para Microsoft Edge versão 118](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-118/ba-p/3955123)
* [Baseline de segurança para Microsoft Edge versão 119](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-119/ba-p/3978427)
* [Baseline de segurança para Microsoft Edge versão 120](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-120/ba-p/4009561)
* [Baseline de segurança para Microsoft Edge versão 121](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-121/ba-p/4057135)
* [Baseline de segurança para Microsoft Edge versão 122](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-122/ba-p/4073142)
* [Baseline de segurança para Microsoft Edge versão 123](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-123/ba-p/4098458)
* [Baseline de segurança para Microsoft Edge versão 124](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-124/ba-p/4124826)
* [Baseline de segurança para Microsoft Edge versão 125](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-125/ba-p/4146218)
* [Baseline de segurança para Microsoft Edge versão 126](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-126/ba-p/4168263)
* [Baseline de segurança para Microsoft Edge versão 127](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-127/ba-p/4205820)
* [Baseline de segurança para Microsoft Edge versão 128](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-baseline-for-microsoft-edge-version-128/ba-p/4237524)
* [Baseline de segurança para Microsoft Edge versão 129](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-129/ba-p/4250551)
* [Baseline de segurança para Microsoft Edge versão 130](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-130/ba-p/4273981)
* [Baseline de segurança para Microsoft Edge versão 131](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/security-review-for-microsoft-edge-version-131/4298314)
* [Baseline de segurança para Microsoft Edge versão 132](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/security-review-for-microsoft-edge-version-132/4358734)
* [Baseline de segurança para Microsoft Edge versão 133](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/security-review-for-microsoft-edge-version-133/4376048)
* [Baseline de segurança para Microsoft Edge versão 134](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/security-review-for-microsoft-edge-version-134/4393674)
* [Baseline de segurança para Microsoft Edge versão 135](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/security-review-for-microsoft-edge-version-135/4406195)
* [Baseline de segurança para Microsoft Edge versão 136](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/security-review-for-microsoft-edge-version-136/4410797)
* [Baseline de segurança para Microsoft Edge versão 137](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/security-review-for-microsoft-edge-version-137/4420095)
* [Baseline de segurança para Microsoft Edge versão 138](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/security-review-for-microsoft-edge-version-138/4427877)
* [Baseline de segurança para Microsoft Edge versão 139](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/security-baseline-for-microsoft-edge-version-139/4441251)
* [Baseline de segurança para Microsoft Edge versão 140](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-140/ba-p/4452553)
* [Baseline de segurança para Microsoft Edge versão 141](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-141/ba-p/4460481)
* [Baseline de segurança para Microsoft Edge versão 142](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-142/ba-p/4466598)
* [Baseline de segurança para Microsoft Edge versão 143](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-143/ba-p/4474871)
* [Baseline de segurança para Microsoft Edge versão 144](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-144/ba-p/4486065)
* [Baseline de segurança para Microsoft Edge versão 145](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-145/ba-p/4494968)
* [Baseline de segurança para Microsoft Edge versão 146](https://techcommunity.microsoft.com/t5/microsoft-security-baselines/security-review-for-microsoft-edge-version-146/ba-p/4502057)
* [Baseline de segurança para Microsoft Edge versão 147](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/security-review-for-microsoft-edge-version-147/4509974)
* [Baseline de segurança para Microsoft Edge versão 148](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/security-review-for-microsoft-edge-version-148/4521209)
* [Baseline de segurança para Microsoft Edge versão 149](https://techcommunity.microsoft.com/blog/microsoft-security-baselines/security-review-for-microsoft-edge-version-149/4526371)
* [Microsoft Edge - Políticas](https://docs.microsoft.com/en-us/DeployEdge/microsoft-edge-policies)
* [Uma dica para a telemetria do Office 365](https://twitter.com/milenkowski/status/1326865844215934979)
* [BSI: Relatório de análise de telemetria do Microsoft Office](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Studien/Office_Telemetrie/Office_Telemetrie.pdf?__blob=publicationFile&v=5)
* [Usar configurações de política para gerenciar os controles de privacidade do Microsoft 365 Apps for enterprise](https://docs.microsoft.com/en-us/deployoffice/privacy/manage-privacy-controls)
* [DoD Cyber Exchange Public - Guias de Implementação Técnica de Segurança (STIGs) - Objetos de Política de Grupo](https://public.cyber.mil/stigs/gpo/)
* [BSI SiSyPHuS Win10: Diretriz de hardening do Windows 10](https://www.bsi.bund.de/EN/Topics/Cyber-Security/Recommendations/SiSyPHuS_Win10/AP11/SiSyPHuS_AP11.html)
* [Configurar o Microsoft Windows ou IIS para SSL Perfect Forward Secrecy e TLS 1.2](https://www.hass.de/content/setup-microsoft-windows-or-iis-ssl-perfect-forward-secrecy-and-tls-12)
* [Nartac Software - IIS Crypto](https://www.nartac.com/Products/IISCrypto/)
* [Práticas recomendadas de Transport Layer Security (TLS) com o .NET Framework](https://docs.microsoft.com/en-us/dotnet/framework/network-programming/tls)
* [Suites de cifras TLS no Windows Server 2022](https://docs.microsoft.com/en-us/windows/win32/secauthn/tls-cipher-suites-in-windows-server-2022)
* [Configurações de registro do Transport Layer Security (TLS)](https://docs.microsoft.com/en-us/windows-server/security/tls/tls-registry-settings)
* [O Windows Defender Antivirus agora pode ser executado em um sandbox](https://www.microsoft.com/security/blog/2018/10/26/windows-defender-antivirus-can-now-run-in-a-sandbox/)
* [KB5005010: Restringindo a instalação de novos drivers de impressora após aplicar as atualizações de 6 de julho de 2021](https://support.microsoft.com/en-us/topic/kb5005010-restricting-installation-of-new-printer-drivers-after-applying-the-july-6-2021-updates-31b91c02-05bc-4ada-a7ea-183b129578a7)
* [admx.help - Catálogo de Modelos Administrativos de Política de Grupo](https://admx.help/)
* [Como defender usuários de ataques de interceptação via SMB Client Defense](https://techcommunity.microsoft.com/t5/itops-talk-blog/how-to-defend-users-from-interception-attacks-via-smb-client/ba-p/1494995)
* [Migrando do Windows PowerShell 5.1 para o PowerShell 7](https://learn.microsoft.com/en-us/powershell/scripting/whats-new/migrating-from-windows-powershell-51-to-powershell-7)
* [Segurança de dados e Python no Excel](https://support.microsoft.com/en-us/office/data-security-and-python-in-excel-33cc88a4-4a87-485e-9ff9-f35958278327)
* [Recursos preteridos para o cliente Windows](https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features)
* [Gerenciamento do cliente Windows - Policy CSP](https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-configuration-service-provider)