atlantsecurity/atlant-hardenAtlantHarden — бесплатное усиление безопасности Windows, браузеров и Office. 579 настроек, включая 354 элемента управления DISA STIG (Win11/Edge/Chrome/Firefox/Office 365) + ACSC Essential Eight. Исходный код доступен для аудита.
# AtlantHarden — Инструмент для усиления безопасности Windows, браузеров и Office
AtlantHarden — это комплексное приложение для усиления безопасности Windows 10/11 с современным профессиональным интерфейсом. Оно применяет **606 параметров усиления защиты** — включая **354 элемента управления DISA STIG** для Windows 11, Edge, Chrome, Firefox и Office 365 (последние версии), а также **ACSC Essential Eight** — с помощью профилей «один клик, просмотр перед применением», с полным резервным копированием и восстановлением. Также включает однонажатие **декластеризацию Windows** (удаление мусора из Магазина и OEM/AV-блота) и очистку **Tighten Up Privacy**. Релизная сборка представляет собой один **самодостаточный исполняемый файл** (не требует установки .NET runtime).
## ⬇️ Загрузка
### [Скачать AtlantHarden v2.1 для Windows](https://github.com/atlantsecurity/atlant-harden/releases/latest/download/AtlantHarden.zip)
Один `.zip`, ~63 МБ, **самодостаточный** — установка .NET не требуется. Распакуйте его, затем щёлкните правой кнопкой мыши `AtlantHarden.exe` → **Запуск от имени администратора**. Приложение ещё не подписано кодом, поэтому SmartScreen может запросить подтверждение — выберите *Дополнительно → Всё равно выполнить*. См. все [релизы и примечания](https://github.com/atlantsecurity/atlant-harden/releases/latest).
## Функции
### 🛡️ Комплексные категории безопасности
- **Windows Defender** — Настройка защиты в реальном времени, обнаружения PUA и облачной защиты
- **Сокращение поверхности атаки** — Все 19 правил ASR Microsoft для Office, скриптов, USB и защиты от программ-вымогателей
- **Сетевая безопасность** — Ужесточение SMB, NTLM, подписи LDAP и отключение устаревших протоколов (с пометкой DISA STIG)
- **Защита учётных данных** — Защита LSASS, отключение WDigest и предотвращение атак Mimikatz (с пометкой DISA STIG)
- **Усиление браузеров** — Защита Edge, Chrome и Firefox с помощью корпоративных политик (DISA STIG: Edge V2R5, Chrome V2R11, Firefox V6R7)
- **Усиление Office** — Отключение макросов, DDE и защита от атак на основе документов (DISA STIG: Office 365 ProPlus V3R5)
- **Настройки конфиденциальности** — Отключение телеметрии, рекламного идентификатора, журнала действий, персонализированного опыта и рекомендованного/рекламного контента — включая однонажатие кнопки **Tighten Up Privacy**
- **Удаление вредоносных приложений** — Удаление предустановленного мусора из Магазина и игр, а также выявленного OEM/AV-блота (McAfee, Norton, WildTangent и вспомогательные приложения Dell/HP/Lenovo) — сначала просмотр, ничего не удаляется без вашего подтверждения
- **Журналирование и аудит** — Включение журналирования PowerShell, аудита процессов и размера журналов событий (с пометкой DISA STIG)
- **Ассоциации файлов** — Нейтрализация опасных типов файлов для предотвращения программ-вымогателей
- **Брандмауэр Windows** — Блокировка сетевого доступа для LOLBins
- **TLS/Криптография** — Отключение слабых шифров и принудительное использование современного TLS (с пометкой DISA STIG)
- **Усиление системы** — UAC, DEP, ASLR, защита DLL и другое (с пометкой DISA STIG)
- **Adobe Reader** — Применение параметров безопасности, соответствующих STIG
### 🎯 Правила сокращения поверхности атаки (ASR)
Поддерживаются все 19 правил ASR Microsoft с проверкой статуса в реальном времени:
- Блокировка создания дочерних процессов приложениями Office
- Блокировка внедрения кода из приложений Office в другие процессы
- Блокировка вызовов Win32 API из макросов Office
- Блокировка исполняемого контента из почтовых клиентов и веб-почты
- Блокировка выполнения потенциально обфусцированных скриптов
- Блокировка запуска загруженного контента через JavaScript/VBScript
- Блокировка ненадёжных/неподписанных процессов с USB
- Расширенная защита от программ-вымогателей
- Блокировка кражи учётных данных из LSASS
- Блокировка исполняемых файлов с низкой распространённостью
- Блокировка дочерних процессов Adobe Reader
- Блокировка дочерних процессов коммуникационных приложений Office
- Блокировка сохранения подписки на события WMI
- Блокировка создания процессов через PSExec/WMI
- Блокировка злоупотребления уязвимыми подписанными драйверами
- Блокировка команд перезагрузки в безопасном режиме
- Блокировка поддельных системных инструментов
- Блокировка создания веб-оболочек для серверов
### 🏛️ Соответствие DISA STIG
**354 автоматизируемых требования DISA STIG** по пяти продуктам, взятые из последних
релизов DISA и загруженные из проверяемого, регенерируемого каталога (`Resources/stig-catalog.json`):
| Продукт | Версия STIG | Требования |
|---------|--------------|--------------|
| Microsoft Windows 11 | V2R7 | 114 |
| Microsoft Edge | V2R5 | 52 |
| Google Chrome | V2R11 | 39 |
| Mozilla Firefox | V6R7 | 43 |
| Microsoft Office 365 ProPlus | V3R5 | 106 |
- Выделенная группа категорий **Соответствие DISA STIG** на боковой панели (по одной категории на продукт),
отдельная от категорий базового усиления
- Разбивка соответствия по продуктам на панели управления
- Реальный идентификатор STIG (например, `WN11-SO-000195`, `EDGE-00-000002`), идентификатор уязвимости и CCI для каждого параметра
- Серьёзность соответствует CAT I/II/III — фильтр и массовый выбор **STIG: CAT I/II/III** в любом продукте
- Организационно-специфические правила (не имеющие единственного правильного значения) намеренно исключены из авто-применения
- Каталог создан на основе Microsoft PowerSTIG + cyber.trackr.live с помощью `tools/Generate-StigCatalog.ps1`
### 🦘 Соответствие ACSC (Австралийский центр кибербезопасности)
34 параметра усиления Windows ACSC на основе руководства от июля 2024 г.:
- **Параметры высокого приоритета** — Ограничения командной строки, принудительное применение групповых политик, отключение автозапуска
- **Параметры среднего приоритета** — Ограничения анонимного доступа, политики блокировки учётных записей, защита DMA, контроль сменных носителей
- **Параметры низкого приоритета** — Отображение расширений файлов, скрытые файлы, очистка последних документов
- **Сетевая безопасность** — Подпись SMB/LDAP, принудительное использование NTLMv2, отключение LLMNR/NetBIOS, защита WPAD
- **Усиление PowerShell** — Журналирование блоков скриптов, журналирование модулей, транскрипция, ограниченный языковой режим
### 🎚️ Профили одним щелчком (просмотр перед применением)
Три подготовленных профиля, каждый с кнопкой **Применить** и кнопкой **Показать настройки**, открывающей прокручиваемый обзор каждого параметра (имя, описание, изменение реестра, текущее и рекомендуемое значение) до применения:
- **Базовый** (95 параметров) — самое важное, ядро с нулевым трением
- **Рекомендуемый** (325 параметров) — разумный выбор по умолчанию: применяет средства, останавливающие реальные вредоносные программы и эксплойты (ASR, Defender, SmartScreen, блокировка макросов/скриптов, защита от кражи учётных данных, смягчение эксплойтов), при этом намеренно **пропускает** блокировки с высоким трением. Он **не** отключает менеджеры паролей браузеров, InPrivate/Incognito, удаление истории, Контролируемый доступ к папкам, FIPS или предзагрузочный PIN-код BitLocker — и уже безопасен для игр и производительности.
- **Максимальный** (606 параметров) — всё, включая строгие блокировки DISA STIG
Удаление вредоносных приложений и очистка конфиденциальности остаются **отдельными** от этих профилей — к ним можно получить доступ в разделе **Очистка и конфиденциальность** на панели управления (однонажатие *Tighten Up Privacy* и *Очистка от блота* с предварительным просмотром), поэтому применение профиля безопасности никогда не удаляет приложения.
**Самозащита:** перед включением любого параметра AtlantHarden добавляет свой исполняемый файл в список разрешённых для ASR Microsoft Defender и Контролируемого доступа к папкам, а также оставляет SmartScreen Проводника на переопределяемом уровне — так что это (неподписанное) средство всегда можно перезапустить для отмены.
### 💾 Резервное копирование и восстановление
- **Автоматические резервные копии** — Создаёт резервную копию перед применением любых изменений
- **Точки восстановления системы** — Создание точек восстановления Windows из приложения
- **Несколько версий** — Хранит до 20 версий резервных копий с отметками времени
- **Восстановление одним щелчком** — Лёгкий откат к любому предыдущему состоянию
- **Экспорт REG-файла** — Также экспортирует .reg-файлы для ручного восстановления
### 📦 Импорт/экспорт конфигурации
- **Экспорт конфигурации** — Сохранение выбранных параметров в JSON-файл
- **Импорт конфигурации** — Загрузка параметров из ранее экспортированного файла
- **Поддержка командной строки** — Автоматизация развёртывания с параметром `--config`
- **Тихий режим** — Запуск без участия пользователя с флагами `--silent --apply`
- **Обмен профилями** — Обмен конфигурациями между несколькими системами
### 🎨 Профессиональный интерфейс
- Современная тёмная тема с брендингом Atlant Security
- Сворачиваемая, сгруппированная боковая панель — разделы **Категории усиления** и **Соответствие DISA STIG**
- Панель безопасности с общим процентом соответствия, по продуктам STIG и ACSC
- Экран просмотра «Показать настройки» для каждого профиля
- Статус правил ASR в реальном времени из Windows Defender
- Значки риска (CAT I/II/III), предупреждения о влиянии и идентификаторы STIG / уязвимости / CCI для каждого параметра
- Поиск и фильтрация по серьёзности CAT по всем параметрам
- Адаптивный макет, уменьшающийся до маленьких экранов
## Требования
- Windows 10 (1709 или новее) или Windows 11, 64-разрядная
- Права администратора
- **Не требуется .NET runtime** — релизная сборка самодостаточна (для сборки из исходников нужен .NET 8 SDK)
- Включённый Защитник Windows (для правил ASR)
## Установка
1. Скачайте последний релиз (`AtlantHarden.zip`) и распакуйте его
2. Щёлкните правой кнопкой мыши `AtlantHarden.exe` → **Запуск от имени администратора**
- Загрузка ещё не подписана кодом, поэтому SmartScreen может запросить подтверждение — выберите *Дополнительно → Всё равно выполнить*
## Использование командной строки
```
AtlantHarden.exe [options]
Options:
--config, -c <file> Load configuration from JSON file
--apply, -a Auto-apply the loaded configuration
--silent, -s Run in silent mode (no GUI, for automation)
--help, -h, /? Show help message
Examples:
AtlantHarden.exe
Launch the application normally with GUI
AtlantHarden.exe --config myconfig.json
Launch GUI with configuration pre-loaded
AtlantHarden.exe --config myconfig.json --apply --silent
Apply configuration silently and exit (for automation/scripts)
```
## Использование
### ⚠️ ВАЖНО: Перед началом работы
**Всегда создавайте точку восстановления системы в разделе «Резервное копирование» перед применением любых параметров!**
Не полагайтесь только на автоматические резервные копии приложения. Ручная точка восстановления системы обеспечивает наилучшую защиту.
### Применение параметров
1. Запустите приложение (требуются права администратора)
2. Создайте точку восстановления системы в разделе «Резервное копирование»
3. Просмотрите категории с помощью левой боковой панели
4. Включайте/отключайте отдельные параметры с помощью переключателей
5. Просмотрите уровень риска и предупреждения о влиянии
6. Нажмите «Применить выбранные», чтобы применить включённые параметры
7. Резервная копия будет создана автоматически
### Отключение параметров
1. Перейдите в категорию, содержащую параметр
2. Переключите параметр в положение ВЫКЛ (он будет отображаться как включённый, но unchecked)
3. Нажмите «Применить выбранные»
4. Параметр будет возвращён в состояние по умолчанию/отключён
### Восстановление из резервной копии
1. Нажмите «Резервные копии и восстановление» на боковой панели
2. Выберите резервную копию из списка
3. Нажмите «Восстановить», чтобы вернуться к этому состоянию
4. Для некоторых параметров может потребоваться перезагрузка
### Сочетания клавиш
- `Ctrl+A` — Выделить все параметры в текущей категории
- `Ctrl+D` — Снять выделение со всех параметров
- `Ctrl+R` — Обновить статус
- `Ctrl+S` — Применить выбранные параметры
## Сборка из исходного кода
### Предварительные требования
- Visual Studio 2022 или новее
- .NET 8.0 SDK
- Windows 10/11 SDK
### Шаги сборки
1. Откройте `AtlantHarden.sln` в Visual Studio
2. Восстановите пакеты NuGet
3. Выполните сборку решения (рекомендуется конфигурация Release)
4. Результат будет в `bin/Release/net8.0-windows/`
Для создания самодостаточного однофайлового релиза (`AtlantHarden.exe`, установка .NET не требуется):
```
dotnet publish AtlantHarden.csproj -c Release -r win-x64 --self-contained true ^
-p:PublishSingleFile=true -p:IncludeNativeLibrariesForSelfExtract=true -p:EnableCompressionInSingleFile=true
```
## Меры безопасности
⚠️ **Важно**: некоторые параметры могут повлиять на совместимость приложений. Всегда:
1. Создавайте точку восстановления системы перед запуском
2. Тестируйте в непродуктивной среде в первую очередь
3. Просматривайте предупреждения о влиянии для каждого параметра
4. Храните резервные копии для быстрого отката
## Благодарности
Основано на [Windows 10 Security Hardening Script](https://atlantsecurity.com) от Atlant Security.
Дополнительные ресурсы:
- [Справочник по правилам ASR Microsoft](https://learn.microsoft.com/en-us/defender-endpoint/attack-surface-reduction-rules-reference)
- [DISA STIGs](https://public.cyber.mil/stigs/)
- [Проект LOLBAS](https://lolbas-project.github.io/)
- [Базовые уровни безопасности Microsoft](https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-security-baselines)
- [Бенчмарки CIS](https://www.cisecurity.org/benchmark/microsoft_windows_desktop)
## Лицензия
Этот репозиторий **доступен в исходном коде для прозрачности и аудита — не является открытым исходным кодом.** Вы можете
читать и проверять код, но любое *использование* требует платной коммерческой лицензии. См.
[`LICENSE`](https://github.com/atlantsecurity/atlant-harden/blob/main/LICENSE) для полных условий; для коммерческого лицензирования используйте
[контактную форму на atlantsecurity.com](https://atlantsecurity.com/contact).
**Скомпилированное приложение AtlantHarden** можно **использовать бесплатно, если вы не берёте плату за его использование** —
запуск на ваших собственных системах (личных или внутренних для организации) без взимания платы с кого-либо
является бесплатным. **Как только вы начинаете брать плату за использование приложения — включая использование для защиты
клиентских или коммерческих систем в качестве платного продукта или услуги — вам необходимо коммерческое лицензионное соглашение**
с Atlant Security LTD ([контактная форма](https://atlantsecurity.com/contact)). Лицензия этого репозитория не регулирует двоичный файл.
© 2026 Atlant Security LTD. Все права защищены.
## Поддержка
По вопросам и запросам функций обращайтесь в Atlant Security или создайте issue на GitHub.
---
**Atlant Security** — Защита вашей цифровой крепости
[https://atlantsecurity.com](https://atlantsecurity.com)