CHAPS：配置强化评估 PowerShell 脚本

CHAPS 是一组只读脚本，用于在无法安装额外评估软件（如 Microsoft 策略分析器或商业工具）的 Windows 系统上检查安全配置。它专为工业控制系统 (ICS) 和运营技术环境设计——工程师/操作员工作站、HMI 系统、历史数据库和管理服务器——但可在任何 Windows 系统上运行。

CHAPS 不能替代 Microsoft 安全合规工具包 和策略分析器。当你可以在目标上安装软件时，请使用那些工具。当无法安装时，请使用 CHAPS。

脚本

CHAPS 提供三个脚本变体，均以相同顺序执行相同的 59 项检查。根据目标系统选择匹配的版本：

所有三个脚本都将 Markdown 输出到标准输出。操作员将其重定向到文件：

.\chaps_PSv3.ps1 > mysystem-report.md

完整运行说明请参见 docs/USAGE.md。

快速入门

在目标系统上以 管理员身份 打开 PowerShell 窗口或命令提示符，然后运行以下命令之一：

# PowerShell 3+
Set-ExecutionPolicy Bypass -Scope Process
.\chaps_PSv3.ps1 > $env:COMPUTERNAME-chaps.md

# PowerShell 2
Set-ExecutionPolicy Bypass -Scope Process
.\chaps_PSv2.ps1 > $env:COMPUTERNAME-chaps.md

REM CMD
chaps.bat > %COMPUTERNAME%-chaps.md

报告是一个纯 Markdown 文件。将其从目标系统复制出来进行审查，并删除本地副本。

分析报告

通过 tools/chaps-analyze.ps1（PowerShell 3.0+，无需外部依赖）处理 CHAPS 报告，可获取结构化的 Markdown 分析结果，包含发现、建议和 MITRE ATT&CK 映射：

.\tools\chaps-analyze.ps1 -InputReport <target>-chaps.md > <target>-analysis.md

分析输出结构清晰，可直接供人工审查，或输入到 AI 报告和威胁建模工具中。详情请参见 docs/ANALYSIS.md。

文档

• docs/USAGE.md — 详细运行说明、权限、输出处理、非管理员行为、故障排除。
• docs/CHECKS.md — 所有 63 项检查的规范顺序及简要说明。
• docs/INTERPRETING_REPORTS.md — 如何解读状态前缀（[+] / [-] / [*] / [x]），每个类别的含义，如何对发现进行分级。
• docs/REMEDIATION.md — 针对负面发现的每项检查修复指南：注册表项、组策略路径、命令和参考。
• docs/ANALYSIS.md — 如何使用 chaps-analyze.ps1 工具以及如何扩展知识库。

参考来源

检查项及其阈值参考自：

• 保护 Windows 工作站：制定安全基线 — Sean Metcalf
• Microsoft 安全合规工具包
• CIS Microsoft Windows 基准
• STIG 查看器
• Trimarc：保护 Active Directory

每项检查的参考资料已内联包含在 docs/REMEDIATION.md 中。

合作者

• Don C. Weber (@cutaway) — Cutaway Security, LLC
• Mike Saunders (@hardwaterhacker) — RedSiege, LLC
• Brandon Workentin — Enaxy, LLC

项目许可证

CHAPS 采用双重许可。

开源许可：GNU 通用公共许可证 v3.0 – 你可以在 GPL v3 条款下运行、修改和重新分发 CHAPS。允许咨询使用、内部组织使用和学术使用；运行 CHAPS 生成的报告并非衍生作品，不承担 GPL 义务。

商业许可：需要将 CHAPS 纳入专有产品或服务而无需遵守 GPL v3 的组织（例如，将 CHAPS 嵌入闭源评估设备、商业工具包或重新分发脚本的 SaaS 产品）可以获得商业许可证。请联系 Cutaway Security, LLC 的 [email protected] 获取条款。

完整的双重许可声明、允许用途详情和署名要求见 NOTICE 文件。