<div align="center"> <img src="https://assets.kitploit.com/production/public/readmes/48592/05ea80ca5fb929ff7d497838915dd59f41bae7d42e6f5944600b1d8beae53f02.gif"><img src="https://assets.kitploit.com/production/public/readmes/48592/6387e9a0688357f320efc9b339cc3d0cc2605c47f07626b5f81aea9b485d7f97.gif"> # Harden Windows Security | 恶意软件的新威胁 <a name="readme-top"></a> ## 安全加固 Windows，仅使用微软官方方法 </div> <div align="center"> <a href="https://apps.microsoft.com/detail/9P7GGFL7DX57"><img src="https://raw.githubusercontent.com/HotCakeX/.github/12a994d0fd231bc9fd0104decece5851179910c0/Pictures/SVG/Badges/HardenSystemSecurityInstallBadge.svg" alt="Harden System Security 应用的 Microsoft Store 页面"></a> <img src="https://assets.kitploit.com/production/public/readmes/48592/7b0f6a485450e36c5ad74c4b371decacf15f32b08ae249c49d4e2d2fabe28f19.gif" width="25" alt="链接"> <a href="https://apps.microsoft.com/detail/9PNG1JDDTGP8"><img src="https://raw.githubusercontent.com/HotCakeX/.github/refs/heads/main/Pictures/SVG/AppControlManager%20Install.svg" alt="AppControl Manager 安装"></a> </div> <h6 align="center"> <a href="https://x.com/intent/post?text=Harden+Windows+Security+%7C+Suitable+for+all+security+levels+and+requirements&hashtags=Windows%2CCyberSecurity&url=https%3A%2F%2Fgithub.com%2FHotCakeX%2FHarden-Windows-Security"><img src="https://raw.githubusercontent.com/HotCakeX/.github/7f64c27fdd600175e29ebad839e81a6ec8deb85c/Pictures/SVG/Share%20it%20on%20X.svg" alt="X 分享按钮"></a> <a href="https://dotnet.microsoft.com/en-us/download"><img src="https://raw.githubusercontent.com/HotCakeX/.github/main/Pictures/SVG/Badges/.NET9.svg" alt=".NET 徽章"></a> <a href="https://visualstudio.microsoft.com/"><img src="https://raw.githubusercontent.com/HotCakeX/.github/main/Pictures/SVG/Badges/VisualStudio.svg" alt="Visual Studio 徽章"></a> </h6> <p align="center"> <a href="#how-to-use">使用方法</a> <img src="https://assets.kitploit.com/production/public/readmes/48592/d055bbeb046af48c8d31e96b50e6009bcda662123330403df9a6672183b18a47.gif" width="12" alt="旋转的彩色物体"> <a href="#related">相关项目</a> <img src="https://assets.kitploit.com/production/public/readmes/48592/d055bbeb046af48c8d31e96b50e6009bcda662123330403df9a6672183b18a47.gif" width="12" alt="旋转的彩色物体"> <a href="#Trust">信任</a> <img src="https://assets.kitploit.com/production/public/readmes/48592/d055bbeb046af48c8d31e96b50e6009bcda662123330403df9a6672183b18a47.gif" width="12" alt="旋转的彩色物体"> <a href="#support">支持</a> <img src="https://assets.kitploit.com/production/public/readmes/48592/d055bbeb046af48c8d31e96b50e6009bcda662123330403df9a6672183b18a47.gif" width="12" alt="旋转的彩色物体"> <a href="#security-recommendations">安全建议</a> <img src="https://assets.kitploit.com/production/public/readmes/48592/d055bbeb046af48c8d31e96b50e6009bcda662123330403df9a6672183b18a47.gif" width="12" alt="旋转的彩色物体"> <a href="#resources">资源</a> <img src="https://assets.kitploit.com/production/public/readmes/48592/d055bbeb046af48c8d31e96b50e6009bcda662123330403df9a6672183b18a47.gif" width="12" alt="旋转的彩色物体"> <a href="#license">许可证</a> <img src="https://assets.kitploit.com/production/public/readmes/48592/d055bbeb046af48c8d31e96b50e6009bcda662123330403df9a6672183b18a47.gif" width="12" alt="旋转的彩色物体"> <a href="https://github.com/HotCakeX/Harden-Windows-Security/wiki"><b>Wiki</b></a> <img src="https://assets.kitploit.com/production/public/readmes/48592/d055bbeb046af48c8d31e96b50e6009bcda662123330403df9a6672183b18a47.gif" width="12" alt="旋转的彩色物体"> <a href="https://github.com/HotCakeX/Harden-Windows-Security/wiki/Answers-to-the-Basic-Frequently-Asked-Questions">常见问题解答</a> <img src="https://assets.kitploit.com/production/public/readmes/48592/d055bbeb046af48c8d31e96b50e6009bcda662123330403df9a6672183b18a47.gif" width="12" alt="旋转的彩色物体"> <a href="#roadmap">路线图</a> <img src="https://assets.kitploit.com/production/public/readmes/48592/d055bbeb046af48c8d31e96b50e6009bcda662123330403df9a6672183b18a47.gif" width="12" alt="旋转的彩色物体"> <a href="https://github.com/HotCakeX/Harden-Windows-Security?tab=readme-ov-file#donations-"><b>捐赠</b> </a> <img src="https://assets.kitploit.com/production/public/readmes/48592/9d643d7eb365eac490f0d552f3bded5b5e9cc46d006d48bf3d729118e4273e1a.gif" width="20"/> </p> <img src="https://raw.githubusercontent.com/HotCakeX/.github/febfcc2b3be66ef0d5ecd74694157622a7fde865/Pictures/SVG/SVG%20line%20wave%20yellow%20pink%20inverted.svg" width= "300000" alt="水平超细彩虹 RGB 线条"> > [!IMPORTANT]\ > 以下是本仓库重要部分的快速访问入口 > > ### <img width="50" src="https://assets.kitploit.com/production/public/readmes/48592/b90b8fd4eb76de2414ed536a688127bf3245092b04243cf5506338da6420b838.gif"/> <a href="https://github.com/HotCakeX/Harden-Windows-Security/wiki/Harden-System-Security"> Harden System Security 应用 </a> > > ### <img width="50" src="https://assets.kitploit.com/production/public/readmes/48592/9751f482a907b04a4400b18eebb408e033f4e737856ec2da7c1f7e6c722571dd.gif" alt="AppControl Manager 指示图标"> <a href="https://github.com/HotCakeX/Harden-Windows-Security/wiki/AppControl-Manager"> AppControl Manager 应用 </a> > > ### <img width="50" src="https://assets.kitploit.com/production/public/readmes/48592/f3074ae9cb928660e4668fe0940aa758620b9cad32df6ee2e3c7c48832bceedc.gif" alt="应用程序控制商业资源指示图标"> <a href="https://github.com/HotCakeX/Harden-Windows-Security/wiki/Introduction"> 应用程序控制商业资源 </a> > <img src="https://raw.githubusercontent.com/HotCakeX/.github/febfcc2b3be66ef0d5ecd74694157622a7fde865/Pictures/SVG/SVG%20line%20wave%20yellow%20pink.svg" width= "300000" alt="水平超细彩虹 RGB 线条"> <br> > [!NOTE]\ > 本仓库仅使用微软已在 Windows 操作系统中实现的功能，将其微调至最高安全性和锁定状态，不依赖任何第三方组件或依赖项，使用有充分文档记录、受支持、推荐且官方认可的方法。请继续阅读以获取全面信息。 <br> ## 使用方法<a href="#how-to-use"></a> ### <img width="35" src="https://raw.githubusercontent.com/HotCakeX/.github/9b2e88aad5ba54000a24c904e1f473b039202691/Pictures/Harden%20System%20Security%20Icons/ICON-SVG-SIMPLIFIED.svg" alt="粉色 GitHub 标志 SVG"> [从 Microsoft Store 安装 Harden System Security](https://apps.microsoft.com/detail/9p7ggfl7dx57) <a href="https://apps.microsoft.com/detail/9p7ggfl7dx57?referrer=appbadge&mode=direct"> <img src="https://get.microsoft.com/images/en-us%20dark.svg" width="300"/> </a> * [**文档**](https://github.com/HotCakeX/Harden-Windows-Security/wiki/Harden-System-Security) <img src="https://assets.kitploit.com/production/public/readmes/48592/f57794ff1acdb9f12aca8b6ce7840fbe5f3fe14ca75a8111c918286fcda0b1a2.gif" width="20"> <br> <div align="center"> <img src="https://raw.githubusercontent.com/HotCakeX/.github/main/Pictures/Gifs/HardenWindowsSecurityApp.gif?raw=true" width="800" alt="Harden System Security 应用演示"> </div> <br> <img src="https://raw.githubusercontent.com/HotCakeX/Harden-Windows-Security/main/images/Gifs/1pxRainbowLine.gif" width= "300000" alt="水平超细彩虹 RGB 线条"> <br> ### <img width="35" src="https://assets.kitploit.com/production/public/readmes/48592/d45fe370f48cc3781bf11ccaf261ff57c4bdfbbafa3f6fb46f8ec93fe4bdfda9.png" alt="粉色 GitHub 标志 SVG"> [从 Microsoft Store 安装 AppControl Manager](https://apps.microsoft.com/detail/9PNG1JDDTGP8) <a href="https://apps.microsoft.com/detail/9png1jddtgp8?mode=direct"> <img src="https://get.microsoft.com/images/en-us%20dark.svg" width="300" alt="从 Microsoft Store 安装 AppControl Manager"/> </a> * [**YouTube 演示**](https://www.youtube.com/watch?v=SzMs13n7elE) * [**文档**](https://github.com/HotCakeX/Harden-Windows-Security/wiki/AppControl-Manager) <img src="https://assets.kitploit.com/production/public/readmes/48592/f57794ff1acdb9f12aca8b6ce7840fbe5f3fe14ca75a8111c918286fcda0b1a2.gif" width="20"> <br> <div align="center"> <img src="https://raw.githubusercontent.com/HotCakeX/.github/refs/heads/main/Pictures/APNGs/AppControl%20Manager%20Readme.apng" alt="AppControl Manager 应用"> </div> <br> <p align="right"><a href="#readme-top">💡 (返回顶部)</a></p> <br> <img src="https://raw.githubusercontent.com/HotCakeX/Harden-Windows-Security/main/images/Gifs/1pxRainbowLine.gif" width= "300000" alt="水平超细彩虹 RGB 线条"> <br> ## <img width="40" src="https://assets.kitploit.com/production/public/readmes/48592/5a087e4697b529daf629a480604d109d954e40ec09469601a3f44c2a7a101ad0.png" alt="Windows 受伤的表情符号"> 设计理念 𝐖𝐞𝐥𝐜𝐨𝐦𝐞 欢迎来到 𝙷𝚊𝚛𝚍𝚎𝚗 𝚆𝚒𝚗𝚍𝚘𝚠𝚜 𝚂𝚎𝚌𝚞𝚛𝚒𝚝𝚢 仓库 <img src="https://assets.kitploit.com/production/public/readmes/48592/a49f80982405b7fc5a0f11a10f7875507a38239f7b4e7dc88adff578476af776.gif" width="40"> 本节阐述本 GitHub 仓库及其内容的理由和目标。它概述了如何应对各种威胁，以及如何针对不同场景和环境调整您的预期。它还提供了大量有用的附加资源。 本仓库目前有 2 个***主要***产品。 <img width="30" src="https://assets.kitploit.com/production/public/readmes/48592/1a0a59222d5ceb91cab105875be53f98cf7ada422bcf373eca19e9e3c6c01919.gif" alt="摇头的女孩"> 1. [**Harden System Security 应用**](https://github.com/HotCakeX/Harden-Windows-Security/wiki/Harden-System-Security) 2. [**AppControl Manager**](https://github.com/HotCakeX/Harden-Windows-Security/wiki/AppControl-Manager) <br> 下面让我们逐一详细探讨 <br> ## <img width="40" src="https://assets.kitploit.com/production/public/readmes/48592/f58349801ffcf5f7ecdd72d5c1f9e248182df06691d32d60aa2fa3736f785446.png" alt="Windows 现代标志"> Harden System Security 应用 使用 [Harden System Security 应用](https://github.com/HotCakeX/Harden-Windows-Security/wiki/Harden-System-Security) 保护您的个人和企业设备免受大多数高级威胁的侵害。该应用适合所有人使用。 如果您是个人用户，您可以使用 Harden System Security 来加固您的操作系统、移除不必要的功能或应用，并获得对系统安全结构的深入可见性。 如果您是企业用户或管理员，您可以使用[提供的 Intune 安全策略](https://github.com/HotCakeX/Harden-Windows-Security/wiki/Intune-%7C-Harden-System-Security)，通过 Harden System Security 应用将其应用到所有工作站。然后您可以使用该应用验证工作站对已应用策略的合规性，并获得安全评分。 它使用设备内置和 Windows 操作系统中已有的安全功能，将其微调至最高安全性和锁定状态。它不会安装任何外部组件，也完全不会增加您的攻击面。 让我们看看下面的信息图： <br> <img src="https://raw.githubusercontent.com/HotCakeX/.github/main/Pictures/Only%20a%20Small%20Portion%20of%20The%20Windows%20OS%20Security%20Apparatus/Smaller%20version.png" alt="Windows 操作系统安全机制的一小部分"> > [*关于此地图的更多信息*](https://github.com/HotCakeX/Harden-Windows-Security/wiki/Only-a-Small-Portion-of-The-Windows-OS-Security-Apparatus) <br> <br> <p align="center"><img src="https://assets.kitploit.com/production/public/readmes/48592/4a288c7e42e2e5f8dff5cabdc31e23c90331cf31f1876e8f7af517dbb0bb7d72.png" alt="安全基准对比信息图"></p> > [*上述信息图背后的原因*](https://github.com/HotCakeX/Harden-Windows-Security/wiki/Comparison-of-security-benchmarks) <br> <p align="right"><a href="#readme-top">💡 (返回顶部)</a></p> <br> ## <img width="40" src="https://assets.kitploit.com/production/public/readmes/48592/be0f703f49ea9871c71974805038011845e75c34d597c4b8b7b1489c0fa78d1c.png" alt="现代 Windows 11 标志"> AppControl Manager [AppControl Manager](https://github.com/HotCakeX/Harden-Windows-Security/wiki/AppControl-Manager) 是一款安全的[开源](https://github.com/HotCakeX/Harden-Windows-Security/tree/main/AppControl%20Manager) Windows 应用程序，旨在帮助您轻松配置系统中的应用程序控制。它适用于个人用户以及企业、商业机构和高度安全的工作站。 > [!TIP]\ > 如果您不熟悉应用程序控制是什么，[请参阅这篇文章](https://github.com/HotCakeX/Harden-Windows-Security/wiki/Introduction)，其中有非常详细的解释。 正确使用应用程序控制，配合 Harden System Security 应用的策略，[可以提供 99% 的各类威胁防护](https://github.com/HotCakeX/Harden-Windows-Security/wiki/The-Strength-of-Signed-App-Control-Policies)，无论是来自互联网还是物理层面的威胁。确实不存在绝对的安全，但话说回来，宇宙中也没有什么是绝对的。一切事物，即使是最基本的物理定律，都曾经并且正在受到变化和条件的影响。 * [这里是 AppControl Manager 的演示视频](https://www.youtube.com/watch?v=SzMs13n7elE) * [这里是 AppControl Manager 在本仓库的落地页](https://github.com/HotCakeX/Harden-Windows-Security/wiki/AppControl-Manager) <br> ## <img width="40" src="https://assets.kitploit.com/production/public/readmes/48592/8abf6ba1259c28daab9179fb7f28f648614f2ad7aea6418bdf8eeb7e5c367dd3.png" alt="Microsoft Zune 标志"> 如何做出正确的选择？ 𝙵𝚒𝚛𝚜𝚝 𝚊𝚗𝚍 𝙵𝚘𝚛𝚎𝚖𝚘𝚜𝚝 首先使用 [Harden System Security 应用](https://github.com/HotCakeX/Harden-Windows-Security/wiki/Harden-System-Security) 应用其提供的加固措施，当您在日常工作中使用标准（非特权）账户时，您的系统将至少能抵御约 98% 的威胁。这些威胁并非普通的计算机病毒，而是***有动机的国家级威胁行为者。*** 𝚃𝚑𝚎𝚗 然后使用 [AppControl Manager](https://spynetgirl.github.io/AppControl%20Manager/AppControl%20Manager/) 部署应用程序控制策略，从而对 Windows 应用程序控制的运行拥有更多控制权。 这些方法将创建多层安全防护，也称为纵深防御。此外，您还可以为系统创建[**内核级零信任策略**](https://github.com/HotCakeX/Harden-Windows-Security/wiki/WDAC-policy-for-BYOVD-Kernel-mode-only-protection)。 即使未来某个或多个安全层同时出现零日漏洞，仍然会有足够的剩余层来保护您的设备。同时穿透所有层实际上是不可能的。 此外，零日漏洞会被迅速修补，因此无论您使用什么操作系统，保持设备和操作系统更新是最基本的安全建议和最佳实践之一，您必须遵循。 <br> <p align="right"><a href="#readme-top">💡 (返回顶部)</a></p> <br> ## <img width="40" src="https://assets.kitploit.com/production/public/readmes/48592/f93e1afcac6788c947c710d42da3ac9889ea6fc37da73ff4724f0de8fa0ed7cf.png" alt="Microsoft 身份标志"> 零日等漏洞以 3 种不同方式披露 1. 漏洞被负责任地披露。首先与软件供应商/开发者私下沟通，以便他们在漏洞公开披露之前有时间修复并发布更新/补丁。通过这种方式，人们始终是安全的，因为只需保持操作系统和软件更新即可获得最新的安全补丁。 2. 漏洞被不负责任地披露。通过社交媒体或创建 PoC（概念验证）公开披露，以便所有人都可以利用和滥用。 3. 漏洞被恶意行为者滥用。被威胁行为者在网络攻击中私下利用。这些漏洞要么由威胁行为者自己发现，要么从首先发现它们的安全研究人员那里购买，所有这些都是非法的并会产生后果。 <br> ## <img width="40" src="https://assets.kitploit.com/production/public/readmes/48592/6260adb9fcb3180f843ee5cb4626f5a47eccc4a550e55581dae72a73f77090e3.png" alt="股价上涨"> 大规模更高级的安全防护呢？ <p align="center"><img src="https://assets.kitploit.com/production/public/readmes/48592/e1d04267cd308fc555e1dfbdd615fa7b53d8b86ae6206676a5fd00413c9c5060.png" width="650" alt="AI 生成的女孩图片"></p> <br> 要在企业、商业机构和军事场景中实现**大规模**最高级别的安全防护，您可以使用以下服务来创建不可渗透的设备和环境。 > [!IMPORTANT]\ > 以下服务必须**在**本仓库已讨论的措施（如适当的应用程序控制策略和 Harden System Security 应用应用的安全措施）**之外**使用。它们不能替代这些措施。 > > 作为个人用户，您仍然可以利用这些功能和服务，它们为您的安全堆栈增加了额外的保护层。 * [Microsoft Defender for Endpoint](https://www.microsoft.com/en-us/security/business/endpoint-security/microsoft-defender-endpoint) - 发现并保护跨多平台企业的端点设备。 * [Microsoft Security Copilot](https://www.microsoft.com/en-us/security/business/ai-machine-learning/microsoft-copilot-security) - 构建[高度自动化](https://learn.microsoft.com/security-copilot/microsoft-security-copilot)的防御体系，让即使是实习生也能成为网络安全专家。 * [Azure 上的机密计算](https://learn.microsoft.com/azure/confidential-computing/overview-azure-products) - 保护使用中的高度敏感数据 * [机密 AI](https://learn.microsoft.com/azure/confidential-computing/confidential-ai) - 在最先进的人工智能超级计算机上私密且安全地训练您的数据 * [Microsoft Entra 条件访问](https://www.microsoft.com/en-us/security/business/identity-access/microsoft-entra-conditional-access) - 在不影响生产力的前提下增强保护 * [Microsoft Sentinel](https://azure.microsoft.com/en-us/products/microsoft-sentinel/) - 可扩展的云原生解决方案，提供 SIEM、SOAR 等更多功能！ * [Key Vault](https://azure.microsoft.com/en-us/products/key-vault/) - 保护云应用和服务使用的加密密钥及其他机密。这项 [Azure 服务使用世界上最好的产品](https://cpl.thalesgroup.com/partners/microsoft)来完成这项工作，例如 [Thales HSM](https://cpl.thalesgroup.com/encryption/hardware-security-modules/network-hsms)。更多信息[可在此处获取](https://learn.microsoft.com/windows-hardware/manufacture/desktop/secure-boot-key-generation-and-signing-using-hsm--example)。 * [Microsoft Defender for Cloud](https://azure.microsoft.com/en-us/products/defender-for-cloud) - 通过从代码到云的集成安全保护多云和混合环境 * [Microsoft Defender for Cloud Apps]() - 通过软件即服务（SaaS）安全，现代化您保护应用、保护数据和提升应用态势的方式。 * [Microsoft Defender for Identity](https://www.microsoft.com/en-us/security/business/siem-and-xdr/microsoft-defender-for-identity) - 利用云驱动的智能保护您的本地身份。 * [Azure Active Directory 的无密码身份验证选项](https://learn.microsoft.com/azure/active-directory/authentication/concept-authentication-passwordless) - 多因素和无密码身份验证，这是最安全、最便捷的身份验证方式。* [PIM (PAM)](https://www.microsoft.com/en-us/security/business/security-101/what-is-privileged-access-management-pam) - 特权访问管理 * [PAW](https://learn.microsoft.com/security/privileged-access-workstations/privileged-access-devices) - 特权访问工作站 * [SAW](https://www.microsoft.com/insidetrack/blog/improving-security-by-protecting-elevated-privilege-accounts-at-microsoft/) - 安全管理工作站 * [面向企业、企业等组织的所有 Azure 安全服务列表](https://learn.microsoft.com/azure/security/fundamentals/services-technologies) <br> <p align="right"><a href="#readme-top">💡 (返回顶部)</a></p> <br> ## <img width="40" src="https://assets.kitploit.com/production/public/readmes/48592/a4ac7a5ffcb551e72d8e1aa078ee2b64b3469e1db0bea0282c669f1b620fe681.png" alt="head patting"> 重要注意事项 * 使用 [Harden System Security 应用](https://github.com/HotCakeX/Harden-Windows-Security/wiki/Harden-System-Security) 或 [App Control for Business](https://github.com/HotCakeX/Harden-Windows-Security/wiki/AppControl-Manager) 时，请避免使用其他第三方安全解决方案。其他解决方案可能很薄弱、不兼容且不必要，**它们还会增加你的攻击面**。 > [!NOTE]\ > 要了解为什么这是正确的，请花时间阅读上面链接的每个应用的 wiki 文档。如需进一步证明，你随时可以进行代码审查、比较，并向我提出任何后续问题。 * 对任何可疑或不安全的软件使用虚拟机。使用 [Windows Sandbox 或 Hyper-V VM](https://github.com/HotCakeX/Privacy-Anonymity-Compartmentalization)。 <br> ## <img width="40" src="https://assets.kitploit.com/production/public/readmes/48592/e605b15d12d795bb40d59dae58473a4a68358d3049b67311abd07c1bb1f7e12b.gif" alt="Surface device gif"> [该使用哪种设备？](#-which-device-to-use-) 使用 Microsoft Surface 产品以获得最佳设备和固件安全性。它们支持 [安全核心 PC 规格](https://www.microsoft.com/en-us/windows/business/windows-11-secured-core-computers)，制造流程和平台可信且安全。 请确保使用支持 [设备固件配置接口 (DFCI)](https://learn.microsoft.com/mem/autopilot/dfci-management) 的 Surface 产品以获得额外保护和安全。以下是支持该功能的 [Surface 产品列表](https://learn.microsoft.com/surface/surface-manage-dfci-guide#dfci-policy-settings-reference-for-surface-devices)。 * [如何使用 Intune 为 Surface 设备配置设备固件配置接口 (DFCI)](https://techcommunity.microsoft.com/t5/intune-customer-success/how-to-use-device-firmware-configuration-interface-dfci-for/ba-p/3041293) * 在其他功能中，使用 DFCI 设置的设备可以设置为禁用从 USB 设备启动，并且无法直接绕过芯片级安全，即使是 CMOS 清除也无法绕过，因为它使用非易失性存储器（即闪存）。它设置 BIOS 证书认证，私钥位于 Intune 内的云边缘之后，即使是 Microsoft 支持也无法获取该密钥。 * 支持 DFCI 的 Surface 产品列表在该文档中可能不会快速更新，但不必担心，这是一个活跃的项目，所有新的 Surface 设备都内置了此功能，文档团队可能只是有点滞后。 * Microsoft Surface 设备使用 [Project Mu](https://microsoft.github.io/mu/) 作为其固件源代码。 * Surface 设备可以使用证书代替密码进行 UEFI 认证。它们也没有像其他设备那样的重置开关。你可以使用 [Surface Management Toolkit](https://www.microsoft.com/en-us/download/details.aspx?id=46703) 创建并安装自己的证书。你可以构建一个包含证书的配置包并将其安装到固件中，然后如果没有签名证书授权更改，该包就无法被移除或修改，即证书认证；或者你也可以直接使用前面提到的 DFCI，无需担心，因为包使用 Microsoft 的私钥签名，并且没有需要你自行托管的 PKI。 * 商用级 Surface 设备配备专用 TPM 芯片。 * 查看 [Device Guard 类别](https://github.com/HotCakeX/Harden-Windows-Security?tab=readme-ov-file#device-guard) 中关于安全核心规格的内容。 * Pluton 安全芯片**不是**安全核心认证的要求。 * Pluton 安全芯片包含在 [Qualcomm Snapdragon ARM CPU](https://www.qualcomm.com/products/mobile/snapdragon/pcs-and-tablets/snapdragon-x-elite)、[AMD](https://blogs.windows.com/windowsexperience/2024/04/16/amds-commercial-ai-pc-portfolio-integrates-microsoft-pluton-includes-microsoft-copilot/) 和 [Intel CPU](https://www.theverge.com/2024/6/3/24169115/intel-lunar-lake-architecture-platform-feature-reveal) 中。 * [Copilot+](https://www.microsoft.com/en-us/windows/copilot-plus-pcs) PC 属于[最安全的消费级设备](https://blogs.windows.com/windowsexperience/2024/09/27/update-on-recall-security-and-privacy-architecture/)。它们是安全核心设备，并集成了 Pluton 安全芯片。 <br> > [!IMPORTANT]\ > <img width="30" src="https://assets.kitploit.com/production/public/readmes/48592/7fff047433f83dcd6b4c05c9181ac412de836a51663ef72f42ba2299dc75bbb1.gif" alt="Attention gif"> 了解可能危及系统安全的[潜在硬件后门](https://bios-pw.org/)非常重要。一些常见的 OEM，如 Compaq、Dell、Fujitsu、Hewlett-Packard (HP)、Sony 和 Samsung，以及使用未修改的 Insyde H20 或 Phoenix 固件的 OEM，都使用基于设备序列号的算法进行密码重置。这些算法允许从固件中移除主密码，从而可能授予对系统的未经授权访问。 <br> > [!NOTE]\ > <img width="30" src="https://assets.kitploit.com/production/public/readmes/48592/a3d2cdcae6d7acf68b3786f40a914a58c14b5ff735fb10c433805ea9a21ad1a1.gif" alt="rotating diamond gif"> 购买第三方设备时，请确保它们具有 [Pluton](https://www.microsoft.com/en-us/security/blog/2020/11/17/meet-the-microsoft-pluton-processor-the-security-chip-designed-for-the-future-of-windows-pcs/) 安全芯片，它可以[满足安全需求](https://techcommunity.microsoft.com/t5/microsoft-defender-for-endpoint/defending-against-ransomware-with-microsoft-defender-for/ba-p/3243941)，例如安全启动操作系统**即使面对固件威胁**，以及安全存储敏感数据**即使面对物理攻击**。 <br> ### <img width="40" src="https://assets.kitploit.com/production/public/readmes/48592/a88c1b97b3e058230c0ae281323025bb26e7d3e95bd1d2ea4e595350e74d8342.gif" alt="BYOVD device gif animated"> [防范 BYOVD（自带易受攻击驱动程序）攻击](#-protection-against-byovd-bring-your-own-vulnerable-driver-attacks) * 安全核心 PC 提供能够防范 BYOVD 攻击的硬件。启用这些功能是你的责任，包括 App Control for Business、ASR（攻击面减少）规则、动态/静态信任根以及可扩展用于撤销驱动程序的[固件](https://learn.microsoft.com/windows-hardware/drivers/bringup/firmware-attack-surface-reduction)。它们对于 [Microsoft 推荐驱动程序阻止列表](https://learn.microsoft.com/windows/security/application-security/application-control/app-control-for-business/design/microsoft-recommended-driver-block-rules) 中未明确提及的驱动程序尤其有用，这些驱动程序属于更动态的方面。 * 使用[严格的内核模式 App Control 策略实现完整的 BYOVD 保护](https://github.com/HotCakeX/Harden-Windows-Security/wiki/WDAC-policy-for-BYOVD-Kernel-mode-only-protection) <br> <p align="right"><a href="#readme-top">💡 (返回顶部)</a></p> <br> ## <img width="40" src="https://assets.kitploit.com/production/public/readmes/48592/59137b2c89f67f13848798bba1a2bb3609697247de260c2c194cd0909a5d32f1.gif" alt="Alert gif for what to do when under attack"> [遭受攻击时该怎么办？](#-what-to-do-when-there-is-an-attack-) 你应该与 Microsoft 签订现有的 [***统一合约***](https://www.microsoft.com/en-us/unifiedsupport/overview)（[以前](https://www.microsoft.com/en-us/unifiedsupport/premier)称为 [Premier Support](https://www.microsoft.com/en-us/premier-support-end-of-sale)）。Microsoft 提供广泛的服务和团队来帮助你从网络攻击中恢复，例如： - GHOST：全球狩猎、监督和战略分流 - [DART](https://www.microsoft.com/en-us/security/blog/2019/03/25/dart-the-microsoft-cybersecurity-team-we-hope-you-never-meet/) - Microsoft 检测与响应团队 - [CRSP](https://www.microsoft.com/en-us/security/blog/2021/06/09/crsp-the-emergency-team-fighting-cyber-attacks-beside-customers/) - 全球入侵恢复安全实践团队 - [包括勒索软件](https://learn.microsoft.com/azure/security/fundamentals/ransomware-detect-respond#road-to-recovery) 被入侵后，你应该联系你的客户成功客户经理，告诉他们你需要这些团队之一的帮助。 <br> > [!TIP]\ > 为你的公司或组织购买网络安全保险时，请确保购买一份能够覆盖聘请 Microsoft **精英**团队（如 **GHOST/DART**）费用的保险，即这些 Microsoft 团队将在你的保险网络内。 <br> ### 组织中安全团队的颜色分类 - 🔴 红色 - 渗透测试人员/白帽黑客 - 🔵 蓝色 - SOC/数据科学/遥测分析/SIEM 爱好者 - 🟢 绿色 - 修复人员，接收蓝色和红色的输入，并为已识别的盲点（蓝色）或漏洞/风险（红色）构建所需的修复方案 - 🟡 黄色 - 工具开发，SWE 为上述所有团队构建新工具，使其更快、更有效地运作 <br> <p align="right"><a href="#readme-top">💡 (返回顶部)</a></p> <br> ## <img width="40" src="https://assets.kitploit.com/production/public/readmes/48592/4c30deed2fc82d882504fe54bd4d8309968afcffd5fc40a68639778abc338d72.gif" alt="icon for For Penetration testing and benchmarking section"> [用于渗透测试和基准测试](#-for-penetration-testing-and-benchmarking) 如何正确地对由本仓库加固的系统进行渗透测试和基准测试，并使其尽可能接近真实场景： 1. 如果可能，请使用物理机，它应具有 Windows 11 认证硬件和[标准用户帐户](https://learn.microsoft.com/windows-server/remote/multipoint-services/create-a-standard-user-account)。 * 如果无法使用物理机，请使用 Hyper-V 虚拟机监控程序。你的主机（即物理机）必须具有 Windows 11 认证硬件，并满足 Readme 中解释的所有硬件和 UEFI 安全要求。但是，虚拟机容易受到侧信道攻击，因此如果你想要更真实的结果，请不要在渗透测试中使用该攻击向量。 2. 首先应用 [Harden System Security 应用](https://apps.microsoft.com/detail/9p7ggfl7dx57) *（其所有类别）*，然后使用 [AppControl Manager](https://github.com/HotCakeX/Harden-Windows-Security/wiki/AppControl-Manager) 部署合适的[签名](https://github.com/HotCakeX/Harden-Windows-Security/wiki/The-Strength-of-Signed-App-Control-Policies) App Control 策略。 <br> > [!IMPORTANT]\ > 始终关注 [Microsoft Windows 安全服务标准](https://www.microsoft.com/en-us/msrc/windows-security-servicing-criteria)，尤其是安全边界。管理员到内核之间没有安全边界。 > > 一些渗透测试人员忽略了这一事实，认为以管理员身份执行禁用安全功能等管理任务是一个漏洞。这是预期行为。管理员有权控制设备的安全性，并可以自行决定禁用安全功能。这就是为什么在执行真实渗透测试时需要使用标准用户帐户的原因。 > > 另一个需要考虑的方面是“Admin”一词的歧义。至少有两种不同类型的 Admin：本地管理员和云管理员。例如，当你对利用企业云安全解决方案（如 Microsoft Defender for Endpoint (MDE)）的系统进行渗透测试时，Admin 访问应被视为云管理员，因为这些设备使用 Microsoft Entra ID 并且没有本地管理员。在这种情况下，云管理员可以按预期轻松禁用安全功能，使得使用本地管理员访问的渗透测试完全无意义。相反，当对仅依赖个人安全功能（如 Microsoft Defender）的系统进行渗透测试时，Admin 应被视为本地管理员。在这种情况下，管理员也可以出于上述相同原因禁用任何安全功能。 > > 当然，Microsoft 还采用了其他安全措施，例如用于纵深防御策略的受保护进程轻量级 (PPL)，但这些措施不会改变上述事实。**目标始终是抱最好的希望，做最坏的打算。** <br> ## <img width="40" src="https://assets.kitploit.com/production/public/readmes/48592/fc8bda879aae28d2e8696902a8196e186c3a2045fe4219b081d7879d14eb0a66.gif" alt="Ghost emoji"> [有任何问题或建议吗？](#-any-questions-or-suggestions) 请在仓库中打开新的 [issue](https://github.com/HotCakeX/Harden-Windows-Security/issues) 或 [discussion](https://github.com/HotCakeX/Harden-Windows-Security/discussions)。 <br> --- [Read more](https://github.com/hotcakex/harden-windows-security)
