本來是想看看MBSA（Microsoft Baseline Security Analyzer），發(fā)現(xiàn)微軟已經(jīng)早就不更新了，我記得我當(dāng)初寫《網(wǎng)絡(luò)攻防實戰(zhàn)研究漏洞利用與提權(quán)》時曾經(jīng)單獨介紹過MBSA用來查看系統(tǒng)漏洞修補(bǔ)情況，在微軟官方搜索了半天，都沒有找到該軟件，國內(nèi)有一些網(wǎng)站提供該軟件下載，處于安全考慮，沒有下載到本地進(jìn)行測試，意外發(fā)現(xiàn)一款小工具可以對Windows安全基線進(jìn)行檢查和加固，其實現(xiàn)原來主要對Windows的注冊表值進(jìn)行檢測，然后進(jìn)行加固。軟件名稱WindowsBaselineAssistant，下載地址https://github.com/DeEpinGh0st/WindowsBaselineAssistant。軟件是開源軟件，可以直接編譯，也可以下載編譯后的程序

https://github.com/DeEpinGh0st/WindowsBaselineAssistant/releases/download/v1.2.1

/WindowsBaselineAssistant-v1.2.1.zip。

一、運行WindowsBaselineAssistant

       雖然是開源的，下載到本地后解壓后一共有三個文件，如圖1所示，通過火絨殺毒軟件對其殺毒，無病毒提示。

圖1 程序文件情況

軟件在Windows10下可以直接運行，Net Framework 4.0及以上，編譯則需要一些依賴項：SunnyUI 3.6.3、SunnyUI.Common 3.6.3、System.ValueTuple 4.5.0、NPOI 2.5.1、Costura.Fody 4.1.0。    

1.檢測規(guī)則

如現(xiàn)在要檢測重新傳輸?shù)腡CP連接閾值

檢測類型為檢索注冊表   檢索的注冊表路徑為HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\services\\Tcpip\\Parameters

檢測項為TcpMaxHalfOpenRetried

標(biāo)準(zhǔn)值為400

數(shù)據(jù)類型為DWord

檢測值要小于此值時判定符合

實現(xiàn)為：

<item>
  <name>檢查處于SYN_RCVD 狀態(tài)下,且至少已經(jīng)進(jìn)行了一次重新傳輸?shù)腡CP連接閾值</name>
  <description>xxxxxx</description>
  <type>registry</type>
  <registry>HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip\Parameters</registry>
  <regitem>TcpMaxHalfOpenRetried</regitem>
  <standard>400</standard>
  <assessment>lessnumber</assessment>
    <valuetype>dword</valuetype>
</item>

直接運行WindowsBaselineAssistant.exe，運行效果如圖2所示。

圖2 軟件運行主界面

二、檢測及加固

1.對系統(tǒng)存在的漏洞進(jìn)行檢測

該工具軟件不檢測系統(tǒng)補(bǔ)丁修復(fù)情況，僅僅對一些可能造成被攻擊的設(shè)置進(jìn)行檢測，如圖3所示。發(fā)現(xiàn)里面確實存在很多問題，主要看檢測結(jié)果，里面如果存在不符合項，則顯示紅色。

圖3 安全檢測結(jié)果

2.加固    

單擊加固，軟件自動修正注冊表中的值。即可完成加固。筆者實際測試，放方便。

3.導(dǎo)出結(jié)果

單擊“導(dǎo)出結(jié)果”，如圖4所示，會提示將加固結(jié)果導(dǎo)出到程序當(dāng)前目錄。

圖4 導(dǎo)出加固結(jié)果

4.查看加固結(jié)果

打開“Windows安全基線檢測加固結(jié)果匯總表-192.168.1.37.xlsx”文件，如圖5所示，可以查看詳細(xì)的結(jié)果。

圖5 查看加固結(jié)果

5.自定義加固規(guī)則

在軟件中也提供了自定義規(guī)則，如圖6所示，根據(jù)注冊表值來進(jìn)行檢測。    

圖6 自定義加固規(guī)則

三、總結(jié)及評價

軟件僅僅對一些默認(rèn)設(shè)置進(jìn)行檢測，通過加固可以從一定程度上增強(qiáng)系統(tǒng)的安全性，美中不足的是無法對系統(tǒng)高危漏洞補(bǔ)丁進(jìn)行查看，微軟的MBSA2.3版本可以對Windows系統(tǒng)存在的補(bǔ)丁進(jìn)行比對，并給出修復(fù)建議。