Table of Contents

تقوية ويندوز باستخدام Windows Defender Application Control WDAC

ملاحظات:

  • يدعم Windows Server 2016/2019 أو أي إصدار قبل 1903 سياسة تراثية واحدة فقط في كل مرة.
  • إصدار Windows Server Core يدعم WDAC لكن بعض المكونات التي تعتمد على AppLocker لن تعمل
  • يرجى قراءة القراءة الموصى بها قبل التنفيذ أو حتى الاختبار.

قائمة السكربتات والأدوات التي يستخدمها هذا التجميع:

تم النظر في تكوينات إضافية من:

شرح:

XML مقابل BIN:

  • ببساطة، السياسات “XML” مخصصة للتطبيق محليًا على الجهاز وملفات “BIN” مخصصة لفرضها عبر سياسة المجموعة أو Microsoft Intune . بينما يمكنك استخدام سياسات XML أو BIN أو CIP في نشر محلي، من الأفضل عمومًا الالتزام بـ XML حيثما أمكن وخاصة أثناء التدقيق أو استكشاف الأخطاء وإصلاحها.

وصف السياسات:

  • السياسات الافتراضية:
    • تستخدم سياسات “الافتراضية” فقط الميزات الافتراضية المتاحة في WDAC-Toolkit.
  • السياسات الموصى بها:
    • تستخدم سياسات “الموصى بها” الميزات الافتراضية بالإضافة إلى قواعد الحظر وقواعد حظر برامج التشغيل الموصى بها من Microsoft.
  • سياسات التدقيق:
    • تسجل سياسات “التدقيق” فقط الاستثناءات من القواعد. هذا للاختبار في بيئتك، بحيث يمكنك تعديل السياسات بحرية لتناسب احتياجات بيئتك.
  • السياسات المفروضة:
    • لا تسمح سياسات “المفروضة” بأي استثناءات للقواعد، سيتم حظر التطبيقات وبرامج التشغيل وملفات dll، إلخ إذا لم تمتثل.

السياسات المتاحة:

  • XML:
    • تدقيق فقط:
      • WDAC_V1_Default_Audit_{version}.xml
      • WDAC_V1_Recommended_Audit_{version}.xml
    • مفروضة:
      • WDAC_V1_Default_Enforced_{version}.xml
      • WDAC_V1_Recommended_Enforced_{version}.xml
  • BIN:
    • تدقيق فقط:
      • WDAC_V1_Default_Audit_{version}.bin
      • WDAC_V1_Recommended_Audit_{version}.bin
    • مفروضة:
      • WDAC_V1_Default_Enforced_{version}.bin
      • WDAC_V1_Recommended_Enforced_{version}.bin
  • CIP:
    • تدقيق فقط:
      • WDAC_V1_Default_Audit\{uid}.cip
      • WDAC_V1_Recommended_Audit\{uid}.cip
    • مفروضة:
      • WDAC_V1_Default_Enforced\{uid}.cip
      • WDAC_V1_Recommended_Enforced\{uid}.cip

قم بتحديث السطر التالي في السكربت لاستخدام السياسة التي ترغب بها محليًا:

$PolicyPath = "C:\temp\Windows Defender\CIP\WDAC_V1_Recommended_Enforced\*.cip"
#https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-control/deployment/deploy-wdac-policies-with-script
ForEach ($Policy in (Get-ChildItem -Recurse $PolicyPath).Fullname) {
  $PolicyBinary = "$Policy"
  $DestinationFolder = $env:windir+"\System32\CodeIntegrity\CIPolicies\Active\"
  $RefreshPolicyTool = "./Files/EXECUTABLES/RefreshPolicy(AMD64).exe"
  Copy-Item -Path $PolicyBinary -Destination $DestinationFolder -Force
  & $RefreshPolicyTool
}

بدلاً من ذلك، يمكنك استخدام سياسة المجموعة أو Microsoft Intune لفرض سياسات WDAC.

التدقيق:

يمكنك عرض سجلات أحداث WDAC في عارض الأحداث تحت:

Applications and Services Logs\Microsoft\Windows\CodeIntegrity\Operational

القراءة الموصى بها:

كيفية تشغيل السكربت:

التثبيت اليدوي:

إذا تم التنزيل يدويًا، يجب تشغيل السكربت من PowerShell بصلاحيات المسؤول في الدليل الذي يحتوي على جميع الملفات من مستودع GitHub

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Force
Get-ChildItem -Recurse *.ps1 | Unblock-File
.\sos-wdachardening.ps1