运维123 - WDAC
type: channel
link: https://www.sddts.cn/index.php/category/WDAC/
description: WDAC
items: Lockdown Windows PowerShell 脚本安全加固工具技术分析

Lockdown Windows PowerShell 脚本安全加固工具技术分析
type: item
date: 2026-02-01T22:17:35+00:00
description: Lockdown Windows PowerShell 脚本安全加固工具技术分析一、项目概述1. 项目简介Lockdown Windows 是一个开源的 Windows 设备安全加固工具集，通过 PowerShell 脚本配置 Windows Defender、防火墙、网络设置和 Windows Defender Application Control（WDAC）等安全特性。2. 项目背景A. 核心问题Windows 系统默认配置往往偏重易用性而非安全性，存在多个潜在安全风险点：旧协议未禁用（SMBv1、NetBIOS）防火墙规则不够严格Windows Defender 高级功能未启用应用程序执行控制缺失B. 解决方案提供模块化的 PowerShell 脚本，每个脚本专注特定安全领域，管理员可根据需求选择执行。3. 项目状态开发状态：开发中（WARNING - IN DEV）许可：提供作为教育目的风险声明：使用风险自负二、系统架构1. 脚本组成graph TD A[Lockdown Windows] --> B[lockdown_defender.ps1] A --> C[lockdown_firewall.ps1] A --> D[lockdown_firewall_gui.ps1] A --> E[lockdown_network.ps1] A --> F[lockdown_wdac.ps1] B --> B1[Windows Defender加固] C --> C1[防火墙策略] D --> D1[防火墙GUI配置] E --> E1[网络配置加固] F --> F1[WDAC策略] B1 --> B2[实时保护] B1 --> B3[云保护] B1 --> B4[ASR规则] B1 --> B5[受控文件夹访问] E1 --> E2[禁用旧协议] E1 --> E3[DNS配置] E1 --> E4[TCP/IP加固]2. 脚本功能矩阵脚本名称核心功能安全域影响范围lockdown_defender.ps1Windows Defender 配置终端防护恶意软件检测、ASR、受控文件夹lockdown_firewall.ps1防火墙规则配置网络边界入站/出站连接、日志记录lockdown_firewall_gui.ps1防火墙 GUI 配置网络边界交互式规则管理lockdown_network.ps1网络协议加固网络安全协议禁用、DNS、TCP/IP 栈lockdown_wdac.ps1WDAC 策略实施应用控制应用白名单、代码完整性三、技术细节1. lockdown_defender.ps1 - Defender 加固A. 核心功能实时保护：启用实时监控和行为检测云保护：启用云递送保护，获取最新威胁情报自动样本提交：配置可疑文件自动提交ASR 规则：启用攻击面减少规则受控文件夹访问：保护敏感文件夹免受勒索软件网络保护：阻止恶意网络连接B. 安全价值graph LR A[Defender加固] --> B[实时监控] A --> C[云保护] A --> D[ASR规则] A --> E[受控文件夹] B --> F[拦截已知威胁] C --> G[获取最新情报] D --> H[减少攻击面] E --> I[保护数据安全]C. 潜在影响可能影响合法应用的正常运行ASR 规则过于严格可能影响业务流程2. lockdown_firewall.ps1 - 防火墙策略A. 核心配置启用所有配置文件（域、专用、公用）默认阻止入站连接配置丢包日志记录仅创建必要服务规则B. 安全模型sequenceDiagram participant N as 外部网络 participant FW as Windows防火墙 participant S as 系统服务 N->>FW: 入站连接请求 FW->>FW: 检查规则库 alt 规则允许 FW->>S: 转发连接 else 规则拒绝/无规则 FW->>N: 丢弃+日志 endC. 安全价值实施默认拒绝策略减少攻击面提供审计能力3. lockdown_network.ps1 - 网络加固A. 协议禁用协议风险禁用后影响SMBv1WannaCry 等漏洞无法访问旧共享NetBIOS信息泄露旧版网络发现失效LLMNR中间人攻击名称解析依赖 DNSB. DNS 加固配置安全 DNS 服务器启用 DNS over HTTPS（如支持）C. TCP/IP 栈加固禁用不必要的网络服务调整 TCP/IP 参数4. lockdown_wdac.ps1 - 应用控制A. WDAC 工作原理graph TD A[应用启动] --> B{代码完整性检查} B -->|签名验证| C{策略匹配} B -->|哈希…