Hardens Windows 10/11 and Server 2019/2022 endpoints using CIS Benchmarks via GPO templates and CIS-CAT verification. For new deployments, audit fixes, and compliance baselines.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
在以下情况下使用本技能:
Hardens Windows 10/11 and Server 2019/2022 endpoints using CIS Benchmarks via GPO templates. For deployments, audit remediation, and compliance baselines.
Hardens Windows 10/11/Server endpoints using CIS Benchmarks with GPO imports, PowerShell configs, and compliance validation for audits and baselines.
Hardens Ubuntu, RHEL, CentOS Linux endpoints using CIS Benchmark: filesystem configs, disable services, network sysctls, SSH hardening. For new servers, audits, compliance baselines.
Share bugs, ideas, or general feedback.
在以下情况下使用本技能:
不适用于 Linux 端点(使用 hardening-linux-endpoint-with-cis-benchmark)或需要 CIS 云 Benchmark 的云原生工作负载。
CIS 为 Windows 端点提供两个配置文件级别:
Level 1(L1)- 企业/公司环境:
Level 2(L2)- 高安全性/敏感数据:
根据端点的数据分类和风险承受能力选择配置文件。
CIS 为每个 Benchmark 版本提供预构建的 GPO 模板(构建套件):
# 从 CIS WorkBench 下载 CIS 构建套件(需要 CIS SecureSuite 会员资格)
# 将 GPO 备份解压到暂存目录
# 将 CIS GPO 导入 Active Directory
Import-GPO -BackupGpoName "CIS Microsoft Windows 11 Enterprise v3.0.0 L1" `
-TargetName "CIS-Win11-L1-Baseline" `
-Path "C:\CIS-GPO-Backups\Win11-Enterprise" `
-CreateIfNeeded
# 将 GPO 链接到目标 OU
New-GPLink -Name "CIS-Win11-L1-Baseline" `
-Target "OU=Workstations,DC=corp,DC=example,DC=com" `
-LinkEnabled Yes
账户策略(第 1 节):
密码策略:
- 最小密码长度:14 个字符(1.1.4)
- 最大密码有效期:365 天(1.1.3)
- 密码复杂性:已启用(1.1.5)
- 使用可还原加密存储密码:已禁用(1.1.6)
账户锁定策略:
- 账户锁定阈值:5 次无效登录尝试(1.2.1)
- 账户锁定持续时间:15 分钟(1.2.2)
- 在以下时间后重置账户锁定计数器:15 分钟(1.2.3)
本地策略 - 审计策略(第 17 节):
审计策略配置:
- 审核凭据验证:成功和失败(17.1.1)
- 审核安全组管理:成功(17.2.5)
- 审核登录:成功和失败(17.5.1)
- 审核进程创建:成功(17.6.1)
- 审核可移动存储:成功和失败(17.6.4)
安全选项(第 2.3 节):
- 交互式登录:不显示上次登录的用户名:已启用(2.3.7.1)
- 交互式登录:计算机非活动限制:900 秒(2.3.7.3)
- 网络访问:不允许匿名枚举 SAM 账户:已启用(2.3.10.2)
- 网络安全:LAN 管理器认证级别:仅发送 NTLMv2 响应(2.3.11.7)
- UAC:以管理员审批模式运行所有管理员:已启用(2.3.17.6)
Windows 防火墙(第 9 节):
- 域配置文件:防火墙状态:开启(9.1.1)
- 域配置文件:入站连接:阻止(9.1.2)
- 专用配置文件:防火墙状态:开启(9.2.1)
- 公用配置文件:防火墙状态:开启(9.3.1)
- 公用配置文件:入站连接:阻止(9.3.2)
# 针对目标端点运行 CIS-CAT Pro Assessor
# CIS-CAT 生成每项建议的通过/失败 HTML/XML 报告
.\Assessor-CLI.bat `
-b "benchmarks\CIS_Microsoft_Windows_11_Enterprise_Benchmark_v3.0.0-xccdf.xml" `
-p "Level 1 (L1) - Corporate/Enterprise Environment" `
-rd "C:\CIS-Reports" `
-nts
# 查看报告中的失败控制项
# 目标分数:L1 >= 95%,L2 >= 90%(考虑运营例外)
对于每项无法应用的 CIS 建议:
示例例外:
建议:2.3.7.3 - 交互式登录:计算机非活动限制:900 秒
例外:生产车间的信息亭系统需要 1800 秒
补偿控制:生产区域的实体门禁、闭路电视监控
审查日期:2026-06-01
批准人:CISO
通过计划任务或 SCCM 配置定期 CIS-CAT 扫描:
# 创建每周 CIS-CAT 评估的计划任务
$action = New-ScheduledTaskAction -Execute "C:\CIS-CAT\Assessor-CLI.bat" `
-Argument "-b benchmarks\CIS_Win11_v3.0.0-xccdf.xml -p Level1 -rd C:\CIS-Reports -nts"
$trigger = New-ScheduledTaskTrigger -Weekly -DaysOfWeek Sunday -At 2am
$principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -RunLevel Highest
Register-ScheduledTask -TaskName "CIS-Benchmark-Scan" -Action $action `
-Trigger $trigger -Principal $principal
将结果输入 SIEM 以进行配置漂移检测和仪表盘报告。
| 术语 | 定义 |
|---|---|
| CIS Benchmark | 由 CIS 与政府、工业界和学术界共同制定的基于共识的安全配置指南 |
| Level 1 配置文件 | 适用于大多数组织、对运营影响最小的实用安全基线 |
| Level 2 配置文件 | 面向高安全环境的扩展安全基线,可能降低功能性 |
| CIS-CAT | CIS 配置评估工具,可自动化 Benchmark 合规检查 |
| 构建套件 | CIS 提供的预配置 GPO 模板,实现 Benchmark 建议 |
| 评分 | CIS 建议分为计分项(可衡量合规性)和非计分项(最佳实践指导) |