Table of Contents

Endurecer Windows con Windows Defender Application Control WDAC

Notas:

  • Windows Server 2016/2019 o cualquier versión anterior a la 1903 solo soporta una política heredada a la vez.
  • La edición Windows Server Core soporta WDAC pero algunos componentes que dependen de AppLocker no funcionarán
  • Por favor lea la Lectura Recomendada antes de implementar o incluso probar.

Una lista de scripts y herramientas que utiliza esta colección:

Configuraciones adicionales consideradas de:

Explicación:

XML vs. BIN:

  • En pocas palabras, las políticas “XML” son para aplicar localmente en una máquina y los archivos “BIN” son para hacerlas cumplir mediante Directiva de Grupo o Microsoft Intune . Aunque puede usar políticas XML, BIN o CIP en una implementación local, generalmente debería usar XML cuando sea posible y especialmente durante auditorías o solución de problemas.

Descripciones de Políticas:

  • Políticas Predeterminadas
    • Las políticas “Predeterminadas” usan solo las funciones predeterminadas disponibles en WDAC-Toolkit.
  • Políticas Recomendadas
  • Políticas de Auditoría
    • Las políticas “Auditoría” solo registran excepciones a las reglas. Esto es para pruebas en su entorno, lo que le permite modificar las políticas libremente según las necesidades de su entorno.
  • Políticas Aplicadas
    • Las políticas “Aplicadas” no permiten excepciones a las reglas. Aplicaciones, controladores, dlls y otros elementos serán bloqueados si no cumplen.

Políticas Disponibles:

  • XML:
    • Solo Auditoría:
      • WDAC_V1_Default_Audit_{version}.xml
      • WDAC_V1_Recommended_Audit_{version}.xml
    • Aplicadas:
      • WDAC_V1_Default_Enforced_{version}.xml
      • WDAC_V1_Recommended_Enforced_{version}.xml
  • BIN:
    • Solo Auditoría:
      • WDAC_V1_Default_Audit_{version}.bin
      • WDAC_V1_Recommended_Audit_{version}.bin
    • Aplicadas:
      • WDAC_V1_Default_Enforced_{version}.bin
      • WDAC_V1_Recommended_Enforced_{version}.bin
  • CIP:
    • Solo Auditoría:
      • WDAC_V1_Default_Audit\{uid}.cip
      • WDAC_V1_Recommended_Audit\{uid}.cip
    • Aplicadas:
      • WDAC_V1_Default_Enforced\{uid}.cip
      • WDAC_V1_Recommended_Enforced\{uid}.cip

Actualice la siguiente línea en el script para usar la política que desee localmente:

$PolicyPath = "C:\temp\Windows Defender\CIP\WDAC_V1_Recommended_Enforced\*.cip"
#https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-control/deployment/deploy-wdac-policies-with-script
ForEach ($Policy in (Get-ChildItem -Recurse $PolicyPath).Fullname) {
  $PolicyBinary = "$Policy"
  $DestinationFolder = $env:windir+"\System32\CodeIntegrity\CIPolicies\Active\"
  $RefreshPolicyTool = "./Files/EXECUTABLES/RefreshPolicy(AMD64).exe"
  Copy-Item -Path $PolicyBinary -Destination $DestinationFolder -Force
  & $RefreshPolicyTool
}

Alternativamente, puede usar Directiva de Grupo o Microsoft Intune para aplicar las políticas WDAC.

Auditoría:

Puede ver los registros de eventos WDAC en el visor de eventos bajo:

Applications and Services Logs\Microsoft\Windows\CodeIntegrity\Operational

Lectura Recomendada:

Cómo ejecutar el script:

Instalación Manual:

Si se descarga manualmente, el script debe ejecutarse desde un PowerShell con privilegios administrativos en el directorio que contenga todos los archivos del Repositorio GitHub

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Force
Get-ChildItem -Recurse *.ps1 | Unblock-File
.\sos-wdachardening.ps1