用途
本技能用于使用 CIS（Center for Internet Security）基准建议对 Windows 终端进行安全加固，目标是减少攻击面、强制执行安全基线并满足合规要求。
适用场景包括：
- 部署需要安全加固的新 Windows 10/11 或 Server 2019/2022 终端
- 使用 CIS Level 1 或 Level 2 配置文件建立组织级安全基线
- 修复引用 CIS 基准的合规审计发现项（PCI DSS、HIPAA、SOC 2）
- 对照当前 CIS 基准版本验证现有终端配置
不适用于 Linux 终端（应使用 hardening-linux-endpoint-with-cis-benchmark），也不适用于需要 CIS 云基准的云原生工作负载。
前提条件
- Windows 10/11 Enterprise 或 Windows Server 2019/2022 目标终端
- 用于企业部署的 Active Directory 组策略管理控制台（GPMC）
- 用于自动化基准评估的 CIS-CAT Pro Assessor 或 CIS-CAT Lite
- 对目标终端或域控制器的管理访问权限
- 目标 Windows 版本的当前 CIS 基准 PDF（从 cisecurity.org 下载）
工作流程
第 1 步：选择 CIS 基准配置文件级别
CIS 为 Windows 终端提供两个配置文件级别：
Level 1（L1）— 企业/公司环境：
- 可应用于大多数组织的实用加固设置
- 对功能和用户体验影响最小
- 覆盖：密码策略、审核策略、用户权限、安全选项、Windows 防火墙
Level 2（L2）— 高安全/敏感数据：
- 包含所有 L1 设置及额外限制
- 可能影响可用性（禁用自动运行、限制远程桌面、增强审核日志记录）
- 适用于处理 PII、PHI、PCI 数据或机密信息的系统
根据终端的数据分类和风险容忍度选择配置文件。
第 2 步：导入 CIS GPO 基线
CIS 为每个基准版本提供预构建的 GPO 模板（Build Kits）：
# Download CIS Build Kit from CIS WorkBench (requires CIS SecureSuite membership)
# Extract the GPO backup to a staging directory
# Import the CIS GPO into Active Directory
Import-GPO -BackupGpoName "CIS Microsoft Windows 11 Enterprise v3.0.0 L1" `
-TargetName "CIS-Win11-L1-Baseline" `
-Path "C:\CIS-GPO-Backups\Win11-Enterprise" `
-CreateIfNeeded
# Link GPO to target OU
New-GPLink -Name "CIS-Win11-L1-Baseline" `
-Target "OU=Workstations,DC=corp,DC=example,DC=com" `
-LinkEnabled Yes
第 3 步：应用关键 CIS 基准类别
账户策略（第 1 节）：
密码策略：
- 最小密码长度：14 个字符（1.1.4）
- 最大密码期限：365 天（1.1.3）
- 密码复杂性：已启用（1.1.5）
- 使用可逆加密存储密码：已禁用（1.1.6）
账户锁定策略：
- 账户锁定阈值：5 次无效登录尝试（1.2.1）
- 账户锁定持续时间：15 分钟（1.2.2）
- 重置账户锁定计数器：15 分钟后（1.2.3）
本地策略 — 审核策略（第 17 节）：
审核策略配置：
- 审核凭据验证：成功和失败（17.1.1）
- 审核安全组管理：成功（17.2.5）
- 审核登录：成功和失败（17.5.1）
- 审核进程创建：成功（17.6.1）
- 审核可移动存储：成功和失败（17.6.4）
安全选项（第 2.3 节）：
- 交互式登录：不显示上次用户名：已启用（2.3.7.1）
- 交互式登录：机器不活动限制：900 秒（2.3.7.3）
- 网络访问：不允许匿名枚举 SAM 账户：已启用（2.3.10.2）
- 网络安全：LAN Manager 身份验证级别：仅发送 NTLMv2 响应（2.3.11.7）
- UAC：以管理员批准模式运行所有管理员：已启用（2.3.17.6）
Windows 防火墙（第 9 节）：
- 域配置文件：防火墙状态：开启（9.1.1）
- 域配置文件：入站连接：阻止（9.1.2）
- 专用配置文件：防火墙状态：开启（9.2.1）
- 公用配置文件：防火墙状态：开启（9.3.1）
- 公用配置文件：入站连接：阻止（9.3.2）
第 4 步：使用 CIS-CAT 评估进行验证
# Run CIS-CAT Pro Assessor against target endpoint
# CIS-CAT produces an HTML/XML report with pass/fail per recommendation
.\Assessor-CLI.bat `
-b "benchmarks\CIS_Microsoft_Windows_11_Enterprise_Benchmark_v3.0.0-xccdf.xml" `
-p "Level 1 (L1) - Corporate/Enterprise Environment" `
-rd "C:\CIS-Reports" `
-nts
# Review report for failed controls
# Score target: 95%+ for L1, 90%+ for L2 (due to operational exceptions)
第 5 步：记录例外与补偿控制
对于无法应用的每条 CIS 建议：
- 记录具体建议 ID 和标题
- 说明例外的业务理由
- 定义解决残余风险的补偿控制
- 设置复审日期（每季度）以重新评估例外
- 获得信息安全官签字确认
例外示例：
建议：2.3.7.3 — 交互式登录：机器不活动限制：900 秒 例外：制造车间自助终端系统需要 1800 秒 补偿控制：制造区域物理门禁、CCTV 监控 复审日期：2026-06-01 批准人：CISO
第 6 步：持续合规监控
通过计划任务或 SCCM 配置定期 CIS-CAT 扫描：
# Create scheduled task for weekly CIS-CAT assessment
$action = New-ScheduledTaskAction -Execute "C:\CIS-CAT\Assessor-CLI.bat" `
-Argument "-b benchmarks\CIS_Win11_v3.0.0-xccdf.xml -p Level1 -rd C:\CIS-Reports -nts"
$trigger = New-ScheduledTaskTrigger -Weekly -DaysOfWeek Sunday -At 2am
$principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -RunLevel Highest
Register-ScheduledTask -TaskName "CIS-Benchmark-Scan" -Action $action `
-Trigger $trigger -Principal $principal
将结果输入 SIEM 以进行漂移检测和仪表板报告。
关键概念
- CIS Benchmark：由 CIS 在政府、行业和学术界参与下制定的基于共识的安全配置指南
- Level 1 Profile：适用于大多数组织、运营影响最小的实用安全基线
- Level 2 Profile：面向高安全环境的扩展安全基线，可能降低功能
- CIS-CAT：CIS 配置评估工具，自动化基准合规检查
- Build Kit：CIS 提供的预配置 GPO 模板，实现基准建议
- Scoring：CIS 建议分为 Scored（可衡量合规）或 Not Scored（最佳实践指导）
工具与系统
- CIS-CAT Pro Assessor：自动化基准合规扫描器（需要 CIS SecureSuite 许可证）
- Microsoft Security Compliance Toolkit (SCT)：微软自有的 GPO 基线（与 CIS 互补）
- Group Policy Management Console (GPMC)：企业 GPO 部署与管理
- LGPO.exe：微软工具，用于将 GPO 应用于独立（非域）系统
- Nessus/Tenable：带 CIS 基准审计文件的漏洞扫描器
常见陷阱
- 对所有终端应用 L2：Level 2 限制（禁用自动播放、限制远程桌面）会破坏标准工作站的工作流。将 L2 保留给处理敏感数据的终端。
- 未在试点 OU 中测试 GPO：在全组织推广前，将 CIS GPO 部署到具有代表性硬件/软件的测试 OU，以避免破坏业务线应用程序。
- 忽略 CIS 基准版本更新：CIS 基准随每个 Windows 功能版本更新。运行过时的基准会遗漏新的安全设置并生成错误的合规报告。
- 忘记本地管理员账户：CIS 基准假设终端已加入域。独立系统需要 LGPO.exe 或 Microsoft Intune 来强制执行基线。
- 没有例外流程：应用 100% 的 CIS 建议很少可行。没有正式的例外流程，团队要么忽略加固，要么破坏应用程序。