Stats
Actions
Tags
Hardens Windows 10/11 and Server 2019/2022 endpoints using CIS Benchmarks via GPO templates and CIS-CAT verification. For new deployments, audit fixes, and compliance baselines.
How this skill is triggered — by the user, by Claude, or both
Slash command
/cybersecurity-skills-zh:hardening-windows-endpoint-with-cis-benchmarkThe summary Claude sees in its skill listing — used to decide when to auto-load this skill
在以下情况下使用本技能：
在以下情况下使用本技能：
不适用于 Linux 端点（使用 hardening-linux-endpoint-with-cis-benchmark）或需要 CIS 云 Benchmark 的云原生工作负载。
CIS 为 Windows 端点提供两个配置文件级别：
Level 1（L1）- 企业/公司环境：
Level 2（L2）- 高安全性/敏感数据：
根据端点的数据分类和风险承受能力选择配置文件。
CIS 为每个 Benchmark 版本提供预构建的 GPO 模板（构建套件）：
# 从 CIS WorkBench 下载 CIS 构建套件（需要 CIS SecureSuite 会员资格）
# 将 GPO 备份解压到暂存目录
# 将 CIS GPO 导入 Active Directory
Import-GPO -BackupGpoName "CIS Microsoft Windows 11 Enterprise v3.0.0 L1" `
-TargetName "CIS-Win11-L1-Baseline" `
-Path "C:\CIS-GPO-Backups\Win11-Enterprise" `
-CreateIfNeeded
# 将 GPO 链接到目标 OU
New-GPLink -Name "CIS-Win11-L1-Baseline" `
-Target "OU=Workstations,DC=corp,DC=example,DC=com" `
-LinkEnabled Yes
账户策略（第 1 节）：
密码策略：
- 最小密码长度：14 个字符（1.1.4）
- 最大密码有效期：365 天（1.1.3）
- 密码复杂性：已启用（1.1.5）
- 使用可还原加密存储密码：已禁用（1.1.6）
账户锁定策略：
- 账户锁定阈值：5 次无效登录尝试（1.2.1）
- 账户锁定持续时间：15 分钟（1.2.2）
- 在以下时间后重置账户锁定计数器：15 分钟（1.2.3）
本地策略 - 审计策略（第 17 节）：
审计策略配置：
- 审核凭据验证：成功和失败（17.1.1）
- 审核安全组管理：成功（17.2.5）
- 审核登录：成功和失败（17.5.1）
- 审核进程创建：成功（17.6.1）
- 审核可移动存储：成功和失败（17.6.4）
安全选项（第 2.3 节）：
- 交互式登录：不显示上次登录的用户名：已启用（2.3.7.1）
- 交互式登录：计算机非活动限制：900 秒（2.3.7.3）
- 网络访问：不允许匿名枚举 SAM 账户：已启用（2.3.10.2）
- 网络安全：LAN 管理器认证级别：仅发送 NTLMv2 响应（2.3.11.7）
- UAC：以管理员审批模式运行所有管理员：已启用（2.3.17.6）
Windows 防火墙（第 9 节）：
- 域配置文件：防火墙状态：开启（9.1.1）
- 域配置文件：入站连接：阻止（9.1.2）
- 专用配置文件：防火墙状态：开启（9.2.1）
- 公用配置文件：防火墙状态：开启（9.3.1）
- 公用配置文件：入站连接：阻止（9.3.2）
# 针对目标端点运行 CIS-CAT Pro Assessor
# CIS-CAT 生成每项建议的通过/失败 HTML/XML 报告
.\Assessor-CLI.bat `
-b "benchmarks\CIS_Microsoft_Windows_11_Enterprise_Benchmark_v3.0.0-xccdf.xml" `
-p "Level 1 (L1) - Corporate/Enterprise Environment" `
-rd "C:\CIS-Reports" `
-nts
# 查看报告中的失败控制项
# 目标分数：L1 >= 95%，L2 >= 90%（考虑运营例外）
对于每项无法应用的 CIS 建议：
示例例外：
建议：2.3.7.3 - 交互式登录：计算机非活动限制：900 秒
例外：生产车间的信息亭系统需要 1800 秒
补偿控制：生产区域的实体门禁、闭路电视监控
审查日期：2026-06-01
批准人：CISO
通过计划任务或 SCCM 配置定期 CIS-CAT 扫描：
# 创建每周 CIS-CAT 评估的计划任务
$action = New-ScheduledTaskAction -Execute "C:\CIS-CAT\Assessor-CLI.bat" `
-Argument "-b benchmarks\CIS_Win11_v3.0.0-xccdf.xml -p Level1 -rd C:\CIS-Reports -nts"
$trigger = New-ScheduledTaskTrigger -Weekly -DaysOfWeek Sunday -At 2am
$principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -RunLevel Highest
Register-ScheduledTask -TaskName "CIS-Benchmark-Scan" -Action $action `
-Trigger $trigger -Principal $principal
将结果输入 SIEM 以进行配置漂移检测和仪表盘报告。
| 术语 | 定义 |
|---|---|
| CIS Benchmark | 由 CIS 与政府、工业界和学术界共同制定的基于共识的安全配置指南 |
| Level 1 配置文件 | 适用于大多数组织、对运营影响最小的实用安全基线 |
| Level 2 配置文件 | 面向高安全环境的扩展安全基线，可能降低功能性 |
| CIS-CAT | CIS 配置评估工具，可自动化 Benchmark 合规检查 |
| 构建套件 | CIS 提供的预配置 GPO 模板，实现 Benchmark 建议 |
| 评分 | CIS 建议分为计分项（可衡量合规性）和非计分项（最佳实践指导） |
npx claudepluginhub killvxk/cybersecurity-skills-zhHardens Windows endpoints using CIS Benchmark recommendations to reduce attack surface, enforce security baselines, and meet compliance requirements. Activates for Windows hardening, CIS benchmarks, GPO baselines, or endpoint configuration compliance.
Hardens Windows endpoints using CIS Benchmark recommendations to reduce attack surface, enforce security baselines, and meet compliance requirements. Activates for Windows hardening, CIS benchmarks, GPO baselines, or endpoint configuration compliance.
Hardens Windows 10/11 and Server 2019/2022 endpoints using CIS Benchmarks via GPO templates. For deployments, audit remediation, and compliance baselines.