Windows Security Baseline Checker
Füge einen secedit-Export ein, um Passwortrichtlinie, Audit-Einstellungen und Registry-Sicherheitswerte gegen bekannte Baseline-Empfehlungen zu prüfen.
Läuft im Browser · es wird nichts gesendetActive DirectoryNeu
Alles läuft in deinem Browser. Es wird nichts gesendet, auch keine Kontonamen oder Sicherheitskennungen (SIDs) aus deinem Export.
Erhöht die Schwere von Ergebnissen, die auf einem Domänencontroller besonders wichtig sind, wie anonyme Aufzählung.
So geht’s
- Öffne eine erhöhte PowerShell oder Eingabeaufforderung auf dem zu prüfenden Computer.
- Führe "secedit /export /cfg C:\baseline.cfg" aus.
- Öffne die Datei und füge ihren Inhalt in das Tool ein.
- Sieh dir die Ergebnisse an und exportiere den Bericht bei Bedarf.
Typische Szenarien
Exportiere die lokale Sicherheitsrichtlinie direkt nach dem Setup, um zu bestätigen, dass Passwortrichtlinie, Audit-Einstellungen und LAN-Manager-Authentifizierungsstufe den Baseline-Empfehlungen entsprechen, bevor der Server in Produktion geht.
Exportiere secedit auf einem betroffenen Rechner, um die Richtlinie so zu sehen, wie sie tatsächlich wirkt, nicht nur wie sie in der GPO konfiguriert ist, da widersprüchliche oder nicht verknüpfte Richtlinien ein anderes effektives Ergebnis liefern können.
Erklärung
Führe "secedit /export /cfg C:\baseline.cfg" als Administrator auf dem zu prüfenden Computer aus (lokale Richtlinie oder die effektive Richtlinie nach Anwendung der Gruppenrichtlinie) und füge den Inhalt der Datei hier ein. Das Tool prüft Passwort- und Sperrrichtlinie, Audit-Einstellungen, eine Reihe sicherheitsrelevanter Registrierungswerte (LAN-Manager-Authentifizierungsstufe, anonymer Zugriff, UAC, automatische Anmeldung) und Benutzerrechtezuweisungen (wer sich über das Netzwerk anmelden darf, wer das Debug-Recht hat) gegen bekannte, dokumentierte Baseline-Empfehlungen aus Microsofts Sicherheitsleitfäden. Alles läuft lokal; der Export verlässt deinen Browser nie.
🔒 Deine Eingabe bleibt in deinem Browser und wird nirgendwohin gesendet.
Häufige Fragen
Verbindet sich das mit meiner Domäne oder meinem Computer?
Nein. Es gibt keine Zugangsdaten und keine Netzwerkverbindungen. Du führst "secedit /export" selbst aus und fügst die resultierende Textdatei hier ein.
Warum secedit statt eines GPO-Berichts?
Der INI-ähnliche Export von secedit ist ein einfaches, stabiles, offiziell dokumentiertes Format für die effektive Sicherheitsrichtlinie. Ein vollständiger GPO-Bericht (XML) deckt jede Gruppenrichtlinieneinstellung ab, aber sein Schema ist weit komplexer und variiert je nach Richtlinienbereich, was ihn deutlich aufwändiger und riskanter macht, korrekt zu verarbeiten.
Prüft das gegen die Baseline einer bestimmten Windows-Version?
Nein. Jedes Ergebnis basiert auf einer dokumentierten Microsoft-Empfehlung (zum Beispiel der LAN-Manager-Authentifizierungsstufe oder der empfohlenen Mindestpasswortlänge) statt auf einer bestimmten Baseline-Version, gilt also breit, statt genau einer CIS- oder Microsoft-Baseline-Version zu entsprechen.
Was ändert „Domänencontroller“ an den Ergebnissen?
Ein paar Ergebnisse, etwa das Zulassen anonymer Aufzählung, werden auf einem Domänencontroller mit höherer Schwere gemeldet, da eine Kompromittierung dort die gesamte Domäne betrifft statt nur einen Rechner.
Wie geht es weiter?
Problem gefunden oder einen Vorschlag? Schreib uns