Windows security baseline checker

Plak een secedit-export om wachtwoordbeleid, auditinstellingen en registerbeveiliging te controleren tegen bekende baseline-aanbevelingen.

Draait in je browser · er wordt niets verstuurdActive DirectoryNieuw

Alles draait in je browser. Er wordt niets verstuurd, ook geen accountnamen of security identifiers (SID’s) uit je export.

secedit-export (.cfg / .inf tekst)

Voer op de computer die je wilt controleren "secedit /export /cfg C:\baseline.cfg" uit (als Administrator) en plak de inhoud van dat bestand hier.

Deze export komt van een domeincontroller

Verhoogt de ernst van bevindingen die extra belangrijk zijn op een domeincontroller, zoals anonieme opsomming.

Zo gebruik je het

Open een verheven PowerShell- of Command Prompt-venster op de computer die je wilt controleren.
Voer "secedit /export /cfg C:\baseline.cfg" uit.
Open het bestand en plak de inhoud in de tool.
Bekijk de bevindingen en exporteer het rapport indien nodig.

Veelvoorkomende situaties

Een server controleren na inrichting

Exporteer het lokale beveiligingsbeleid direct na setup om te bevestigen dat wachtwoordbeleid, auditinstellingen en het LAN Manager-authenticatieniveau aan de baseline-aanbevelingen voldoen voordat de server in productie gaat.

Effectief beleid controleren na een GPO-wijziging

Exporteer secedit op een betrokken machine om het beleid te zien zoals het echt wordt toegepast, niet alleen zoals geconfigureerd in de GPO, omdat conflicterende of niet-gekoppelde policies een ander effectief resultaat kunnen opleveren.

Uitleg

Voer "secedit /export /cfg C:\baseline.cfg" uit als Administrator op de computer die je wilt controleren (lokaal beleid, of het effectieve beleid na toepassing van Group Policy), en plak de inhoud van het bestand hier. De tool controleert wachtwoord- en vergrendelingsbeleid, auditinstellingen, een set beveiligingsrelevante registerwaarden (LAN Manager-authenticatieniveau, anonieme toegang, UAC, automatische aanmelding) en gebruikersrechten (wie mag over het netwerk inloggen, wie heeft het debug-recht) tegen bekende, gedocumenteerde baseline-aanbevelingen uit Microsofts beveiligingsrichtlijnen. Alles draait lokaal; de export verlaat je browser nooit.

🔒 Je invoer blijft in je browser en wordt nergens naartoe gestuurd.

Veelgestelde vragen

Maakt dit verbinding met mijn domein of computer?

Nee. Er zijn geen inloggegevens en geen netwerkverbindingen. Je voert "secedit /export" zelf uit en plakt het resulterende tekstbestand hier.

Waarom secedit in plaats van een GPO-rapport?

De INI-stijl export van secedit is een simpel, stabiel, officieel gedocumenteerd formaat voor het effectieve beveiligingsbeleid. Een volledig GPO-rapport (XML) dekt elke Group Policy-instelling, maar het schema is veel complexer en verschilt per beleidsgebied, wat het veel groter en risicovoller maakt om correct te parsen.

Controleert dit tegen de baseline van een specifieke Windows-versie?

Nee. Elke bevinding is gebaseerd op een gedocumenteerde Microsoft-aanbeveling (bijvoorbeeld het LAN Manager-authenticatieniveau, of de aanbevolen minimale wachtwoordlengte) in plaats van één specifieke baseline-release, dus het geldt breed in plaats van exact één CIS- of Microsoft-baselineversie te volgen.

Wat verandert "domeincontroller" aan de resultaten?

Een paar bevindingen, zoals het toestaan van anonieme opsomming, worden ernstiger gemeld op een domeincontroller, omdat een compromittering daar het hele domein raakt in plaats van één machine.

Wat nu?

Ook handig

Windows Event-ID opzoekenZoek veelvoorkomende Windows Event-ID’s op: aanmelden, accountwijzigingen, services, Kerberos, RDP en PowerShell. Handig bij storingen en audits.
Entra ID Conditional Access analyzerPlak geëxporteerde Conditional Access-policies om te controleren op ontbrekende admin-MFA, niet-geblokkeerde legacy-auth en te brede scopes.
PowerShell cheatsheetDoorzoekbare lijst met essentiële PowerShell-cmdlets voor bestanden, processen, services, de pipeline en remoting, voor PowerShell 7 en 5.1.
X.509-certificaatdecoderDecodeer een PEM- of DER-X.509-certificaat: subject, uitgever, geldigheidsdata, publieke sleutel, Subject Alternative Names en extensies.
Hash herkennenOntdek van welk algoritme een hash waarschijnlijk komt: MD5, SHA-1, SHA-256, bcrypt, Argon2 en meer, op basis van lengte en prefix.
Wachtwoordsterkte controlerenSchat hoe sterk een wachtwoord is, hoe lang een offline aanval kan duren en hoe je het verbetert. Lokaal gecontroleerd, er wordt niets verstuurd.

Een probleem gevonden of een suggestie? Laat het ons weten