Безопасность Windows

# Проверить статус Defender
PS> Get-MpComputerStatus

# Включить защиту в реальном времени
PS> Set-MpPreference -DisableRealtimeMonitoring $false

# Полная проверка
PS> Start-MpScan -ScanType FullScan

# Просмотр последних угроз
PS> Get-MpThreatDetection | Select-Object ThreatID, DomainUser, ProcessName

# Исключения (не добавляйте без необходимости!)
PS> Add-MpPreference -ExclusionPath "C:\MyApp"

# ASR правила (отключение Office-макросов)
PS> Add-MpPreference -AttackSurfaceReductionRules_Ids 5beb7efe -AttackSurfaceReductionRules_Actions 1

# Включить Controlled Folder Access
PS> Set-MpPreference -EnableControlledFolderAccess Enabled

# Добавить папку в защищённые
PS> Add-MpPreference -ControlledFolderAccessProtectedFolders "D:\Documents"

# Разрешить приложение
PS> Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\Program Files\MyApp\app.exe"

# Проверить статус брандмауэра
PS> Get-NetFirewallProfile | Select-Object Name, Enabled

# Включить все профили
PS> Set-NetFirewallProfile -Profile Domain,Public,Private -Enabled True

# Блокировать исходящий трафик для приложения
PS> New-NetFirewallRule -DisplayName "Block App" `
    -Direction Outbound -Program "C:\Apps\app.exe" -Action Block

# Разрешить порт 8080
PS> New-NetFirewallRule -DisplayName "Allow 8080" `
    -Direction Inbound -Protocol TCP -LocalPort 8080 -Action Allow

# Просмотр активных правил
PS> Get-NetFirewallRule | Where-Object {$_.Enabled -eq 'True'} | Select-Object DisplayName, Direction, Action

# Блокировать все входящие (строгий режим)
PS> Set-NetFirewallProfile -DefaultInboundAction Block -DefaultOutboundAction Allow

# Проверить текущий уровень UAC
PS> Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" `
    -Name EnableLUA, ConsentPromptBehaviorAdmin, PromptOnSecureDesktop

# Установить максимальный уровень (рекомендуется)
PS> Set-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" `
    -Name ConsentPromptBehaviorAdmin -Value 5

# Включить запрос на безопасном рабочем столе
PS> Set-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" `
    -Name PromptOnSecureDesktop -Value 1

# Через реестр (или regedit)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
  EnableLUA = 1              // 0 = UAC отключён
  ConsentPromptBehaviorAdmin = 5  // 5 = всегда спрашивать
  PromptOnSecureDesktop = 1      // 1 = безопасный рабочий стол

# Проверить статус BitLocker
PS> Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, ProtectionStatus

# Включить BitLocker на C:
PS> Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -UsedSpaceOnly

# Включить на съёмном носителе
PS> Enable-BitLocker -MountPoint "D:" -EncryptionMethod Aes256 -PasswordProtector
PS> Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId "..."

# Скопировать ключ восстановления (ВАЖНО!)
PS> manage-bde -protectors -get C:

# Отключить (только для обслуживания!)
PS> Disable-BitLocker -MountPoint "C:"

# Открыть редактор групповых политик
PS> gpedit.msc

# Применить политику
PS> gpupdate /force

# Посмотреть применённые политики
PS> gpresult /r

# Просмотр всех локальных политик
PS> secedit /export /cfg C:\temp\security_policy.inf

# Экспорт политики паролей
PS> net accounts

# Установить сложность пароля
PS> net accounts /minpwlen:12 /maxpwage:90 /uniquepw:5

# Отключить гостя
PS> net user Guest /active:no

# Просмотр журнала безопасности
PS> Get-EventLog -LogName Security -Newest 50

# Поиск успешных входов (Event ID 4624)
PS> Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} -MaxEvents 20

# Поиск неудачных попыток входа (Event ID 4625)
PS> Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20

# Поиск созданных процессов (Sysmon Event ID 1)
PS> Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational'; Id=1} -MaxEvents 10

# Поиск по имени пользователя
PS> Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} |
    Where-Object { $_.Properties[5].Value -eq "username" }

# Экспорт в CSV
PS> Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} |
    Select-Object TimeCreated, Message | Export-Csv "C:\temp\logins.csv"

# Включить логирование PowerShell
PS> Set-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging" `
    -Name EnableScriptBlockLogging -Value 1