# windows-hardening

Скилл для агентов, который приводит Windows Server к Microsoft security baselines и CIS benchmarks: пароли, Group Policy, Windows Defender, SMB.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 388 установок · ★ 1177
- Автор: devops-skills
- Лицензия: MIT · policy=mirror · начало файла — в конце страницы
- Исходник: https://github.com/BagelHole/DevOps-Security-Agent-Skills/tree/HEAD/security/hardening/windows-hardening/SKILL.md
- Обновлён: 2026-05-22
- HTML: https://affpapa.org/nevibecode/skills/windows-hardening

## Что делает

Скилл закрывает настройку безопасности Windows Server по Microsoft security baselines и CIS benchmarks. Внутри — готовые блоки PowerShell: политика паролей через `net accounts`, блокировка учётных записей, переименование встроенного администратора, отключение `Guest` и `DefaultAccount`, настройка LAPS.

Отдельные разделы — Group Policy, брандмауэр и сетевые протоколы. Отключается SMBv1, включается обязательная подпись SMB, выключаются LLMNR, NetBIOS over TCP/IP и WDigest, включается LSA Protection и настраивается UAC. Для домена есть установка модулей `SecurityPolicyDsc` и `AuditPolicyDsc` и применение baseline через `LGPO.exe`.

Нужен Windows Server 2019 или новее, права локального или доменного администратора и PowerShell 5.1+. Для доменных настроек понадобится Group Policy Management Console, а для работы с baseline — Microsoft Security Compliance Toolkit. Часть команд меняет реестр и сетевые протоколы, поэтому прогоняйте их сначала на тестовом сервере: отключение SMBv1 и LLMNR ломает доступ к старым сетевым шарам и разрешение имён.

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add BagelHole/DevOps-Security-Agent-Skills --skill windows-hardening -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/windows-hardening/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/windows-hardening/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add BagelHole/DevOps-Security-Agent-Skills --skill windows-hardening -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/windows-hardening/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add BagelHole/DevOps-Security-Agent-Skills --skill windows-hardening -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/windows-hardening/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install BagelHole/DevOps-Security-Agent-Skills windows-hardening
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/windows-hardening/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add BagelHole/DevOps-Security-Agent-Skills --skill windows-hardening -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/BagelHole/DevOps-Security-Agent-Skills --path security/hardening/windows-hardening
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/windows-hardening/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add BagelHole/DevOps-Security-Agent-Skills --skill windows-hardening -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/BagelHole/DevOps-Security-Agent-Skills/tree/HEAD/security/hardening/windows-hardening/SKILL.md

## Когда брать
- привести новый Windows Server к Microsoft security baseline
- закрыть CIS benchmarks перед аудитом SOC2 или PCI-DSS
- отключить SMBv1 и включить обязательную подпись SMB
- настроить политику паролей и блокировку учётных записей
- выключить LLMNR, NetBIOS и WDigest против кражи учётных данных

## Примеры запросов агенту
- Прогони windows-hardening по этому Windows Server 2022 и покажи, что изменится
- Настрой политику паролей и блокировку учётных записей по CIS benchmark
- Отключи SMBv1, LLMNR и NetBIOS over TCP/IP на этом сервере

## Похожие
- [hardening-docker-containers-for-production](https://affpapa.org/nevibecode/skills/hardening-docker-containers-for-production.md) — скилл · 320 установок
- [powershell-security-hardening](https://affpapa.org/nevibecode/agents/powershell-security-hardening.md) — субагент · 194 установки
- [windows-builder](https://affpapa.org/nevibecode/skills/windows-builder.md) — скилл · 2700 установок
- [propose-security-hardening](https://affpapa.org/nevibecode/skills/propose-security-hardening.md) — скилл · 13 установок
- [ntwarden-windows-analysis-toolkit](https://affpapa.org/nevibecode/skills/ntwarden-windows-analysis-toolkit.md) — скилл · 443 установки
- [windows-privilege-escalation](https://affpapa.org/nevibecode/skills/windows-privilege-escalation.md) — скилл · 3600 установок

Из того же набора: [bagelhole/devops-security-agent-skills](https://affpapa.org/nevibecode/by/bagelhole/devops-security-agent-skills.md) — 127 карточек

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md