Hærdning af Windows 10 & 11

Trin 1: Kør scriptet til aktivering af udvidet logning

Dette script opretter de nødvendige nøgler i registreringsdatabasen (Registry) for at aktivere Script Block Logging, Module Logging og Transcription (som gemmer historikken i en sikker tekstfil).

powershell

# 1. Aktiver Script Block Logging (Logger alt kode, der afvikles, selvom det er krypteret)
$PathSBL = "HKLM:\Software\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging"
if (!(Test-Path $PathSBL)) { New-Item -Path $PathSBL -Force | Out-Null }
Set-ItemProperty -Path $PathSBL -Name "EnableScriptBlockLogging" -Value 1 -Type DWord

# 2. Aktiver Module Logging (Logger alle moduler og kommandoer, der indlæses)
$PathMod = "HKLM:\Software\Policies\Microsoft\Windows\PowerShell\ModuleLogging"
if (!(Test-Path $PathMod)) { New-Item -Path $PathMod -Force | Out-Null }
Set-ItemProperty -Path $PathMod -Name "EnableModuleLogging" -Value 1 -Type DWord
$PathModObj = New-Item -Path "$PathMod\ModuleNames" -Force -ErrorAction SilentlyContinue
Set-ItemProperty -Path $PathModObj.PSPath -Name "*" -Value "*" -Type String

# 3. Aktiver Transcription (Gemmer en rå tekstkopi af alle PowerShell-sessioner)
$PathTrans = "HKLM:\Software\Policies\Microsoft\Windows\PowerShell\Transcription"
if (!(Test-Path $PathTrans)) { New-Item -Path $PathTrans -Force | Out-Null }
Set-ItemProperty -Path $PathTrans -Name "EnableTranscripting" -Value 1 -Type DWord
# Opret en dedikeret, skjult mappe til logfilerne (ændr stien efter behov)
$LogPath = "C:\ProgramData\PowerShellTranscripts"
if (!(Test-Path $LogPath)) { New-Item -Path $LogPath -ItemType Directory -Force | Out-Null }
Set-ItemProperty -Path $PathTrans -Name "OutputDirectory" -Value $LogPath -Type String
Set-ItemProperty -Path $PathTrans -Name "IncludeInvocationHeader" -Value 1 -Type DWord

Write-Host "PowerShell logning er nu fuldt aktiveret!" -ForegroundColor Green

Trin 2: Tving computeren i Constrained Language Mode (CLM)

Den mest robuste måde at aktivere CLM permanent på en standalone PC er ved at sætte en systemmiljøvariabel (Environment Variable).

powershell

# Sæt systemvariablen permanent for alle brugere
[Environment]::SetEnvironmentVariable("__PSLockdownPolicy", "4", "Machine")

Write-Host "PowerShell CLM er nu aktiveret globalt! Genstart PowerShell for at teste." -ForegroundColor Green

• Sådan tester du det: Genstart PowerShell og skriv $ExecutionContext.SessionState.LanguageMode. Hvis der står ConstrainedLanguage, virker det. Hvis du nu prøver at kalde avancerede .NET-objekter (f.eks. [System.Net.HttpWebRequest]), vil Windows blokere det med det samme.

Trin 1: Tving Firewall til at blokere al udgående trafik

Dette script ændrer standardadfærden for alle tre firewall-profiler (Domæne, Privat og Offentlig).

powershell

# Sæt standardadfærd for udgående trafik til "Block" på alle profiler
Set-NetFirewallProfile -Profile Domain, Private, Public -OutboundBehavior Block

Write-Host "Udgående trafik er nu BLOKERET som standard på alle profiler!" -ForegroundColor Yellow

Vær forsigtig med at bruge denne kode.

Trin 2: Opret de absolut nødvendige system-regler (Core Rules)

Uden disse regler kan din computer ikke slå hjemmesider op (DNS), hente en IP-adresse (DHCP) eller opdatere klokkeslættet.

powershell

# Tillad Windows Update (Sikkerhedsopdateringer)
New-NetFirewallRule -DisplayName "Core - Windows Update" -Direction Outbound -Program "C:\Windows\System32\svchost.exe" -Service "wuauserv" -Action Allow

# Tillad core netværkstjenester (DNS og DHCP)
New-NetFirewallRule -DisplayName "Core - DNS (UDP 53)" -Direction Outbound -Protocol UDP -RemotePort 53 -Action Allow
New-NetFirewallRule -DisplayName "Core - DHCP (UDP 67, 68)" -Direction Outbound -Protocol UDP -LocalPort 68 -RemotePort 67 -Action Allow

# Tillad tids-synkronisering (NTP)
New-NetFirewallRule -DisplayName "Core - Time Sync (UDP 123)" -Direction Outbound -Protocol UDP -RemotePort 123 -Action Allow

Write-Host "Kritiske systemregler er oprettet." -ForegroundColor Green

Vær forsigtig med at bruge denne kode.

Trin 3: Giv din browser lov til at gå på nettet

Du skal nu eksplicit give din internetbrowser (f.eks. Edge eller Chrome) lov til at bruge port 80 (HTTP) og 443 (HTTPS).

powershell

# Tillad Microsoft Edge (Eksempel)
New-NetFirewallRule -DisplayName "App - Microsoft Edge" -Direction Outbound -Program "C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe" -Protocol TCP -RemotePort 80, 443 -Action Allow

# Tillad Google Chrome (Hvis du bruger den - fjern '#' foran linjen for at aktivere)
# New-NetFirewallRule -DisplayName "App - Google Chrome" -Direction Outbound -Program "C:\Program Files\Google\Chrome\Application\chrome.exe" -Protocol TCP -RemotePort 80, 443 -Action Allow

Write-Host "Browseren har nu adgang til internettet igen." -ForegroundColor Green

Vær forsigtig med at bruge denne kode.

Hvis du vil rulle det hele tilbage og åbne op igen, kører du: Set-NetFirewallProfile -Profile Domain, Private, Public -OutboundBehavior Allow