На трёх последних внутренних пентестах — банк, производство, госструктура — картина одинаковая: дефолтные GPO, открытый SMBv1, LSASS без защиты. Mimikatz снимал хеши за секунды, а Pass-the-Hash давал lateral movement до контроллера домена за минуты. И это ещё до окончания поддержки.
После 14 октября 2025 каждая новая CVE в ядре Windows 10 становится перманентным 0-day. Microsoft патчит Windows 11 — diff между версиями публикуется открыто. Злоумышленник берёт октябрьский Patch Tuesday для Windows 11, reverse-diff'ит и пишет эксплойт для «десятки», где fix не появится никогда. Это не теория — после EOL Windows 7 массовая эксплуатация началась за считанные месяцы.
🔍 Что проверить в первую очередь
Вот шесть точек, которые я проверяю и как атакующий, и как автор рекомендаций в отчёте:
•
RunAsPPL в реестре — значение 0 или отсутствует? Mimikatz снимет хеши без усилий•
EnableSMB1Protocol = True? Хост открыт для relay-атак и целого класса RCE• UAC level = 5 (дефолт)? Обход через десятки публичных техник
• Credential Guard не активен? NTLM-хеши лежат в памяти открытым текстом
• PowerShell в режиме
FullLanguage? Любой payload выполнится без ограничений• WDigest не отключён? Пароли хранятся в памяти в открытом виде даже при включённом RunAsPPL
⚙️ Три быстрых действия, которые поднимают планку атаки на порядок
1. Включить
RunAsPPL: одна строка в реестре, перезагрузка — и стандартный Mimikatz ловит ошибку доступа. Обход через BYOVD требует kernel-level доступа и конкретного уязвимого драйвера. Совсем другой уровень сложности.2. Отключить WDigest: ключ
UseLogonCredential = 0. Без этого пароли валяются в памяти в открытом виде. Видел на реальном проекте — RunAsPPL включили, WDigest забыли. Половина работы впустую.3. Убить SMBv1:
Set-SmbServerConfiguration -EnableSMB1Protocol $false. Протокол из 2006 года не нужен в 2025-м. Если что-то сломается — значит в сети есть legacy-система, которая сама по себе проблема.🛡 Важный нюанс: сигнатуры Defender будут приходить до 2028 года. Но антивирус ловит известные вредоносы, а не закрывает дыру в
win32k.sys или ntoskrnl.exe. Это как замок на двери с дырой размером с кулак.Для автоматизации аудита — HardeningKitty прогоняет хост по CIS Benchmark, а PingCastle сканирует AD целиком.
Полный чеклист с командами, GPO-настройками и привязкой к MITRE ATT&CK — в статье на форуме.
https://codeby.net/threads/khardening-windows-10-11-posle-okonchaniya-podderzhki-cheklist-dlya-pentestera-i-administratora.92954/