前言¶
在 Windows 環境中驗證控制平面變更（如服務、任務計劃程序、事件日誌）的“收斂”是一項複雜任務。dsh-windows-settlement-proof 旨在解決這一問題。它通過離線、內容尋址的方式提供證據，證明一個已批准的 Windows 控制平面變更在所有必需表面上已達成一致。
核心定位¶
這是一個面向管理安全領域的 DSH 插件。它的核心職責是驗證變更是否“ settled”（達成一致），而不是去執行變更。它通過對比固定哈希鎖來檢查 Service Control Manager、Task Scheduler、Event Log 等關鍵組件的狀態是否與預期一致。
核心功能¶
該插件作爲驗證器運行，而非操作器。它具有以下特性：
- 靜態證據對比：對比 Service Control Manager、Task Scheduler、Event Log 和策略投影的顯式脫敏收據與固定哈希鎖。
- 零執行風險：不會運行 PowerShell、
sc.exe、註冊表命令或任意子進程，也不讀取 Windows 服務、任務定義、事件 XML 或業務負載。 - 安全報告：報告僅包含公共計數、布爾值和 SHA-256 值，不包含敏感業務數據。
- 元數據檢查：提供內聯、只讀的元數據檢查功能。
- 收斂驗證：檢查變更是否收斂、是否在所需重啓紀元保持存在，並匹配成功事件收據。
安裝與啓用¶
在當前工作目錄下執行以下命令安裝插件：
dsh plugin --profile proof add .
典型用法¶
插件提供驗證和檢查功能。以下是典型操作流程：
- 安裝插件：使用上述安裝命令。
- 驗證特定清單：針對工作區相對路徑的清單進行驗證。
node bin/dsh-windows-settlement-proof.mjs verify examples/settled.json
- 運行測試：使用項目自帶的測試腳本。
npm test
npm run check
適用場景與注意¶
- 適用場景：適用於需要嚴格審計 Windows 控制平面變更一致性的場景。
- 權限與安全：插件以當前 DSH 進程的權限運行。安裝前應檢查源碼與許可證（MIT）。
- 路徑安全：清單和工件路徑拒絕絕對路徑、遍歷和符號鏈接。
- 敏感數據：拒絕形狀爲密鑰的值和命名了憑證的字段。
- 文件寫入：工件寫入使用獨佔創建和確定性內容尋址，並在寫入後進行 SHA-256 回讀驗證。
結語¶
該插件提供了驗證 Windows 變更一致性的機制，確保變更在控制平面層面已正確落地。更多細節可查閱 GitHub 倉庫。
