Referencia técnica de CiTool

• Se aplica a:

  ✅ Windows 11

CiTool facilita la administración de directivas Windows Defender Application Control (WDAC) para los administradores de TI. Puede usar esta herramienta para administrar Windows Defender directivas de Control de aplicaciones y tokens de CI. En este artículo se describe cómo usar CiTool para actualizar y administrar directivas. Actualmente se incluye como parte de la imagen de Windows en Windows 11, versión 22H2.

Comandos de directiva

Comando	Descripción	Alias
--update-policy </Path/To/Policy/File>	Agregue o actualice una directiva en el sistema actual.	-up
--remove-policy <PolicyGUID>	Quite una directiva indicada por PolicyGUID del sistema.	-rp
--list-policies	Volcado de información sobre todas las directivas del sistema, estén activas o no.	-lp

Comandos de token

Comando	Descripción	Alias
--add-token <Path/To/Token/File> <--token-id ID>	Implemente un token en el sistema actual, con un identificador específico opcional.	-at
--remove-token <ID>	Quite un token indicado por el identificador del sistema.	-rt
--list-tokens	Volcado de información sobre todos los tokens del sistema.	-lt

Nota

Con respecto a --add-token, si <ID> se especifica , no debe existir un token preexistente con <ID> .

Comandos varios

Comando	Descripción	Alias
--device-id	Volcado del identificador de dispositivo de integridad de código.	-id
--refresh	Intente actualizar las directivas WDAC.	-r
--help	Muestra el menú de ayuda de la herramienta.	-h

Descripciones y atributos de salida

Directivas de lista (--list-policies)

    Policy ID: d2bda982-ccf6-4344-ac5b-0b44427b6816
    Base Policy ID: d2bda982-ccf6-4344-ac5b-0b44427b6816
    Friendly Name: Microsoft Windows Driver Policy
    Version: 2814751463178240
    Platform Policy: true
    Policy is Signed: true
    Has File on Disk: false
    Is Currently Enforced: true
    Is Authorized: true
    Status: 0

Atributo	Descripción	Valor de ejemplo
Identificador de directiva	Listas el identificador de la directiva.	d2bda982-ccf6-4344-ac5b-0b44427b6816
Id. de directiva base	Listas el identificador de la directiva base.	d2bda982-ccf6-4344-ac5b-0b44427b6816
Nombre descriptivo	Valor que aparece en <Setting Provider="PolicyInfo" Key="Information" ValueName="Name">	Microsoft Windows Driver Policy
Versión	Versión de la directiva que aparece en <VersionEx>	2814751463178240
Directiva de plataforma	Indica si Microsoft proporciona la directiva, por ejemplo, en la directiva de lista de bloqueo de controladores vulnerables.	true
La directiva está firmada	Indica si la directiva tiene una firma válida.	true
Tiene el archivo en el disco	Indica si el archivo de directiva está actualmente en el disco.	false
Se aplica actualmente	Indica si el archivo de directiva está activo.	true
Está autorizado	Si la directiva requiere que se active un token, este valor es el estado de autorización del token. Si la directiva no requiere un token, este valor coincide con el valor de la propiedad Is Currently Enforced .	true

Ejemplos

Implementación de una directiva WDAC

CiTool --update-policy "\Windows\Temp\{BF61FE40-8929-4FDF-9EC2-F7A767717F0B}.cip"

Actualizar las directivas WDAC en el sistema

CiTool --refresh

Eliminación de una directiva WDAC específica por su identificador de directiva

CiTool --remove-policy "{BF61FE40-8929-4FDF-9EC2-F7A767717F0B}"

Enumerar las directivas WDAC aplicadas activamente en el sistema

# Check each policy's IsEnforced state and return only the enforced policies
(CiTool -lp -json | ConvertFrom-Json).Policies | Where-Object {$_.IsEnforced -eq "True"} |
Select-Object -Property PolicyID,FriendlyName | Format-List

Mostrar el menú de ayuda

CiTool -h

----------------------------- Policy Commands ---------------------------------
  --update-policy /Path/To/Policy/File
    Add or update a policy on the current system
    aliases: -up
  --remove-policy PolicyGUID
    Remove a policy indicated by PolicyGUID from the system
    aliases: -rp
  --list-policies
    Dump information about all policies on the system, whether they be active or not
    aliases: -lp
----------------------------- Token Commands ---------------------------------
  --add-token Path/To/Token/File <--token-id ID>
    Deploy a token onto the current system, with an optional specific ID
    If <ID> is specified, a pre-existing token with <ID> should not exist.
    aliases:-at
  --remove-token ID
    Remove a Token indicated by ID from the system.
    aliases: -rt
  --list-tokens
    Dump information about all tokens on the system
    aliases: -lt
----------------------------- Misc Commands ---------------------------------
  --device-id
    Dump the Code Integrity Device Id
    aliases: -id
  --refresh
    Attempt to Refresh CI Policies
    aliases: -r
  --help
    Display this message
    aliases: -h