1. 系统安全配置与账户权限管理1.1 账户体系你系统大门的第一道锁Windows的账户体系是安全模型的地基但多数人只停留在设置个密码的层面。实际上Windows账户体系有两个核心维度账户类型和登录方式。账户类型上Windows区分管理员Administrators组和标准用户Users组。管理员拥有系统级修改权限标准用户则被限制在用户自己的配置文件和公共资源内。很多人图省事直接把日常使用的账户加到管理员组这等于天天穿着防弹衣洗澡——防护形同虚设。正确做法是日常使用标准账户需要提权时通过UAC机制临时授权。UAC用户账户控制是Windows Vista以来最重要的安全机制之一它让所有需要管理员权限的操作都必须经过确认。我实测过开着UAC的情况下即使恶意程序拿到了当前用户的权限想写入系统目录依然会被拦截这就是所谓标准用户防护的价值。登录方式上Windows支持PIN、密码、指纹、人脸等多种方式。这里有个常见误解PIN不是密码的简化版它绑定的是当前设备无法直接用于远程登录或网络认证所以PIN泄露的风险范围远小于账户密码。实际加固时建议本地账户全部设置强密码12位以上、包含大小写和符号并关闭空密码只允许控制台登录的默认策略——这个策略虽然默认存在但很多Ghost精简系统会把它改掉。1.2 密码策略与账户锁定组策略里的门道密码策略藏在secpol.msc本地安全策略或gpedit.msc组策略编辑器里具体路径是账户策略 → 密码策略。核心项目包括密码最长使用期限默认42天建议30~60天。太长容易长期暴露太短用户被迫把密码写在便利贴上。45天是平衡点。密码长度最小值默认7位建议12位以上。Windows的密码复杂度策略必须包含三类字符本身有局限性它保证的是字符组合复杂度而不是密码熵。真正有效的是长度每增加一位暴力破解的难度呈指数级上升。账户锁定阈值默认0不锁定建议设置为5次。这个策略能有效防止在线暴力破解。设了锁定阈值后一定要同时设置锁定时间和重置锁定计数器时间否则攻击者可以用撞库的方式反复试探或者利用锁定策略做DoS把你自己的账户锁死。密码策略配置完成后可以用net user 用户名 密码命令验证生效情况也可以gpupdate /force强制刷新组策略。这里有一个我踩过的坑Windows 10/11的家庭版没有Secpol.msc只有专业版以上才有。如果你用的是家庭版需要用net user命令或第三方工具或者干脆升级系统否则配置了也不生效。1.3 UAC、本地安全策略与最小权限原则UAC的四个级别始终通知、默认通知、仅在应用更改时通知、从不通知不是越高越好。最高级别始终通知会导致日常操作频繁弹窗用户会产生肌肉记忆性点击——反而降低安全性。实际部署中默认级别就能挡住绝大多数提权攻击。组策略里还有一个容易被忽略的项目安全选项 → 账户管理员账户状态。内置的Administrator账户默认是禁用的但有些装机工具会把它启用并设置弱密码。检查方法很简单net user administrator看看账户状态如果启用了马上net user administrator /active:no禁用掉。另外重命名内置管理员账户也是老生常谈的加固项路径是安全选项 → 账户重命名管理员账户。虽然是掩耳盗铃攻击者用SID就能定位但至少能挡住脚本小子的盲打。最小权限原则落到Windows上就是每个服务、每个任务、每个用户都只给自己够用的权限。比如SQL Server、Redis这类服务绝不能用System账户跑应该建专用服务账户并只授予必要的文件系统权限。Windows服务管理器里可以设置登录身份很多人偷懒选本地系统账户结果一旦服务被攻破攻击者直接拿到系统最高权限。2. 防火墙、端口与服务加固2.1 Windows防火墙入站出站规则实战Windows防火墙WF.msc是系统自带的第一道网络防线。很多裸奔党第一件事就是关防火墙理由是影响速度——这是Windows XP时代的旧观念。现代Windows防火墙基于状态检测默认入站拦截、出站允许对性能的影响可以忽略不计。我实测过开启防火墙前后的大文件传输速度差异几乎为零。创建入站规则的正确姿势是控制面板 → Windows Defender 防火墙 → 高级设置 → 入站规则 → 新建规则 → 端口。选择TCP或UDP输入特定端口然后选允许连接。这里有个关键选项——配置文件域、专用、公用三个配置文件要分开设置。比如文件共享端口445在公用网络下必须禁止在专用网络下可以允许。如果你在公司域环境里域配置文件的规则通常由域控制器统一下发本地改反而会造成冲突。实战中我经常做的操作是封禁高危端口。入站规则里新建阻止规则针对135、137、139、445、3389等端口。注意是阻止连接不是允许连接后勾选反方向。很多教程让用户允许这些端口再反过来操作逻辑混乱。正确做法是直接建阻止规则源地址选任何目标地址选任何配置文件全选命名Block 135-139,445规则优先级高于允许规则这样即使内网扫到这些端口也是过滤状态。2.2 关闭端口与停用危险服务从根源上减少暴露面热词里出现的windows 关闭端口号实际操作分两路停止服务和防火墙封禁。以最危险的SMB相关端口为例135端口对应RPC服务Remote Procedure Call停掉Remote Procedure Call (RPC)服务系统会不稳定所以只能靠防火墙封禁。139端口对应NetBIOS会话服务可以在网络连接 → 属性 → Internet协议版本4(TCP/IPv4) → 高级 → WINS里禁用NetBIOS over TCP/IP或者在服务管理器里停掉Server服务。445端口对应SMB文件共享最直接的方法是停掉Server服务。但这会影响局域网文件共享如果你确实需要共享就在防火墙上限定来源IP。判断端口开放情况用netstat -ano | findstr :445看有没有LISTENING状态再用tasklist | findstr PID查出对应进程。Windows 10以上还可以用Get-NetTCPConnection -LocalPort 445在PowerShell里查。高危服务清单服务管理器里设为禁用Remote Registry远程修改注册表的服务默认禁用但有些版本会漏配。Telnet明文传输一抓包密码就裸奔禁用。FTPIIS自带的同样明文传输别用。SNMP默认口令public暴露系统信息如果不用就禁用。Windows Script Host的某些组件不是服务但建议通过组策略限制脚本执行。另外一个容易被忽视的暴露面是Windows远程管理WinRM端口5985/5986。许多自动化工具会开启它但不会配置认证源限制。如果你不用它就在服务里禁用WinRM服务如果要用务必将AllowUnencrypted设置为false并配置TrustedHosts白名单。2.3 最小化安装与服务基线的价值服务最小化的核心思路是跑得越少暴露越少。Windows Server Core无GUI版本比带桌面的版本攻击面小得多不是因为内核更安全而是因为少了几百MB的组件代码。桌面版Windows同理用Get-WindowsOptionalFeature -Online查看已启用的功能把用不到的IIS、SMB 1.0/CIFS文件共享支持、PowerShell 2.0、Windows Media Player等全部禁用。SMB 1.0是特别要提的2017年的WannaCry就是靠它传播的。禁用方式# 在PowerShell管理员中检查 Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol | Select State # 禁用 Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol禁用后可能需要重启。有人担心禁用SMB1会影响老设备访问确实会但都2025年了还在用SMB1协议的设备本身就该淘汰了。3. 安全日志、审计与监控3.1 事件查看器Windows安全日志怎么读安全日志Event Log是恶意行为的最佳取证来源路径是eventvwr.msc → Windows日志 → 安全。默认情况下Windows记录的成功/失败登录、特权使用、账户管理等事件都在这。但默认审计策略记录的内容不够用比如默认不记录进程创建4688事件和命令行详细信息。先启用更详细的审计secpol.msc → 安全设置 → 本地策略 → 审核策略把以下项设置为成功和失败审核登录事件Logon/Logoff审核账户登录事件Logon/Logoff域控制器上必开审核账户管理Account Management审核进程跟踪Process Tracking——这会大量产生日志但值得Windows 10/11还可以用高级审核策略审计策略 → 高级审核策略配置启用登录/注销 → 审核登录下的详细内容。注意基础审核策略和高级审核策略不能混用如果你开了高级策略基础策略就自动失效。我建议直接用高级审核策略设置项更细。常用关键事件ID速查事件ID含义关注点4624登录成功看登录类型10远程交互7解锁8网络明文4625登录失败大量出现说明有人在撞库4672分配给新登录的特权出现敏感权限时留意4688创建新进程结合命令行审计看是否存在可疑进程4720创建用户账户管理员账户是否被加建4732将成员添加到安全组是否被加入管理员组1102审核日志已清除攻击者清理痕迹的特征3.2 登录类型与异常登录行为分析4624事件里有登录类型字段很多人不知道它的含义2交互式登录键盘、屏幕3网络登录访问共享4批处理登录计划任务5服务登录Windows服务7解锁屏保8网络明文登录IIS基本认证等9不同凭据RunAs10远程交互式登录RDP日常监控重点看类型10的来源IP和时间。早上三点从境外IP远程登录你的工作站基本可以断定是入侵。查看方法事件详情 → 常规 → 源网络地址Source Network Address和登录进程Logon Process。正常RDP登录进程是User32配合NtLmSsp或Kerberos如果你看到Advapi配合计划任务进程那是服务账户行为要对照计划任务排查。3.3 日志采集与集中管理单机日志的价值有限攻击者获得管理员权限后第一件事就是清日志事件ID 1102。所以有条件一定要做集中日志收集。Windows上最轻量的方案是Windows事件转发WEF原理是源计算机通过WinRM把事件推送给收集服务器。配置方法# 收集服务器上 wecutil qc # 源计算机上 winrm quickconfig wecutil cs CollectorName /e如果不想折腾WEF可以直接把安全日志的保存路径改到非系统盘减少被系统崩溃连带损坏的概率并加大日志大小上限事件查看器 → 安全 → 属性 → 日志最大大小改为100MB以上勾选存档日志而不覆盖事件。另外使用PowerShell把关键事件实时转发到syslog服务器也是常见做法我用过NxLog配置不算复杂性能也够。4. 安全基线核查与主机信息收集4.1 主机安全体检常用命令清单windows主机信息收集这个热词在防御视角就是自查清单。安全基线核查时我习惯跑一轮PowerShell命令几分钟内摸清主机状态# 系统信息 systeminfo # 网络连接和监听端口 netstat -ano | findstr LISTENING # 启动项 Get-CimInstance Win32_StartupCommand # 计划任务 schtasks /query /fo csv /v # 用户和组成员 net user net localgroup administrators # 已安装补丁 wmic qfe list brief # 共享目录 net share配合进程排查wmic process list full可以看每个进程的完整命令行适合揪出伪装成svchost的恶意进程。正常svchost的路径是C:\Windows\System32\svchost.exe如果看到C:\Windows\svchost.exe少System32、或者路径在Temp目录下基本可以断定中招了。wmic在较新Windows系统里被移除了替代方案是PowerShell的Get-CimInstance功能相同但语法不同。我建议提前在测试环境验证脚本别到了排查现场才发现命令不可用。4.2 常见恶意驻留点检查清单启动文件夹shell:startup当前用户和shell:common startup所有用户。恶意程序经常放一个迷惑性的快捷方式在这指向一个脚本。注册表Run键HKCU\Software\Microsoft\Windows\CurrentVersion\Run和HKLM对应项。用Autoruns工具查看最直观它能把所有启动项列全。计划任务攻击者最爱用计划任务做持久化因为平时没人查。重点看任务名称是不是模仿系统任务比如WindowsUpdate这种以及任务指向的脚本路径是否在异常目录。WMI事件订阅Get-WmiObject -Namespace root\subscription -Class __EventConsumer。这是高级持久化手法用工具逐项过滤才能发现。服务sc qc服务名可以看服务指向的可执行文件路径路径异常就等于服务被篡改。4.3 安全模式、系统还原与应急恢复热词里有个excel上次启动失败安全模式Windows安全模式Safe Mode是排障和查毒的金牌手段。进入方式设置 → 系统 → 恢复 → 高级启动 → 立即重新启动 → 疑难解答 → 高级选项 → 启动设置 → 重启 → 按F4。Windows 11也可以用shutdown /r /o命令快速进入。安全模式加载的是最小驱动集合很多恶意驱动的自启动项不会生效所以进入安全模式后可以用Defender离线扫描删除被占用的恶意文件运行系统文件检查器sfc /scannow检查启动项并清理如果安全模式下依旧能连网建议拔掉网线再排查防止恶意程序远程控制或继续下载载荷。另外安全模式下scrreg修复注册表HKLM\SYSTEM\CurrentControlSet中的配置有时能解决因为驱动错误导致的蓝屏。系统还原点、Windows恢复环境WinRE是出事之后的后悔药。平时就要确保系统保护已开启系统属性 → 系统保护 → 配置 → 启用并定期创建还原点。WinRE里的启动修复和命令提示符可以解决很多启动问题配合DISM命令离线修复系统镜像。5. 工具链与安全测试自查5.1 官方安全工具与Sysinternals实战微软官方工具是排查的首选轻量且无需安装Sysinternals Suite包含进程监视ProcMon、自动运行Autoruns、进程资源管理器Procexp等。ProcMon能实时监控文件系统、注册表、进程的网络活动定位恶意行为特别有用。Process Explorer比任务管理器强得多能看每个进程的PID、父进程、路径、签名和网络连接。排查可疑进程时右键 → Properties → Image → Path看看路径是否可疑。Autoruns一次性列出所有启动项、计划任务、驱动、服务是清理持久化最顺手的神器。使用顺序建议是Autoruns看全局 → Process Explorer定位进程 → ProcMon追踪行为。Sysinternals工具下载后会被SmartScreen拦截因为微软没有给它们做签名。这不是病毒放心用即可。5.2 动手做一次安全测试自查安全测试这个热词在防御语境下就是自分身。不用跑复杂的渗透工具从主机信息收集入手就能判断基本安全状态用netstat -ano | findstr LISTENING检查所有监听端口逐个对应到进程凡是无法对应的就有问题。用Get-NetTCPConnection -State Listen查看端口关联的进程名和PID对常见端口135/139/445/3389/5985/5040等逐一核对。用Test-NetConnection -ComputerName 本机IP -Port 445从另一台机器测试端口是否对外开放。注意只要返回TcpTestSucceeded : True就说明防火墙没有拦住。网络侧的自查常用的是nmap从另一台主机扫描本机nmap -sS -p 1-65535 -Pn 目标IP。但注意这属于主动探测扫描前要确认在合法授权范围内避免对生产环境造成误判或告警风暴。5.3 打补丁与更新管理安全基线的日常维护补丁更新是Windows安全里最枯燥但最有效的一环。WannaCry时代的教训就是大量用户不更新补丁导致MS17-010漏洞被批量利用。现在Windows 10/11的更新策略可以配置活动时间来避免重启打断工作但不能关闭更新。热词里关闭windows自动更新的搜索量很高说明很多人为了省事选择了错误方案。正确做法是设置 → Windows更新 → 高级选项 → 暂停更新最多35天——这是有业务需要时可以做的临时措施35天后必须恢复。企业环境应该用WSUSWindows Server Update Services或Intune统一管理补丁先在一台测试机验证再分批推送。另外一个常见误区只更新系统补丁不更新第三方软件。浏览器、Java、Adobe Reader、WinRAR这些常用软件是攻击者更偏爱的入口因为补丁周期长且容易被忽略。用winget upgrade --all可以批量更新软件或者在每台机器上设置软件自动更新。日常巡检时把第三方软件的版本列入检查清单跟系统补丁同等对待。6. 实用经验与避坑指南6.1 安全加固踩坑实录我在实际加固过程中踩过的坑挑几个典型的分享踩坑一防火墙规则顺序导致封禁失效。Windows防火墙按规则创建时间执行但同优先级下宽泛规则会先于精确规则生效。有一次我建了一条阻止445的规则但之前的远程桌面允许规则里包含了所有端口结果445照样能通。解决办法阻止规则的范围页里明确指定本地IP为任何或者干脆删掉做重复允许的规则。踩坑二账户锁定策略引发全员锁死。在某次加固中我把域内所有服务器的账户锁定阈值设为3次结果第二天早上几十个同事因为输错密码被锁管理员账户也没有豁免。正确做法先给管理员组配置免除账户锁定策略再对普通用户实施锁定阈值。同时设一个锁定计数器的重置周期别让历史错误一直累积。踩坑三禁用SMB1导致打印机无法工作。有台老式网络打印机依赖SMB1协议禁用之后打印任务全部失败。所以做基线禁用操作前先梳理设备清单确认没有老设备依赖或者配置一台跳板机代理协议转换。6.2 安全意识上的几个关键误区很多人觉得黑客很神秘其实攻击链路通常简单直接钓鱼投递恶意文档 → 宏命令或漏洞利用 → 下载载荷 → 提权 → 横向移动 → 数据外带。每个环节都可以用安全配置阻断并不需要多高深的手段。误区一装了杀毒软件就万事大吉。杀毒靠特征库新变种和免杀样本是查不全的。EDR终端检测与响应类产品看行为而非特征效果更好但也没到万能的程度。系统自身的配置加固仍然是真实有效的防护层。误区二密码够复杂就不会被破解。如今破解手段更多是撞库和钓鱼再复杂的密码一旦在其他站点泄露照样被尝试登录。所以比密码复杂度更重要的是不重复使用密码配合多因素认证MFA。Windows Hello、Authenticator这类工具看起来很麻烦实际使用两三天后就习惯了安全性却提升了一个量级。误区三内网比外网安全。这是最贵的教训之一。几年前爆发的横向移动攻击大多数受害者都认为内网没问题。实际上内网的信任模型一旦被打破扩散速度比从外网突破还快。所以内网机器同外网一样该打补丁打补丁该限端口限端口该做日志做日志。6.3 给不同使用场景的Windows安全配置速查平时帮朋友和客户配机器我总结了一套按场景区分的配置策略日常办公电脑启用Windows Defender实时保护打开勒索软件防护受控文件夹访问标准账户日常使用管理员账户只在安装软件时用开启BitLocker如果支持保护磁盘数据浏览器开启SmartScreen它会拦截已确认恶意的下载和网站开发测试机关闭SMB1限制445和3389端口访问来源如果开了数据库服务MySQL/Redis等绑到127.0.0.1而不是0.0.0.0数据库等服务使用独立账户不用管理员跑服务定期快照或还原点出了事直接回滚服务器环境禁用不必要的角色和功能最小化安装使用专用的服务账户运行各类服务开启审计策略日志集中收集防火墙只放行业务必需端口管理端口限定IP来源配置WSUS统一补丁管理这三个场景的共同点账户最小权限、服务最小化、日志开着、补丁打全。做到这几点Windows机器的安全水平已经超过大多数环境了。最后分享一个小技巧所有安全配置做完了用gpresult /h report.html导出一份组策略结果报告能看到当前实际生效的配置而不是你以为生效的配置。Windows安全不是装个软件就能解决的把基础配置一条条落到实处比装再贵的杀毒软件都管用。