简介面向企业IT运维与安全加固人员的Windows 10 1803安全基线配置资料聚焦系统合规检查与策略落地适合需要按微软官方标准完成终端安全加固的中级技术人员参考。压缩包共72个文件、约1.06MB以xml策略模板、htm组策略报告、pol与cmtx策略文件为主辅以admx/adml管理模板、inf与cmd部署脚本、mof WMI筛选器及xlsx基线对照表覆盖本地脚本安装、域加入与非域加入两类部署场景。资源内含计算机与用户两侧的组策略报告涉及BitLocker、Credential Guard、Defender防病毒、域安全及IE 11等模块并附RS3到RS4的基线差异说明便于读者比对版本变化、定位策略项。已有1623人学习下载可帮助读者快速搭建基线核查环境、理解各策略项含义并完成加固验证。1. 安全基线不是清单是一张能落地的加固地图很多人第一次接触 Windows 10 安全基线会把它当成一份“照着改就完事”的配置清单关掉这个服务、打开那个策略、把注册表键值改成 1。真到动手时才发现1803 这个版本里同一个安全目标往往有三条路径——本地安全策略、组策略、注册表改错一处要么不生效要么把机器锁死。安全基线 window 这个方向真正难的不是“知道要改什么”而是“知道每一项为什么改、改了影响谁、怎么验证生效”。这篇笔记按知识地图的方式梳理先看清基线覆盖的几大模块再逐块拆解账户、策略、服务、审计、攻击面收敛的要点最后落到一份可执行的复习与自查清单。适合正在系统学 Windows 加固的人也适合考前快速查漏补缺的人。2. 账户与认证基线口令、锁定与权限分层账户是整个基线的入口1803 的账户类设置几乎全部围绕“谁能进来、进来后能干什么”展开。梳理下来会发现这一块的重点不是把口令策略调到最严而是让口令复杂度、锁定阈值、权限分配三者互相配合形成一条完整的防线。很多人只改口令长度却忘了账户锁定策略结果暴力破解照样能试。2.1 口令策略的三个参数怎么配口令策略在“本地安全策略 → 账户策略 → 密码策略”里核心参数就三个最短密码长度、密码复杂性要求、最长使用期限。基线通常要求长度不低于 8 位、启用复杂性、最长使用期限不超过 90 天。参数之间是有联动的如果启用了“密码必须符合复杂性要求”那么长度 8 位实际约束的是字符集组合而不是单纯位数。# 查看当前口令策略需管理员权限 net accounts # 输出示例 # 密码最短使用期限(天): 0 # 密码最长使用期限(天): 90 # 密码长度最小值: 8 # 密码历史记录: 5这段命令输出的是本机账户策略的当前值密码长度最小值对应基线里的最短密码长度密码历史记录决定用户能否重复使用旧密码。改完之后一定要用net accounts回读一次因为组策略下发的值会覆盖本地设置只看图形界面容易误判。最容易忽略的是“密码最短使用期限”它防止用户改一圈又改回来基线里通常设为 1 天。2.2 账户锁定阈值与观察窗口账户锁定策略包含三个参数锁定阈值、锁定持续时间、重置计数器时间。基线常见配置是 5 次无效登录锁定、锁定 15 分钟、计数器 15 分钟后重置。这三个值必须满足“重置时间 ≥ 锁定时间”否则会出现用户刚解锁、计数器还没清零、又被立刻锁定的玄学现象。参数基线建议值作用配错的后果锁定阈值5 次触发锁定的失败次数设 0 等于永不锁定锁定持续时间15 分钟锁定时长设 0 需管理员手动解锁重置计数器时间15 分钟失败计数清零周期小于锁定时长会反复锁这张表是复习时最该背下来的部分因为三个参数的关系比单个数值更重要。血泪经验是测试环境里把锁定阈值设成 3 次、重置时间设成 5 分钟结果自动化脚本一跑就锁一片账户排查半天才发现是计数器窗口太短。2.3 本地组成员与权限最小化账户基线还有一半在“本地用户和组”里。Administrators 组只保留必要账户Guest 必须禁用远程桌面用户组要单独审查。1803 里内置管理员账户Administrator默认禁用基线要求保持禁用状态并给所有管理员账户改名或设置强口令。权限分层的关键是日常操作账户不进 Administrators管理操作走单独的管理账户这样即使日常账户被钓鱼攻击者也拿不到高权限。3. 安全策略与注册表那些图形界面藏起来的开关安全策略模块是基线里最“散”的一块散在本地安全策略、组策略、注册表三个地方。重点在于理解哪些设置只能通过注册表改、哪些改了要重启、哪些会被域策略覆盖。这一块最容易翻车的地方是“改了没生效”而原因往往不是配置错是作用域和刷新机制没搞清。3.1 用户权限分配与安全选项“本地策略 → 用户权限分配”里基线关注的是“拒绝从网络访问这台计算机”“拒绝本地登录”“取得文件或其他对象的所有权”这几项。默认情况下 Everyone 可能拥有某些不该有的权限基线要求把这些权限收窄到 Administrators 或特定服务账户。安全选项里则是一批开关UAC 提权提示行为、关机时清除虚拟内存页面文件、不允许 SAM 账户匿名枚举。# 导出当前安全策略做基线比对 secedit /export /cfg baseline_current.inf # 导出后可用文本比对工具与标准基线 inf 对比secedit /export把当前安全策略导出成 inf 文本这是做基线自查最实用的手段拿导出的文件和标准基线逐行比对差异一目了然。参数/cfg指定输出文件导出的是可读文本不是二进制。注意导出的是“当前生效值”如果组策略和本地策略冲突这里看到的是最终结果正好用来验证下发是否成功。3.2 注册表加固的典型键值注册表是图形界面藏起来的开关的聚集地。1803 基线里常见的注册表项包括禁用自动播放NoDriveTypeAutoRun、禁用远程注册表访问、限制匿名 SID 枚举、关闭 Windows 脚本宿主。每一项都要落到具体路径和值不能只记“要禁用”。# 禁用自动播放当前用户 reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoDriveTypeAutoRun /t REG_DWORD /d 255 /f # 禁用远程注册表服务访问相关策略 reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg\AllowedExactPaths /v Machine /t REG_MULTI_SZ /d /f第一行把NoDriveTypeAutoRun设为 255含义是所有驱动器类型都禁用自动播放这是基线里最常被漏掉的一项因为它在用户配置分支下只改机器分支不生效。第二行涉及远程注册表访问控制REG_MULTI_SZ类型表示多字符串置空等于收紧允许路径。改注册表前务必先导出备份这是后悔药reg export一条命令就能把整个分支存下来。3.3 组策略与本地策略的优先级同一个设置可能同时存在于本地策略和组策略里生效顺序是本地策略 → 站点 → 域 → 组织单位后者覆盖前者。复习时要记住一个判断方法如果某项设置在图形界面改了没反应先查gpresult /h report.html看最终生效的是哪条策略。这个命令生成 HTML 报告能看到每条策略的来源和胜负是排查“改了不生效”的黑匣子。4. 服务、端口与攻击面收敛关掉不用的锁住要用的攻击面收敛是基线里“减法”做得最多的一块关服务、关端口、关协议。重点不是关得越多越好而是每关一项都要能说清“这台机器上谁在用”。1803 里 SMBv1、Telnet、远程注册表、Windows 远程管理这些是重点对象但关之前要确认没有业务依赖否则就是给自己埋雷。4.1 高危服务的禁用清单基线要求禁用的服务通常包括Remote Registry、Telnet、TFTP、SNMP如无监控需求、Windows Remote Management如无远程管理需求。判断一个服务该不该关看它的启动类型和依赖关系而不是看名字。# 查看服务状态与启动类型 sc query RemoteRegistry sc qc RemoteRegistry # 禁用并停止服务 sc config RemoteRegistry start disabled sc stop RemoteRegistrysc qc输出服务的配置信息包括启动类型和依赖服务start disabled把启动类型设为禁用注意等号后必须有空格这是sc命令的固定语法写错就报错。停服务前先看依赖如果某个业务服务依赖 Remote Registry直接禁用会导致业务启动失败。踩坑最多的是把“禁用”和“停止”混为一谈——只 stop 不 config重启后服务又起来了。4.2 SMB 与网络协议的收敛SMBv1 是基线里明确要求禁用的协议1803 默认可能仍启用。禁用方式是通过“启用或关闭 Windows 功能”移除 SMB 1.0 支持或用 PowerShell 的Disable-WindowsOptionalFeature。同时要关注 LLMNR 和 NetBIOS over TCP/IP这两项常被用于内网名称解析攻击基线建议在不需要时关闭。对象基线动作验证方式风险SMBv1禁用Get-SmbServerConfiguration老设备无法访问共享LLMNR禁用注册表EnableMulticast0影响名称解析NetBIOS按需关闭ipconfig /all查看影响老应用发现这张表复习时重点看“验证方式”一列因为关没关掉不能靠记忆要靠命令回读。SMBv1 禁用后如果还有老打印机连不上就是典型的“关了但业务依赖没排查”这类问题在考试和实战里都高频出现。4.3 防火墙与入站规则的最小化防火墙基线不是“全开”或“全关”而是入站默认阻止、出站默认允许、按需放行。1803 的防火墙有三个配置文件域、专用、公用基线要求三个配置文件都启用入站默认阻止。重点在于审查已有的入站放行规则把“任何端口任何来源”的宽规则收窄到具体端口和网段。# 查看所有启用的入站放行规则 netsh advfirewall firewall show rule nameall dirin | findstr /i 启用 规则名称 # 或用 PowerShell 更清晰 Get-NetFirewallRule -Direction Inbound -Enabled True | Select-Object DisplayName, ActionGet-NetFirewallRule的输出比 netsh 更结构化-Direction Inbound -Enabled True两个参数把范围限定在“启用的入站规则”Select-Object只取名称和动作两列避免输出刷屏。审查时重点找Action为 Allow 且作用域是 Any 的规则这些就是攻击面收敛要处理的对象。5. 审计与日志基线里最容易被跳过的“证据链”审计策略是基线里存在感最低、但考试和实战都爱考的一块。很多人把审计当成“开了就行”实际上审计分“审核策略”和“高级审核策略”两套1803 推荐用高级审核因为它能精确到子类别。重点在于登录事件、账户管理、对象访问、策略更改这四类必须开且要能说清每类记录什么。5.1 高级审核策略的子类别高级审核策略在“本地安全策略 → 高级审核策略配置 → 审核策略”里子类别包括“审核登录”“审核账户登录”“审核其他登录/注销事件”“审核用户账户管理”等。基线要求至少开启成功和失败两个方向的登录审计账户管理审计开成功策略更改审计开成功和失败。# 查看当前审核策略 auditpol /get /category:* # 开启登录成功与失败审计 auditpol /set /subcategory:登录 /success:enable /failure:enableauditpol /get /category:*列出所有类别的当前审计状态/subcategory指定子类别名称/success和/failure分别控制成功与失败事件。注意子类别名称要用系统显示名不同语言版本名称不同写脚本时最好先用/get确认名称。审计开太多会导致日志爆炸开太少又查不到证据基线给的是“够用”的下限不是越多越好。5.2 日志大小与保留策略审计开了不等于能查到日志文件大小和覆盖策略同样关键。基线建议安全日志不小于 128MB采用“按需覆盖”而不是“覆盖早于 X 天”避免攻击者用大量事件把关键日志冲掉。日志大小在事件查看器里改或用wevtutil命令。# 设置安全日志最大 128MB 并启用按需覆盖 wevtutil sl Security /ms:134217728 /rt:false/ms参数单位是字节128MB 等于 134217728/rt:false表示不按时间覆盖、按需覆盖。这个命令改完立即生效但要注意磁盘空间日志设太大而磁盘小反而会挤占系统空间。复习时记住“大小 覆盖策略”是一对只改一个等于没改。6. 易错点排查五条最容易翻车的基线操作6.1 易错点一只改本地策略忘了组策略覆盖为什么漏本地安全策略图形界面最直观改完以为生效实际域环境下组策略优先级更高本地设置被静默覆盖。怎么补每次改完用gpresult /h生成报告确认最终生效来源单机环境则用secedit /export回读比对。6.2 易错点二禁用服务不看依赖为什么漏服务名看起来无关实际被业务服务依赖禁用后业务起不来排查方向还容易跑偏。怎么补禁用前用sc qc看依赖服务测试环境先停不先禁观察一个业务周期再改启动类型。6.3 易错点三口令策略与锁定策略参数冲突为什么漏两个策略在不同界面参数关系不直观重置时间小于锁定时长会导致反复锁定。怎么补把三个锁定参数和口令历史记成一组配置后用net accounts回读确认重置时间不小于锁定时间。6.4 易错点四审计开了但日志被冲掉为什么漏只关注“开没开审计”忽略日志大小和覆盖策略关键事件被后续日志覆盖。怎么补审计和日志大小一起配安全日志不低于 128MB覆盖策略选按需覆盖定期检查日志保留情况。6.5 易错点五注册表改错分支为什么漏同一策略在 HKCU 和 HKLM 下都有对应键改错分支不生效且没有报错提示。怎么补改前确认策略作用范围当前用户还是整机改后用reg query回读重要分支先reg export备份。7. 复习清单把基线变成一张可自查的表复习到这个阶段最有效的不是再读一遍而是拿一张表逐项打勾。下面这份清单按模块组织每项都带验证命令复习时遮住右列自测能说出验证方式才算真掌握。模块检查项验证方式账户口令长度 ≥ 8、启用复杂性net accounts账户锁定阈值 5 次、重置 ≥ 锁定net accounts账户Guest 禁用、Administrator 禁用net user guest策略安全策略导出比对secedit /export策略组策略最终生效来源gpresult /h服务高危服务启动类型为禁用sc qc 服务名协议SMBv1 已禁用Get-SmbServerConfiguration防火墙入站默认阻止、无宽放行规则Get-NetFirewallRule审计登录与账户管理审计已开auditpol /get日志安全日志 ≥ 128MB、按需覆盖wevtutil gl Security这张表的价值在于“验证方式”那一列基线复习最容易犯的错是背结论不背验证考试问“怎么确认”就卡壳。我的习惯是每改完一个模块立刻跑对应命令回读把输出贴进自己的笔记里形成“配置—验证—记录”的闭环。从那以后我每次做基线加固都强制走一遍“改前备份、改后回读、差异记录”三步翻车次数明显少了。希望这份梳理能帮到你把这张表存下来复习时逐行过一遍比通读十遍文档都管用。本文还有配套的精品资源点击获取