强制启用UAC关键策略（如“以管理员批准模式运行所有管理员”）并配置SmartScreen、附件管理器、自动播放禁用及LAPS密码管控，结合gpresult验证与安全日志审计，可有效防御权限提升攻击。

在windows运维中，强制启用受限制的组策略（如“用户账户控制：以管理员批准模式运行所有管理员”）是防范权限提升攻击的关键措施。这类策略能有效阻止恶意软件或低权限用户绕过uac、静默提权或滥用管理员令牌。

确认并启用关键UAC组策略

许多系统默认未完全启用UAC保护机制，需手动检查并锁定核心策略：

• 打开gpedit.msc → 计算机配置 → 管理模板 → Windows组件 → Windows Defender SmartScreen → 启用“配置Windows Defender SmartScreen”并设为“启用”
• 导航至：计算机配置 → Windows设置 → 安全设置 → 本地策略 → 安全选项 → 找到“用户账户控制：以管理员批准模式运行所有管理员”，双击设为“已启用”
• 同步检查“用户账户控制：检测应用程序安装并提示提升”和“用户账户控制：用于内置管理员账户的管理员批准模式”均设为“已启用”

禁用高风险绕过路径

攻击者常利用计划任务、COM对象、文件解析器等绕过UAC。需通过组策略阻断常见提权入口：

• 计算机配置 → 管理模板 → Windows组件 → 附件管理器 → 启用“启用附件管理器”并设为“已启用”
• 计算机配置 → 管理模板 → Windows组件 → 文件资源管理器 → 启用“关闭驱动器的自动播放”（防止Autorun.inf类提权）
• 用户配置 → 管理模板 → Windows组件 → Internet Explorer → 安全功能 → 启用“关闭Internet Explorer增强的安全配置”（仅限域内可控环境；若启用IE ESC，需确保其策略不被弱化）

锁定LAPS与本地管理员密码策略

避免本地管理员账户成为提权跳板，必须结合LAPS（Local Administrator Password Solution）实施动态密码管控：

• 部署LAPS客户端并配置GPO：计算机配置 → 策略 → 管理模板 → LAPS → 启用“启用本地管理员密码管理”
• 设置密码复杂度、长度（建议≥14位）、轮换周期（如30天），并限制只有指定安全组可读取ms-Mcs-AdmPwd属性
• 禁用“将用户添加到本地管理员组”的脚本或自动化流程，改用即时授权（Just-In-Time Admin）模型

审计与持续加固

仅配置策略不够，必须验证生效并监控绕过行为：

• 执行gpresult /h report.html确认策略已应用至目标主机
• 检查事件日志：Windows日志 → 安全 → 筛选事件ID 4672（特权分配）、4688（进程创建）、4697（计划任务创建）
• 定期导出注册表键HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System比对UAC相关值（如EnableLUA=1、ConsentPromptBehaviorAdmin=2）