防御权限提升攻击的核心是切断低权限向高权限跃迁路径，通过禁用默认账户、强制强密码与账户锁定、落实最小权限原则、堵住smbv1等常见提权入口来实现。
防御权限提升攻击，核心是切断攻击者从低权限向高权限跃迁的路径。不是等它发生再响应，而是让提权所需的条件——弱配置、漏洞、冗余权限、明文凭证——根本不存在。
收紧账户与密码策略
多数纵向提权始于一个被爆破或复用的管理员账号。必须做到：
- 禁用或重命名默认管理员账户（如Administrator、root），改用语义清晰的专用管理账号
- 所有账户强制启用强密码：长度≥12位，含大小写字母、数字、符号；通过组策略（Windows）或/etc/pam.d/common-password（Linux）启用pam_pwquality校验
- 设置密码90天强制更换，并启用账户锁定策略（如5次失败后锁定15分钟）
- 删除或禁用所有未使用账户，尤其避免“test”“admin123”等测试账户长期存活
落实最小权限原则
权限不是“给够”，而是“给够且仅够”。重点控制三类主体：
- 用户账户：普通运维人员不分配本地管理员组（Administrators / wheel），用sudo或Run as different user临时提权，且记录完整命令日志
- 服务账户：SQL Server、IIS、Redis等服务不得以LocalSystem或root运行，应创建专用低权限域/本地账户，并仅授予所需目录、注册表项或数据库对象权限
- 应用进程：Web容器（如Tomcat）、脚本解释器（如PHP）禁止启用exec、system、popen等危险函数；Windows上禁用SeDebugPrivilege等高危特权
堵住常见提权入口
攻击者常利用以下配置缺陷完成提权，需逐项清理：
- 禁用不安全的来宾登录（LanmanWorkstation → 启用不安全的来宾登录 = 已禁用）
- 关闭SMBv1协议（Windows）和旧版NFS（Linux），防止利用MS17-010等漏洞横向移动
- 检查并清除计划任务、服务、启动项中指向可写路径的二进制文件（如C:\Temp\*.exe）
- 禁用远程注册表、WMI远程执行等高危远程管理接口，除非业务明确需要且已限制IP白名单
- 云环境特别注意：子账号IAM策略禁止iam:PassRole、ec2:RunInstances等高危动作；禁止将高级审核策略：启用“特权使用”“账户管理”“详细跟踪”事件日志，重点关注4670（权限变更）、4688（进程创建）、4697（计划任务创建）
- Linux启用auditd，监控/etc/passwd、/etc/shadow、/etc/sudoers、/var/log/auth.log等关键文件及特权命令（sudo、su、setuid程序）
- 部署轻量级HIDS（如OSSEC、Wazuh）对异常进程链（如powershell → certutil → mimikatz）、敏感注册表键值修改、LSASS内存访问等行为建模告警
