权限管理系统加固需在账户、配置、服务、审计四层面同步收紧：禁用高危默认账户并启用强密码与锁定策略；关闭SMBv1等高危服务与接口；权限服务运行账户须最小化授权；关键注册表项设ACL；启用高级审核策略并对接SIEM告警。
权限管理系统本身是安全防线的核心，一旦被攻破，整个授权体系就形同虚设。加固不是给它“加锁”，而是让它从设计到运行都不具备被利用的条件——重点在账户、配置、服务、审计四个层面同步收紧。
账户与身份层：切断提权入口
攻击者常从默认账户、弱密码、冗余权限切入。必须做到：
- 禁用或重命名内置高危账户（如Administrator、Guest），改用语义明确的专用管理账号（如sec-admin-2026）
- 所有账户强制启用强密码策略：长度≥12位，含大小写字母、数字、符号；通过组策略路径【计算机配置→Windows设置→安全设置→账户策略→密码策略】启用
- 删除所有未使用账户，尤其清除测试类账号（如test、admin123、backup）
- 启用账户锁定策略：5次失败登录后锁定15分钟，防止暴力爆破
服务与协议层：关闭高危通道
权限管理依赖的服务若配置不当，反而成为攻击跳板：
- 禁用SMBv1协议（执行Set-SmbServerConfiguration -SMB1ProtocolEnabled $false -Force），阻断MS17-010类漏洞利用
- 关闭远程注册表服务（RemoteRegistry）、WMI远程执行（winmgmt）等非必要远程管理接口
- 限制RDP（3389端口）仅允许特定IP段访问，或改用网络级认证（NLA）+多因素验证
- 停用Print Spooler、Computer Browser等与权限管理无关的高风险服务
权限与配置层：落实最小化原则
权限系统自身不能拥有超出职能的权限：
- 运行权限服务的账户（如AD域控服务、IAM中间件）不得使用LocalSystem或域管理员账号，应创建专用低权限域账户，并仅授予NTDS Settings、Domain Controllers等必需OU读写权限
- 禁止在计划任务、启动项、服务配置中引用可写目录下的二进制（如C:\Temp\、%APPDATA%），防止DLL劫持或二进制替换
- 关键注册表项（如HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System）设置ACL，仅允许Administrators和SYSTEM完全控制
- 对权限管理后台（如Azure AD Portal、本地ADUC、自研RBAC平台）启用严格会话超时（≤15分钟）和空闲自动登出
审计与响应层：让异常行为无处隐藏
权限变更本身就是高风险操作，必须全程可观测：
- 启用高级审核策略：勾选“特权使用”、“账户管理”、“目录服务访问”，重点关注事件ID 4662（对象访问）、4670（权限变更）、4688（进程创建）、4697（计划任务创建）
- 将日志转发至独立SIEM平台（如ELK、Splunk），设置告警规则：1小时内同一账户触发3次以上权限提升操作即触发告警
- 部署轻量HIDS（如Wazuh），监控lsass.exe内存访问、敏感PowerShell命令（Get-ADUser -Filter *、Invoke-Mimikatz）及异常注册表键值修改
- 每月导出权限矩阵快照（如AD组成员关系、RBAC角色分配），比对差异，识别隐蔽权限漂移
