windows服务安全加固基线聚焦账户、服务、日志、网络和数据五方面，落实最小必要原则：重命名管理员账户、禁用guest；启用密码复杂度与账户锁定策略；清除默认共享并禁用高危服务；开启关键审核策略且日志保留≥180天；rdp启用nla、tls 1.2+，bitlocker加密并备份密钥至ad。
windows服务运维中的安全加固基线，核心在于把默认宽松的配置收紧到符合实际风险与合规要求的水平。它不是堆砌功能，而是聚焦账户、服务、日志、网络和数据五个关键面，用最小必要原则做减法和加固。
账户策略必须刚性落地
弱口令和默认账户是入侵最短路径。管理员账户必须重命名（如用wmic useraccount where "name='Administrator'" call rename "OpsAdmin2026"），Guest账户必须禁用（net user Guest /active:no）。密码策略不能只设长度，要同步启用复杂度、90天有效期、24次历史记录、1天最短使用期，并禁用可还原加密存储。账户锁定阈值设为5次失败、锁定30分钟、计数器重置窗口也设为30分钟——这组数值在等保三级和多数生产环境已验证有效。
服务与共享要“关得干净、管得明白”
默认共享（C$、ADMIN$、IPC$）不是便利，而是后门。用net share C$ /delete逐个清除，并通过注册表永久关闭：reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" /v AutoShareServer /t REG_DWORD /d 0 /f
高危服务如SMBv1、Telnet、Print Spooler（非打印服务器场景）、Remote Registry 必须禁用。检查命令：Get-Service | Where-Object {$_.Status -eq 'Running' -and $_.Name -in 'lanmanserver','telnet','spooler','remoteRegistry'} | Stop-Service -Force，再设启动类型为Disabled。
日志与审核必须覆盖关键行为
默认日志只记皮毛。需启用安全日志的“审核策略”：登录/注销、账户管理、策略更改、对象访问（尤其敏感文件夹）、特权使用。日志大小至少1GB，覆盖方式设为“按需要覆盖事件”。验证是否生效：auditpol /get /category:* | findstr "Success.*Failure"，确保关键项显示“成功”和“失败”均启用。所有日志应定期导出或转发至SIEM，本地保留不少于180天。
传输与数据层要有硬性防护
RDP必须启用网络级身份验证（NLA），禁用剪贴板和驱动器重定向（除非业务强依赖）；TLS强制1.2+，禁用SSL3.0/TLS1.0；对含敏感数据的磁盘，BitLocker全盘加密必须开启，并将恢复密钥自动备份至AD。若系统为域成员，务必确认BitLocker策略中启用了“将恢复信息存入AD DS”。
不复杂但容易忽略
