配置系统访问权限基线的核心是将“谁能在什么条件下访问什么资源”转化为可验证、可审计、可收敛的确定性规则，需从账号体系、组策略、acl继承、远程通道、日志审计五方面落实源头阻断与动态守门。

配置系统访问权限基线，核心是把“谁能在什么条件下访问什么资源”这件事变成可验证、可审计、可收敛的确定性规则，而不是靠经验或临时判断。偏移往往发生在权限叠加、账户复用、默认继承或策略未同步等环节，实战中必须从源头阻断。

账号体系必须一人一号、角色分离

共享账号、共用管理员身份是权限基线失效的第一推手。所有操作必须能归属到唯一自然人，才能追溯、审计、追责。

• 禁用Guest账户，重命名并禁用内置Administrator账户，改用命名明确的管理账号（如SecAdmin、AuditAdmin）
• 按职能划分组：Administrators（仅限基础设施运维）、BackupOperators（仅备份）、RemoteDesktopUsers（仅远程接入）、Power Users（已淘汰，应彻底移除）
• 普通用户一律不加入任何特权组；需临时提权时，使用“以其他用户身份运行”或Windows自带的RunAs，而非长期持有高权限令牌

文件与注册表权限坚持“白名单式继承”

Windows ACL默认继承宽松，容易因父目录权限变更导致子项越权暴露。基线要求所有关键路径（如C:\Windows\System32、注册表HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies）显式设限。

Free Ride - Unlimited free AI

一款AI工具，主要用于管理 OpenClaw 所使用的来自 OpenRouter 的免费 AI 模型。自动按质量对模型进行排序，配置回退机制以应对速率限制，并更新 opencla...，适合需要提升相关任务效率的用户。

下载

• 禁用“允许继承”后手动清理冗余ACE，只保留SYSTEM、Administrators和必要服务账户（如NT SERVICE\WdiServiceHost）
• 对敏感目录（如%SystemRoot%\Temp、ProgramData\Applications）启用SACL审计，记录4670事件（权限更改）
• 禁止Everyone或Authenticated Users对系统目录拥有写/修改权限；若业务确需，必须通过专用服务账户+最小范围路径授权

远程访问与服务权限精细化收口

RDP、WinRM、远程注册表、WMI等通道是横向移动高频入口，权限基线必须逐通道定义准入条件。

• RDP仅允许指定安全组（如RDP-Allowed-Staff），且限制源IP段（通过防火墙或网络策略）
• 禁用远程注册表服务（RemoteRegistry），确需调试时临时启用并立即关闭
• WinRM配置为HTTPS+证书认证，拒绝Basic Auth；PowerShell Remoting执行策略设为AllSigned
• 对SCM（服务控制管理器）权限收紧：非SYSTEM和服务专属账户，不得拥有SeServiceLogonRight登录权限

权限变更必须留痕+自动告警

基线不是静态快照，而是动态守门机制。任何偏离都应被感知、拦截、通报。

• 启用高级审核策略：审核“账户管理”“对象访问”“特权使用”“详细跟踪”，尤其关注4670、4688、4732事件
• 日志保存≥90天，转发至SIEM；对Administrators组成员变更（4732）设置实时告警
• 每月用PowerShell脚本比对当前ACL与基线快照差异：Get-Acl C:\Windows | Export-Clixml baseline_acl.xml，发现异常即触发人工复核