Windows权限设置安全检查的核心是落实最小权限原则，即用户和程序仅拥有完成任务所需的最低权限，需综合审查账户角色、服务配置、文件与注册表ACL及审计策略，防范提权、横向移动与勒索软件风险。
windows 权限设置的安全检查，核心在于“最小权限原则”——用户和程序只应拥有完成任务所必需的最低权限。不合理的权限分配是提权攻击、横向移动和勒索软件扩散的主要入口。实际检查不能只看表面开关，而要结合账户角色、服务配置、文件系统控制和审计能力综合判断。
检查本地账户与组权限分配
管理员账户不应日常使用，普通用户不应属于 Administrators 组。需确认：
- 使用 lusrmgr.msc 查看“本地用户和组”，禁用 Guest 账户，并删除所有测试、共享或长期未登录的账户
- 运行 whoami /all 检查当前用户实际拥有的特权（如 SeDebugPrivilege、SeBackupPrivilege），避免意外继承高危权限
- 用 net localgroup administrators 列出管理员组成员，确保仅保留必要人员；对非IT人员账户，移出 Backup Operators、Power Users 等隐含高权限组
验证关键系统服务与进程权限
许多服务以 SYSTEM 或 LocalService 身份运行，若其可被低权限用户修改或劫持，将直接导致内核级提权。重点检查：
- 打开 services.msc，筛选启动类型为“自动”的服务，逐个右键→属性→登录选项卡，确认“此账户”未设为自定义高权限账户（如 Administrator）
- 对关键服务（如 winlogon.exe、lsass.exe），用 icacls "C:\Windows\System32\winlogon.exe" 查看文件权限，确保只有 SYSTEM 和 Administrators 具有写入权，普通用户仅具读取/执行权
- 禁用 Remote Registry、Print Spooler 等常被利用的服务（除非业务必需），并将其启动类型设为“手动”或“禁用”
审查文件与注册表访问控制列表（ACL）
权限漏洞常隐藏在自定义路径或旧部署遗留项中。不能只依赖默认策略：
- 检查用户文档、下载、桌面等个人目录的 ACL：右键属性→安全→高级，确认“继承自父项”已启用，且无 Everyone 或 Users 的完全控制权限
- 对敏感位置（如 C:\Windows、C:\Program Files、注册表 HKEY_LOCAL_MACHINE\SOFTWARE），使用 accesschk64.exe -uwcq * （Sysinternals 工具）快速扫描可被普通用户写入的键值或路径
- 特别关注启动项位置（如 Shell:Startup、Run 注册表项），确保只有 Administrators 可写入，防止持久化后门植入
启用并验证审计与日志策略
没有审计的日志等于没有日志。权限变更本身必须可追溯：
- 通过 gpedit.msc → 计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置，启用“账户管理”“对象访问”“特权使用”三类审核策略（至少设为“失败”）
- 在事件查看器中打开 Windows 日志 → 安全，过滤事件 ID 4732（添加到组）、4728（添加到安全全局组）、4670（权限更改），确认近期有记录生成
- 检查日志存储限制：右键“安全”日志→属性，确保“最大日志大小”≥ 1GB 且“覆盖超过 X 天的事件”已启用，避免关键事件被轮替丢弃
