Windows安全需围绕“人、配置、行为、响应”四维构建可持续运维逻辑：账户权限坚持最小权限与登录白名单，服务端口默认关闭非必要项，审计日志聚焦关键事件并异地留存，补丁管理纳入自动化流水线。
windows 安全防线不是靠单一设置“一劳永逸”，而是围绕“人、配置、行为、响应”四个维度构建可验证、可持续的运维逻辑。核心在于把安全动作变成日常运维习惯，而非应急补救。
账户与权限：从“能登录”转向“该不该登录”
管理员账户不能是默认名、不能长期不改、不能共享使用。重命名 Administrator 是基础操作，但更关键的是建立最小权限原则：
- 用 net localgroup administrators 定期检查成员列表，删除非必要账户（如测试账号、离职人员残留）
- 普通用户禁用远程桌面登录权限，仅授权特定运维组；RDP 登录必须启用网络级身份验证（NLA）
- 本地策略中启用“拒绝从网络访问此计算机”，将 Guest、IUSR、匿名用户等明确排除在登录白名单外
服务与端口：关闭默认即加固，而非等待漏洞爆发
很多高危入口不是被黑客“打穿”的，而是系统自己开着门。加固不是等出事再关，而是默认只开业务必需项：
- 用 Get-Service | Where-Object {$_.StartType -eq 'Automatic'} | Select-Object Name,Status 扫描所有自动启动服务，逐个确认业务依赖性
- 永久禁用 SMBv1：Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol -NoRestart（无需重启生效）
- 删除 IPC$、ADMIN$ 等管理共享后，同步修改注册表键值：AutoShareServer=0 和 AutoShareWks=0，防止重启恢复
审计与日志：让每一次异常都“有迹可查”，而非“事后猜测”
没开启审核的日志等于没有日志。重点不是记录一切，而是聚焦攻击链关键节点：
- 启用“审核登录事件”（成功+失败）、“审核账户管理”、“审核特权使用”，对应事件 ID 4624/4625/4720/4670 等
- 日志大小设为至少 1GB，覆盖周期不少于 90 天；避免“日志满后自动覆盖”导致关键线索丢失
- 导出日志到独立服务器或 SIEM 平台，本地不保留原始日志，防篡改
补丁与基线：把更新变成流水线动作，而非手动点“下一步”
补丁滞后是勒索软件和凭证窃取攻击的温床。运维层面要解决“谁来测、谁来推、怎么回滚”：
- 对 Windows Server，优先启用 Windows Update for Business 或 WSUS 分发，禁止终端直连微软更新源
- 每月第二个周二（Patch Tuesday）后 72 小时内完成测试环境验证，5 个工作日内完成生产环境部署
- 用 Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10 快速核验最近安装补丁时间与 KB 编号
