windows server 2025安全基线包含300多个设置，通过osconfig（支持powershell、windows admin center、azure policy）部署，强制uefi安全启动、tls 1.2+、smb 3.0+、lsass/ppl保护及14字符密码策略，并要求应用前测试、变更可溯、偏离可检。
配置系统账号安全基线，核心是把“谁能在什么条件下、以什么身份、做什么事”明确下来，并确保这些规则不被随意改动。偏移（configuration drift）往往不是一次误操作造成的，而是日积月累的临时调整、补丁更新、脚本覆盖或人为绕过导致的配置偏离——这会让原本加固的账号体系悄然失效。防范的关键在于“定义清晰、执行可控、变更可溯、偏离可检”。
账号分配与唯一性管控
每个自然人或服务角色必须对应唯一账号，严禁共享、复用或混用。
- Windows：通过计算机管理 → 本地用户和组逐个核对，确认无测试账号、长期未登录账号（如超180天）、同名多用户等情况；管理员账号不得用于日常办公或程序调用。
- Linux：运行awk -F: '$3 == 0 {print $1}' /etc/passwd检查是否仅存在root（UID=0），再用cut -d: -f1 /etc/passwd | sort | uniq -d排查重复用户名。
- 所有系统需建立账号台账，记录责任人、用途、启用/禁用时间，变更须经审批并留痕。
默认账号与高危账户处置
系统自带的默认账号是攻击者第一目标，必须重命名、禁用或彻底移除。
- Windows：重命名Administrator（不可仅改显示名，需改SID对应名称），并禁用Guest；检查是否存在已停用但未删除的内置账号（如HelpAssistant、IUSR_等）。
- Linux：禁用root远程SSH登录（PermitRootLogin no），将运维操作转为普通用户+sudo授权；锁定无关系统账号（如lp, sync, shutdown, halt），执行passwd -l username而非删用户，避免服务异常。
- 禁止任何账号使用空口令，定期扫描/etc/shadow中密码字段为!!或*的账户，确认其状态是否符合预期（如仅为服务账户且shell设为/sbin/nologin）。
密码策略与登录控制刚性落地
策略不能只写在文档里，必须固化进系统机制，防止被绕过或降级。
- Windows：通过组策略（GPO）统一部署，强制启用密码必须符合复杂性要求、最小长度≥12、最长使用期限≤90天、历史密码记录≥24次；禁用缓存登录凭据（Interactive logon: Number of previous logons to cache设为0）。
- Linux：在/etc/pam.d/system-auth中配置pam_pwquality.so（非旧版pam_cracklib），设定minlen=12, dcredit=-1, ucredit=-1, lcredit=-1, ocredit=-1, maxrepeat=3；同时启用faillock模块限制失败次数（如5次锁定15分钟）。
- 所有系统应关闭明文协议（Telnet、FTP），远程管理仅允许SSH（v2）或RDP（启用NLA网络级认证）；登录失败日志必须写入独立审计分区，且不可被普通用户清除。
基线一致性监控与自动纠偏
靠人工巡检无法应对偏移，需建立持续验证闭环。
- 每24小时自动比对当前账号配置与基准快照（如用Get-LocalUser导出JSON + SHA256校验），发现新增/修改/启用账号立即告警。
- 使用OSCAP、Ansible或Microsoft Intune等工具，将基线打包为可执行检查项（XCCDF或DSC配置），支持一键修复（如自动禁用guest、重置密码策略）。
- 关键变更（如新建管理员组、修改sudoers）必须触发审批流，并在CMDB中关联变更单号；未经审批的配置变更，应在15分钟内自动回滚。
