所有系统维护操作必须在身份已验证状态下执行，核心是切断未认证路径、收紧权限边界，并确保关键操作链全程依赖可信凭据，涵盖登录入口锁定、工具权限控制、服务任务加固、审计反馈闭环四大环节。
要让所有系统维护操作必须在身份已验证状态下执行，核心是切断未认证路径、收紧权限边界，并确保关键操作链全程依赖可信凭据。这不是单点设置，而是从登录入口、权限分配、服务行为到审计反馈的闭环控制。
锁定登录与会话入口
所有维护操作必须始于已验证会话，禁止绕过身份检查的访问方式：
- 禁用来宾账户和空密码账户：运行 net user 查看用户列表，对每个账户执行 net user 确认无空口令；通过组策略禁用“启用不安全的来宾登录”
- 强制交互式登录使用强认证：在“本地安全策略 → 账户策略 → 密码策略”中启用密码复杂性要求、最短长度（建议≥8）、最长存留期（建议≤90天）
- 关闭自动登录：检查注册表 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon 下的 AutoAdminLogon 值，确保为“0”或不存在
限制维护工具的执行权限
即使用户已登录，也需确保只有经授权身份才能调用关键维护功能：
- 将系统维护相关工具（如 services.msc、gpedit.msc、diskmgmt.msc）的启动权限绑定到特定安全组：使用组策略“用户配置 → 管理模板 → 系统 → 指定此程序可运行”进行白名单控制
- 对 PowerShell、CMD、WMIC 等命令行环境实施约束：启用“脚本执行策略”（Set-ExecutionPolicy AllSigned），并仅允许由企业证书签名的维护脚本运行
- 禁用远程管理免认证通道：关闭 WMI 的匿名访问（通过 winrm quickconfig -force 后手动移除 Anonymous 用户权限），停用 Telnet 服务
加固后台服务与计划任务
防止维护类服务在无人值守或低权限上下文中运行：
- 检查所有计划任务：使用 Get-ScheduledTask | Where-Object {$_.Principal.UserId -notmatch 'SYSTEM|Administrators'} 定位非高权限任务，逐一确认其触发条件与运行身份
- 将关键维护服务（如 Windows Update、Defrag、EventLog）的登录身份设为“NT AUTHORITY\SYSTEM”或指定管理员组，禁止使用本地服务账户或网络服务账户直接执行敏感操作
- 对远程桌面、远程注册表、远程事件日志等管理服务启用 NLA（网络级别身份验证）：通过组策略启用“要求使用网络级别的身份验证”，并确保用户属于“远程桌面用户”组且拥有“从网络访问此计算机”权限
启用操作级审计与阻断反馈
验证是否真正实现“未验证即不可维护”，需可观测、可追溯、可干预：
- 开启高级审核策略：在“组策略 → 计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置”中启用“详细跟踪”与“特权使用”，尤其关注“进程创建”“账户管理”“对象访问”事件
- 配置失败登录实时响应：通过 Windows 事件转发或 SIEM 工具监听事件 ID 4625（登录失败）与 4670（权限更改失败），对连续失败尝试自动锁定账户或触发告警
- 部署凭证保护机制：启用 Credential Guard（适用于 Windows 10/11 企业版或 Server 2016+），阻止 LSASS 内存凭据提取，从根本上杜绝维护会话被横向劫持的风险
