windows dhcp配置文件虽不存敏感凭证，但泄露网络拓扑、关键设备ip及安全策略；篡改将致ip分配失败、租约冲突、客户端断网；防护重点为防未授权修改、保备份可信、阻断非法配置入口。
windows dhcp 配置文件本身不直接暴露敏感凭证，但其内容（如作用域、保留地址、选项值）可能泄露网络拓扑、关键设备ip（如网关、dns、域控制器）、甚至部分安全策略。更关键的是，配置文件若被篡改或恢复到错误状态，会导致大面积ip分配失败、租约冲突、客户端断网等服务中断。因此，保护重点在于防止未授权修改、确保备份可信、阻断非法配置入口。
限制DHCP服务运行账户权限
DHCP服务默认以本地系统账户运行，权限过高。应将其改为专用的低权限域用户或本地组账户：
- 新建一个仅加入DHCP Users和DHCP Administrators组（不加其他高权限组）的域账户
- 在服务管理器中将DHCP Server服务的登录身份设为此账户
- 该账户对%SystemRoot%System32DHCP文件夹仅需读取+写入（用于日志和运行时缓存），无需完全控制
启用DHCP服务器授权并禁用未授权实例
在Active Directory环境中，未授权的DHCP服务器无法响应客户端请求——这是第一道防线：
- 所有DHCP服务器必须在AD中显式授权（Authorize），否则启动后自动停止服务
- 定期在ADSI Edit或PowerShell中检查：
Get-DhcpServerInDC，确认列表中只有预期服务器 - 禁用交换机端口上的“未经许可DHCP响应”：在接入层交换机启用DHCP Snooping，只将上联DHCP服务器端口设为trusted
加密并隔离备份文件
Windows默认每60分钟备份到%SystemRoot%System32DHCPackup，但该目录通常无访问控制且明文存储：
- 使用PowerShell脚本执行带AES加密的异地备份：
Backup-DhcpServer -ComputerName "DHCP01" -Path "\backup-srvdhcp$$(Get-Date -Format 'yyyy-MM-dd')"，再用certutil -encode或第三方工具加密zip包 - 备份目标路径的NTFS权限严格限制为Domain Admins + DHCP管理员组，禁止Everyone和Authenticated Users写入
- 禁用本地backup文件夹的共享，删除所有继承的共享权限
关闭非必要DHCP选项与日志冗余
减少攻击面和敏感信息外泄风险：
- 检查并禁用未使用的DHCP选项（如选项43厂商特定信息、选项252自动配置URL），除非业务明确需要
- 在DHCP控制台→服务器属性→日志选项卡中，只启用启动/关闭、错误、警告，关闭“信息”级别日志——避免记录客户端MAC/IP映射细节到明文日志文件
- 定期清理%SystemRoot%System32DHCPLogs下的旧日志（建议保留7天），使用带审核权限的计划任务执行
