Windows组策略批量加固服务器

服务器加固这件事，最怕的就是一台一台去点鼠标。运维人员心里都清楚，手动配置注册表、本地安全策略或者高级防火墙规则，不仅效率低下，而且极易出现遗漏或配置漂移。对于Windows Server环境，真正能实现规模化、标准化且零成本加固的核心手段，就是组策略（Group Policy）。利用组策略的批量推送机制，你可以在域控上修改一条配置，十分钟内让数百台服务器同时锁定高危端口、禁用陈旧协议并强制开启审计，这才是企业级安全基线的正确落地方式。

批量加固的第一步不是去写策略，而是设计组织单位（OU）结构。不要把所有服务器都塞在默认的Computers容器里。应当根据服务器角色划分OU，例如数据库服务器、Web服务器、文件服务器。这样做的原因是，加固数据库服务器的某些策略（如强制Kerberos认证）可能会直接导致Web应用池崩溃。如果你需要针对特定用户和特定计算机同时生效的策略，必须掌握组策略环回处理模式。在计算机配置下的管理模板中开启“替换”模式后，无论谁登录这台服务器，应用的都是基于计算机对象的用户配置。这在加固远程桌面服务或跳板机时极其有用，能确保即便是域管理员登录，也无法绕过你设定的屏幕锁定策略或软件限制策略。

很多运维人员误以为在域控上设置了密码策略就万事大吉，实际上Windows服务器的本地账户密码策略需要单独通过组策略强制覆盖。在“计算机配置” -> “策略” -> “Windows设置” -> “安全设置” -> “账户策略”中，密码长度最小值至少设置为14位，并强制启用“密码必须符合复杂性要求”。更重要的是“使用可还原的加密来储存密码”这一项必须设为禁用，否则哈希等同于明文。对于服务账户，应通过“受保护的用户”组或者组策略首选项中的计划任务来管理，严禁在脚本中硬编码。账户锁定阈值建议设为5次无效登录，锁定时间15分钟，这能有效抵御在线暴力破解而不至于造成严重的拒绝服务风险。

这是最容易被忽视的深水区。默认情况下，某些本地组权限过大。通过组策略批量下发“用户权限分配”，可以精准收拢权限。重点要清理的几个高危权限包括：“从网络访问此计算机”中移除非必要的Everyone和Guest；“允许通过远程桌面服务登录”中仅保留特定的管理组，移除Domain Users；“作为批处理作业登录”和“作为服务登录”要严格审计，防止攻击者利用计划任务或服务进行持久化。特别是“调试程序”权限，必须仅限管理员，因为拥有此权限等同于拥有系统最高控制权。另外，“取得文件或其他对象的所有权”权限也需要收紧，防止普通管理员互相夺取文件所有权以绕过审计。

“安全选项”是组策略中直接修改注册表安全键值的核心通道，这是批量加固的精华所在。有几个关键开关必须全局拉下：将“Microsoft网络服务器: 对通信进行数字签名(始终)”设为启用，这能阻断绝大部分SMB中继攻击。将“网络安全: LAN管理器身份验证级别”设为“仅发送NTLMv2响应，拒绝LM和NTLM”，彻底废弃陈旧的哈希算法。对于“关机: 清除虚拟内存页面文件”，在高安全等级服务器上建议启用，防止物理内存转储泄露敏感信息。此外，“交互式登录: 不显示最后的用户名”和“交互式登录: 计算机不活动限制”也是跳板机加固的标准动作，前者防止用户名枚举，后者防止会话劫持。

仅仅开启系统防火墙是不够的，必须通过组策略实现基于端口的微隔离。在“高级安全Windows Defender防火墙”中，不要直接修改本地规则，而是通过组策略导入统一的规则集。对于Web服务器，应创建入站规则仅放行80和443端口，并将作用域限制在负载均衡器的IP段；对于数据库服务器，1433或3306端口的作用域必须精确到具体的应用服务器IP列表，拒绝Any。更重要的是配置出站规则，默认阻止出站流量，然后按需放行DNS、NTP以及特定的更新域名。这能有效阻止Webshell反弹、DNS隧道外传数据等攻击行为。利用组策略的“连接安全规则”，还可以强制要求特定网段的通信必须进行IPsec加密，这在跨机房的内网通信加固中至关重要。

在服务器上，任何非必要的程序运行都是风险。传统的软件限制策略虽然兼容性好，但管理颗粒度较粗。在Windows Server 2016及以上版本，应优先使用AppLocker进行批量加固。通过组策略推送AppLocker规则，你可以设置默认规则为拒绝执行，然后仅允许运行位于Program Files和Windows目录下的签名程序。这能拦截绝大多数勒索病毒和挖矿木马，因为它们通常试图在Temp目录或用户漫游目录下运行。对于IIS服务器，必须严格配置脚本规则，禁止在Upload目录下执行任何脚本引擎。配置AppLocker时务必开启“审核仅”模式运行一周，通过事件日志分析业务逻辑后再转为强制模式，避免误杀业务进程。

加固不是目的，感知威胁才是。通过组策略批量开启高级审计策略配置，比传统的9类基础审计更精准。不要无脑开启所有审计，那会产生海量噪音。重点配置如下几项：“登录/注销”中必须审计“审核特殊登录”，记录特权登录；“对象访问”中必须对关键业务目录添加SACL以审计写入和删除操作；“策略更改”全量审计，防止有人篡改组策略本身。最关键的是“账户管理”中的“审核安全组管理”，任何成员的增删操作都会产生4728等事件。将这些日志通过组策略统一推送到集中的日志服务器或SIEM系统，才能形成从加固到检测的闭环。

有些深度加固项无法通过单纯的策略模板实现，比如卸载不必要的Windows功能、清理陈旧的信任根证书或者修改特定服务的权限。这时需要利用组策略的“启动脚本”或“关机脚本”来批量执行PowerShell代码。例如，要批量禁用TLS 1.0和1.1并强制启用TLS 1.2，可以通过组策略分发以下注册表脚本：

# 禁用TLS 1.0和1.1
New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server' -Name 'Enabled' -Value 0 -PropertyType 'DWord' -Force
New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server' -Name 'Enabled' -Value 0 -PropertyType 'DWord' -Force
# 强制启用TLS 1.2
New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Name 'Enabled' -Value 1 -PropertyType 'DWord' -Force

组策略首选项中的“注册表”向导比传统的管理模板更灵活，支持项级别目标定位，可以针对特定操作系统版本或IP范围精准下发键值，且支持一次性配置不强制还原，这在处理复杂的遗留应用兼容性时非常实用。

策略部署完毕不代表工作结束。由于组策略存在继承冲突和权限委派，必须定期使用工具进行合规性验证。可以利用Windows自带的Secedit命令行工具生成安全模板对比快照：

secedit /generate /cfg baseline.inf /areas SECURITYPOLICY
secedit /analyze /db compare.sdb /cfg baseline.inf /log compare.log

通过分析日志中的Mismatch条目，可以快速发现哪些服务器发生了配置漂移。对于大型数据中心，建议将组策略对象导出为HTML报告进行人工复核，或者编写PowerShell脚本调用GroupPolicy模块定期检查GPO的版本号和修改时间，防止未授权的策略篡改。只有将“评估”纳入自动化流程，批量加固才能从一次性项目转变为持续性的安全运维常态。