Windows服务器定时安全扫描与风险预警设置

Windows Server的定时安全扫描与风险预警，本质上是一场与攻击者之间的时间差竞赛。很多运维人员习惯在漏洞曝光后才慌忙打补丁，这种被动响应模式往往让服务器在窗口期完全暴露在风险中。真正有效的做法是建立一套自动化的闭环机制：让系统自己定期检查弱点、评估风险等级、把告警推送到你的眼前，而不是等到出事再回头翻日志。下面直接进入具体配置方法，所有操作均基于Windows Server 2019/2022环境，工具以系统自带功能为主，避免引入不必要的第三方依赖。

Windows Server内置的任务计划程序是整个自动化体系的核心引擎。打开“任务计划程序”，在“任务计划程序库”中新建一个文件夹命名为“SecurityScan”，便于集中管理所有安全相关任务。创建任务时，触发器建议设置为每周日凌晨3点执行，这个时段业务压力通常最小，扫描对生产环境的影响可以降到最低。操作部分选择“启动程序”，程序路径填写PowerShell.exe，参数栏填入后续要执行的扫描脚本路径。关键配置在于“条件”选项卡，务必勾选“唤醒计算机运行此任务”，并取消“只有在计算机使用交流电源时才启动此任务”的勾选——服务器通常不存在电池供电场景，这个选项反而可能导致任务被跳过。在“设置”选项卡中，将“如果任务失败，按以下频率重新启动”设为5分钟，最多重试3次，防止偶发性网络抖动导致扫描中断。

Windows Server自带的Defender杀毒引擎完全可以通过命令行精确控制扫描行为。在PowerShell中运行Update-MpSignature可以强制更新病毒库，这一步必须在扫描前执行。全盘扫描的核心命令是Start-MpScan -ScanType FullScan -ScanPath "C:"，但直接全盘扫描耗时太长，更合理的策略是分层扫描：对系统盘执行快速扫描，对数据盘执行自定义路径扫描。以下脚本实现了分层扫描逻辑，并自动将结果写入事件日志：

# 更新病毒库
Update-MpSignature

# 系统盘快速扫描
Start-MpScan -ScanType QuickScan -ScanPath "C:\Windows,System32" -ErrorAction SilentlyContinue

# 数据盘指定目录深度扫描
$DataPaths = @("D:\WebRoot","E:\Database","F:\FileStorage")
foreach ($Path in $DataPaths) {
    Start-MpScan -ScanType CustomScan -ScanPath $Path -ErrorAction SilentlyContinue
}

# 将扫描结果写入应用程序事件日志
$Threats = Get-MpThreat
if ($Threats.Count -gt 0) {
    Write-EventLog -LogName Application -Source "SecurityScan" -EventId 1001 -EntryType Warning -Message "发现 $($Threats.Count) 个威胁"
}

这段脚本在执行后会通过事件日志留下可追溯的记录，后续的风险预警系统可以直接抓取这些事件ID进行告警。

漏洞评估不能仅依赖Windows Update的自动更新，需要主动探测已安装补丁与微软安全响应中心公告之间的差距。PowerShell的Get-HotFix命令可以列出所有已安装更新，但信息过于零散。更有效的做法是调用Windows Update API查询待安装补丁列表，并交叉比对CVE编号。以下脚本通过Microsoft Update会话获取未安装的安全更新，并按严重程度分类输出：

$UpdateSession = New-Object -ComObject Microsoft.Update.Session
$UpdateSearcher = $UpdateSession.CreateUpdateSearcher()
$SearchResult = $UpdateSearcher.Search("IsInstalled=0 and Type='Software' and IsHidden=0")

$CriticalUpdates = @()
$ImportantUpdates = @()

foreach ($Update in $SearchResult.Updates) {
    if ($Update.MsrcSeverity -eq "Critical") {
        $CriticalUpdates += $Update.Title
    } elseif ($Update.MsrcSeverity -eq "Important") {
        $ImportantUpdates += $Update.Title
    }
}

$Report = @"
漏洞扫描报告 - $(Get-Date -Format 'yyyy-MM-dd HH:mm')
严重级别未安装补丁: $($CriticalUpdates.Count) 个
重要级别未安装补丁: $($ImportantUpdates.Count) 个
严重补丁列表: $($CriticalUpdates -join '; ')
"@

$Report | Out-File -FilePath "C:\SecurityScan\VulnerabilityReport.txt" -Encoding UTF8

这个脚本生成的报告文件可以作为后续风险预警的输入源。需要注意的是，ComObject调用依赖于Windows Update服务正常运行，如果企业内部使用WSUS或SCCM管理补丁，需要相应调整查询逻辑。

很多安全事件源于运维人员临时开放端口后忘记关闭，或者应用程序悄悄注册了防火墙例外规则。定期审计端口监听状态和防火墙规则，是发现这类配置漂移的有效手段。使用netstat命令结合PowerShell过滤，可以快速识别出非预期的监听端口：

$AllowedPorts = @(80,443,3389,1433,8080)  # 根据业务实际调整白名单
$ListeningPorts = netstat -an | Select-String "LISTENING" | ForEach-Object {
    if ($_ -match ":(\d+)\s+LISTENING") {
        [int]$matches[1]
    }
}

$AnomalyPorts = $ListeningPorts | Where-Object { $_ -notin $AllowedPorts } | Sort-Object -Unique

if ($AnomalyPorts.Count -gt 0) {
    Write-EventLog -LogName Application -Source "SecurityScan" -EventId 1002 -EntryType Warning -Message "非预期监听端口: $($AnomalyPorts -join ',')"
}

防火墙规则审计同样重要，以下命令导出所有入站允许规则，便于对比基线：

Get-NetFirewallRule -Direction Inbound -Action Allow -Enabled True | 
    Select-Object DisplayName,Profile,Protocol,LocalPort,RemotePort |
    Export-Csv -Path "C:\SecurityScan\FirewallRules.csv" -NoTypeInformation -Encoding UTF8

建议将首次导出的CSV文件作为基线存档，后续每次扫描后自动对比差异，任何新增的允许规则都应触发告警。

攻击者提权后往往会创建隐藏账户或将普通账户加入管理员组。定期检查本地管理员组成员变化和最近创建的用户账户，可以在入侵早期发现异常。以下脚本对比当前管理员组成员与上次扫描时的快照：

$SnapshotPath = "C:\SecurityScan\AdminGroupSnapshot.txt"
$CurrentAdmins = Get-LocalGroupMember -Group "Administrators" | Select-Object -ExpandProperty Name

if (Test-Path $SnapshotPath) {
    $PreviousAdmins = Get-Content $SnapshotPath
    $NewAdmins = $CurrentAdmins | Where-Object { $_ -notin $PreviousAdmins }
    $RemovedAdmins = $PreviousAdmins | Where-Object { $_ -notin $CurrentAdmins }
    
    if ($NewAdmins.Count -gt 0 -or $RemovedAdmins.Count -gt 0) {
        Write-EventLog -LogName Application -Source "SecurityScan" -EventId 1003 -EntryType Warning -Message "管理员组变更: 新增[$($NewAdmins -join ',')] 移除[$($RemovedAdmins -join ',')]"
    }
}

$CurrentAdmins | Out-File -FilePath $SnapshotPath -Encoding UTF8

# 检查最近7天内创建的用户
$RecentUsers = Get-LocalUser | Where-Object { $_.PasswordLastSet -gt (Get-Date).AddDays(-7) -and $_.Enabled -eq $true }
if ($RecentUsers.Count -gt 0) {
    Write-EventLog -LogName Application -Source "SecurityScan" -EventId 1004 -EntryType Warning -Message "近期新建用户: $($RecentUsers.Name -join ',')"
}

扫描发现了问题，如果不能及时触达运维人员，前面的所有工作都等于白做。Windows Server环境下最可靠的预警方式有三种：事件日志触发邮件、Windows事件转发集中收集、以及直接调用企业微信或钉钉的Webhook接口。事件日志触发邮件需要在“事件查看器”中绑定任务，右键点击“应用程序”日志，选择“将任务附加到此事件”，指定事件ID如1001到1004，操作设为发送邮件。但更灵活的做法是在PowerShell脚本末尾直接调用SMTP发送汇总报告：

$SmtpServer = "smtp.yourcompany.com"
$SmtpPort = 587
$Credential = Get-Credential  # 建议将凭据存储在Windows凭据管理器中
$MailParams = @{
    From = "security-scan@yourcompany.com"
    To = "admin@yourcompany.com"
    Subject = "服务器安全扫描报告 - $($env:COMPUTERNAME) - $(Get-Date -Format 'yyyy-MM-dd')"
    Body = Get-Content "C:\SecurityScan\VulnerabilityReport.txt" -Raw
    SmtpServer = $SmtpServer
    Port = $SmtpPort
    UseSsl = $true
    Credential = $Credential
}
Send-MailMessage @MailParams

对于使用企业微信或钉钉的团队，可以直接在脚本中调用Webhook机器人推送消息。钉钉机器人的实现方式如下，只需将access_token替换为实际的机器人token：

$WebhookUrl = "https://oapi.dingtalk.com/robot/send?access_token=YOUR_TOKEN"
$Message = @{
    msgtype = "text"
    text = @{
        content = "【安全扫描告警】服务器: $($env:COMPUTERNAME) 发现高危漏洞，请立即处理。详情见邮件报告。"
    }
} | ConvertTo-Json -Compress

Invoke-RestMethod -Uri $WebhookUrl -Method Post -Body $Message -ContentType "application/json; charset=utf-8"

单次扫描只能反映某一时刻的状态，真正有价值的是长期积累的数据趋势。建议将所有扫描结果统一输出到CSV格式的日志文件中，每条记录包含时间戳、扫描类型、发现项、严重等级等字段。每月生成一次趋势报告，统计各类告警的数量变化。如果某类告警连续三个月增长，说明对应的安全控制措施可能存在系统性缺陷。以下脚本实现了扫描结果的标准化记录：

$LogEntry = [PSCustomObject]@{
    Timestamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
    ServerName = $env:COMPUTERNAME
    ScanType = "Scheduled"
    ThreatCount = (Get-MpThreat).Count
    CriticalPatches = $CriticalUpdates.Count
    AnomalyPorts = ($AnomalyPorts -join ';')
    AdminChanges = if ($NewAdmins) { $NewAdmins -join ';' } else { "None" }
}

$LogEntry | Export-Csv -Path "C:\SecurityScan\ScanHistory.csv" -Append -NoTypeInformation -Encoding UTF8

这些历史数据存储在本地即可，如果企业有SIEM或日志中心，也可以通过Windows事件转发功能将事件ID统一收集，便于跨服务器关联分析。

将上述所有扫描模块整合到一个主控脚本中，按顺序执行并加入资源控制逻辑，避免扫描任务占用过多CPU或磁盘IO影响正常业务。在脚本开头设置CPU亲和性和IO优先级，可以让扫描过程对业务几乎无感知：

# 限制脚本进程的CPU优先级
$Process = Get-Process -Id $PID
$Process.PriorityClass = "BelowNormal"

# 如果是磁盘密集型扫描，可以进一步限制IO优先级（需要管理员权限）
# 通过注册表或直接调用API设置IO优先级为Low

# 主扫描流程
$ScanLog = @()
$ScanLog += Start-MpSignatureUpdate
$ScanLog += Start-LayeredScan
$ScanLog += Start-VulnerabilityAssessment
$ScanLog += Start-PortAudit
$ScanLog += Start-AdminGroupAudit
$ScanLog += Send-ReportAndAlert

整个方案部署完成后，建议先手动执行一次完整扫描，观察各环节的输出是否符合预期，确认邮件和即时消息推送都能正常收到。之后将主控脚本注册到任务计划程序中，设置好触发周期，这套自动化安全扫描与预警体系就正式运转起来了。后续的维护工作主要是定期回顾扫描报告，根据业务变化调整白名单和基线，让这套机制持续适配你的服务器环境。