Windows服务器系统安全加固实操教程

Windows服务器的安全加固不是从安装杀毒软件开始的，而是从你把服务器接入网络的那一刻之前就应该规划好的。绝大多数入侵事件并非因为黑客使用了多么高深的零日漏洞，而是因为管理员留下了太多“默认配置”。默认的Administrator账户名、默认的3389端口、默认开启的不必要服务，这些都是在给攻击者递钥匙。安全加固的本质，是缩小攻击面、增加攻击成本、延长攻击时间，并确保在被攻破后能留下痕迹。

重命名或禁用默认Administrator账户是第一步，但远远不够。你需要通过组策略强制账户锁定策略，在5次无效登录后锁定账户30分钟，这能有效阻断暴力破解。更关键的是，把所有日常管理账户纳入“Protected Users”安全组。加入该组的账户会强制使用Kerberos认证，禁用NTLM、WDigest和CredSSP，直接从协议层切断Pass-the-Hash和凭证转储攻击。对于服务账户，坚决使用“托管服务账户”，它能让AD自动轮换密码，杜绝硬编码密码出现在脚本或配置文件中。同时，在命令行执行以下命令，查看本地是否存在空密码或弱密码账户，并立即处置：

net user
wmic useraccount get name,passwordrequired,status

Windows防火墙是内置的强力工具，但多数人只用它来“放行”端口，正确的做法是“默认拒绝所有入站流量，仅放行明确需要的业务端口”。对于远程桌面，绝不要直接暴露3389。通过以下PowerShell命令将其修改为高位端口，比如50022，但这只是障眼法。真正有效的是启用网络级认证，它要求用户在建立完整RDP会话前先完成身份验证，能防御大部分扫描器和漏洞利用工具。更进一步的策略是部署RDP网关，将RDP流量封装在HTTPS隧道中，这样你只需要暴露443端口，就能安全地从外网管理内网服务器。别忘了在防火墙中开启日志记录，日志文件是事后溯源的关键。

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name "PortNumber" -Value 50022
New-NetFirewallRule -DisplayName "RDP-HighPort" -Direction Inbound -Protocol TCP -LocalPort 50022 -Action Allow

服务器核心安装模式是物理机和虚拟化环境中安全性最高的选项。它没有GUI、没有IE、没有Windows Explorer，攻击面比完整桌面体验版减少了60%以上。如果必须使用带桌面的版本，务必通过“服务器管理器”中的“删除角色和功能”向导，彻底卸载“Internet Explorer”、“Windows Media Player”和“打印和文档服务”等无关组件。服务是攻击链的重要一环，在PowerShell中运行以下命令，列出所有状态为“Running”且启动类型为“Automatic”的非微软服务，逐项审查，禁用一切不必要的服务，特别是“Remote Registry”、“Server”和“Workstation”：

Get-Service | Where-Object {$_.Status -eq 'Running' -and $_.StartType -eq 'Automatic' -and $_.DisplayName -notlike '*Microsoft*'} | Format-Table Name,DisplayName

NTFS权限是最后一道防线。不要满足于默认权限，关键目录如系统根目录、程序目录和网站根目录，应遵循“主体所需最小权限”原则。管理员组拥有完全控制权，SYSTEM账户拥有完全控制权，而普通用户和服务账户只应被授予读取和执行权限，写入权限必须严格限制在特定的上传目录或日志目录，并且该目录应单独挂载到一个没有执行权限的卷上。对于注册表，通过regedit在关键分支如HKLM\SYSTEM\CurrentControlSet\Control\Lsa上设置审计条目，记录任何修改行为。同时，在组策略中启用“用户账户控制：以管理员批准模式运行所有管理员”，并将滑块始终保持在最高级别，这能有效阻断恶意软件静默提权。

默认日志策略在入侵检测面前形同虚设。你需要通过组策略或审计策略命令行工具auditpol，将日志记录量提升到“详细”级别。必须审计的事件包括：账户登录事件（成功与失败）、账户管理、目录服务访问、登录事件、对象访问、策略更改、特权使用和系统完整性。日志大小必须从默认的20MB大幅提升，安全日志至少设置为4GB，并配置为“按需覆盖事件，先覆盖旧事件”。更重要的是，这些日志不能只留在本地，必须通过Windows事件转发功能或第三方代理实时传输到中央日志服务器或SIEM系统。攻击者进入系统后的第一件事往往是清除日志，远程实时备份是让他们徒劳无功的关键。

auditpol /set /category:"Logon/Logoff" /success:enable /failure:enable
auditpol /set /category:"Account Management" /success:enable /failure:enable
wevtutil sl Security /ms:4194304000

LSASS进程是攻击者梦寐以求的金矿，里面缓存着各种明文密码、NTLM哈希和Kerberos票据。必须启用Credential Guard，它利用虚拟化安全技术将LSASS中存储的机密信息隔离在一个独立的、操作系统无法直接访问的虚拟化容器中。即使攻击者获得了SYSTEM权限，也无法转储这些凭据。在支持虚拟化的硬件上，通过组策略启用“打开基于虚拟化的安全”和“启用Credential Guard”。同时，在组策略中设置“网络访问：不允许存储网络身份验证的密码和凭据”，并禁用WDigest认证，防止明文密码出现在LSASS内存中。在注册表中确认以下键值为0：

HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest\UseLogonCredential

AppLocker是Windows内置的应用程序白名单工具，能实现“非白即黑”的执行控制。为可执行文件、脚本、Windows Installer和DLL文件创建默认拒绝规则，然后针对程序目录、系统目录和管理员常用路径创建允许规则。初始部署时务必先使用“仅审计”模式运行一段时间，收集日志并分析，确保业务应用不会中断，再切换到“强制”模式。对于脚本控制，PowerShell的执行策略应设置为“AllSigned”或“RemoteSigned”，但更彻底的方法是通过组策略启用“PowerShell脚本块日志记录”和“模块日志记录”，并将这些日志同样转发到中央日志系统。攻击者常使用无文件攻击技术，脚本块日志能记录下他们执行的每一行混淆代码。

补丁不及时是最大的安全漏洞。在内网搭建WSUS服务器或使用Windows Update for Business策略，将所有服务器纳入强制自动更新组，设定维护窗口自动安装并重启。但补丁管理不能替代漏洞扫描。定期使用内置的Microsoft Defender Antivirus进行全盘扫描，并结合Microsoft Security Compliance Toolkit中的安全基线分析工具，将当前配置与微软推荐的安全基线进行对比，找出配置偏差。对于IIS等Web服务，在服务器本机运行以下PowerShell命令，快速检查是否存在不安全的SSL/TLS协议和加密套件：

Get-TlsCipherSuite | Format-Table Name,Exchange,Hash,Certificate
Get-TlsEccCurve | Format-Table Name,IsSupported

即使防御做得再好，也要假设自己会被攻破。每个管理员都应掌握一套应急响应命令集。发现异常后，首先用以下命令列出当前所有网络连接和对应的进程，重点排查外联到陌生IP的进程：

netstat -anob

接着检查计划任务和服务，攻击者最喜欢在这里建立持久化后门：

schtasks /query /fo LIST /v
Get-Service | Where-Object {$_.Status -eq 'Running'}

检查本地用户组和远程桌面会话，看是否有可疑账户或活跃会话：

net localgroup administrators
query session

最后，使用Microsoft Sysinternals工具包中的Autoruns，以命令行模式生成一份完整的启动项报告，与已知的干净基线进行比对，任何多出来的条目都值得高度怀疑。

上述所有技术操作做完，服务器安全才算刚刚开始。安全不是一次性的加固项目，而是一个持续监控、响应和改进的运营过程。你需要将安全基线脚本化，在新服务器上线的几分钟内自动完成所有加固配置。将日志接入SIEM，建立针对暴力破解、异常登录时间、特权账户创建等关键场景的告警规则。定期进行红蓝对抗或内部渗透测试，用真实攻击检验防御效果。只有把安全融入日常运维的血液里，你的Windows服务器才能真正从“没出事”的侥幸状态，进入到“出不了大事”的受控状态。