windows服务器系统安全基线达标方案

Windows服务器安全基线不达标，最常见的问题不是缺少某款安全软件，而是系统默认配置长期未改、补丁策略混乱、日志审计形同虚设、账户权限过度分配。要落地一份可执行、可验证的达标方案，必须把“安全基线”拆成可检查的配置项，而不是笼统地说“加强安全”。下面直接按账户与认证、系统补丁、服务与端口、文件系统与注册表、日志审计、主机防火墙、恶意软件防护、数据备份与恢复几个维度，给出具体配置标准和操作方法。

先处理账户。默认Administrator账户必须禁用或改名，新建一个不同名称的管理员账户用于日常维护，并设置高强度口令。所有账户口令策略统一在本地安全策略中强制：密码长度至少12位，启用复杂度要求，密码最长使用期限90天，最短使用期限1天，强制密码历史记住5个以上。账户锁定阈值设为5次无效登录后锁定30分钟，锁定计数器15分钟后重置。Guest账户一律禁用。服务账户只授予“作为服务登录”权限，不允许交互式登录。远程桌面用户组只保留确需远程运维的账户，其他全部移除。对于Web服务器或数据库服务器，应用系统使用的账户不能是本地管理员组成员，应单独建立低权限账户运行应用池和服务。

补丁管理是基线达标的硬指标。Windows Server必须启用自动更新，但生产环境不建议直接“自动下载并安装”，应设置为“自动下载，由管理员选择安装时间”，或接入内部WSUS服务器统一审批补丁。每月第二个星期二微软发布安全更新后，测试环境先验证，生产环境在7天内完成部署。对于无法立即重启的关键服务器，至少先安装“安全更新”和“严重”级别补丁，功能性更新可延后。补丁安装前必须做系统状态备份或快照。还要关注第三方组件，如IIS模块、数据库、中间件、远程管理工具的漏洞公告，不能只盯Windows Update。

用“最小化原则”审查系统服务。禁用Print Spooler（除非是打印服务器）、Server服务（仅在需要文件共享时保留）、Remote Registry、Windows Search、Xbox相关服务、蓝牙支持服务等。用以下PowerShell命令快速列出当前运行的服务和端口：

Get-Service | Where-Object {$_.Status -eq 'Running'} | Select-Object Name,DisplayName
Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess | Sort-Object LocalPort

根据输出结果，逐项确认每个监听端口对应的进程是否业务必需。135、137、138、139、445端口如果不需要文件共享和NetBIOS，应在网络适配器属性中禁用“Microsoft网络的文件和打印机共享”和“Microsoft网络客户端”，并在高级TCP/IP设置中禁用NetBIOS over TCP/IP。RDP端口默认3389建议修改为高位端口，同时通过防火墙限制来源IP。对于IIS服务器，关闭不必要的HTTP方法，如TRACE、OPTIONS，限制WebDAV。

系统盘使用NTFS格式，关键目录权限要收紧。C:\Windows、C:\Program Files、C:\Program Files (x86)默认权限中，Users组不应有“写入”或“修改”权限。C:\inetpub\wwwroot下站点目录，只给应用池账户“读取和执行”权限，上传目录单独给“写入”但禁止“执行”。C:\Temp或C:\Windows\Temp目录若存在，Users组不应有完全控制。注册表关键项如HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters、HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon的权限应仅限Administrators和SYSTEM完全控制，Everyone只读或直接删除。可用以下命令检查Everyone对关键目录的权限：

icacls C:\Windows\Temp
icacls C:\inetpub\wwwroot

发现异常权限用icacls命令重置，例如移除Users组对Temp目录的写入权限：

icacls C:\Windows\Temp /remove:g Users:(OI)(CI)(W)

日志不开启，出了事无法溯源，基线检查直接判不合格。在本地安全策略中启用“审核登录事件”“审核账户登录事件”“审核账户管理”“审核目录服务访问”“审核对象访问”“审核策略更改”“审核特权使用”“审核进程跟踪”“审核系统事件”，成功和失败都要记录。日志大小至少设为102400KB，达到上限时“按需要覆盖事件”。对于关键服务器，建议将安全日志通过Windows事件转发或第三方SIEM集中收集，本地日志保留至少6个月。PowerShell脚本块日志和模块日志也要启用，能记录攻击者执行的命令。

Windows防火墙必须开启，三个配置文件（域、专用、公用）都设为“阻止入站连接，允许出站连接”。入站规则只放行业务端口，并限制来源IP段。例如只允许办公网IP访问RDP：

New-NetFirewallRule -DisplayName "RDP-Allow-Office" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress 192.168.10.0/24 -Action Allow

出站规则默认允许，但建议对服务器限制出站到不必要的目标，尤其是DNS、HTTP、HTTPS之外的高危端口。对于数据库服务器，出站流量可以全部阻止，只允许应用服务器IP访问数据库端口入站。防火墙日志建议开启，记录丢弃的连接，便于发现扫描行为。

Windows Server应部署微软Defender或第三方EDR，并保持病毒库最新。Defender默认开启，但需确认实时保护、云保护、自动样本提交、篡改保护均为启用状态。定期执行全盘扫描，至少每周一次。对于无法安装第三方安全软件的核心服务器，至少启用Defender并配置排除项时谨慎，排除目录不能包含可写目录。应用白名单是更硬核的防护手段，使用AppLocker或WDAC限制可执行文件、脚本、DLL的运行，只允许受信任路径和签名程序执行。AppLocker策略配置后必须先在审计模式运行一周，确认无误再转为强制模式。

安全基线不是只防入侵，还要保证能恢复。系统状态、关键业务数据、数据库、配置文件必须纳入备份计划。备份频率根据RPO确定，核心系统至少每天一次全备，数据库可每小时增量。备份数据必须离线或隔离存储，防止勒索软件加密备份。每季度至少做一次恢复演练，验证备份可用性和恢复时间。备份账户权限最小化，仅授予备份软件所需权限，禁止该账户交互式登录。

手动检查容易遗漏，建议用脚本或工具做基线核查。可以编写PowerShell脚本检查账户策略、服务状态、端口监听、防火墙规则、日志策略、补丁安装情况，输出统一报告。以下是一个基础检查脚本片段：

$checks = @()
$checks += Get-LocalUser | Where-Object {$_.Enabled -eq $true -and $_.Name -eq 'Guest'}
$checks += Get-Service -Name RemoteRegistry,Spooler,Server | Where-Object {$_.Status -eq 'Running'}
$checks += Get-NetTCPConnection -State Listen | Where-Object {$_.LocalPort -in 135,139,445}
$checks += Get-WindowsUpdate -IsInstalled | Where-Object {$_.IsInstalled -eq $false -and $_.AutoSelectOnWebSites -eq $true}
$checks | Out-File -FilePath C:\baseline_check.txt

更规范的做法是使用安全配置向导（SCW）或微软安全合规工具包中的基线策略，直接导入组策略对象，定期用合规工具扫描偏差。对于多台服务器，用组策略统一管理安全设置，避免逐台手工配置。域环境可在Default Domain Policy和Default Domain Controllers Policy基础上，为服务器单独建立OU，链接服务器基线GPO，强制继承。

很多人以为装了杀毒软件、开了防火墙就算达标，实际上账户策略、日志审计、补丁管理才是检查重点。还有的服务器长期不重启，补丁安装了但未生效，基线检查时看到“已安装”就放过，实际系统仍存在漏洞。建议每次补丁安装后确认系统重启状态，必要时安排维护窗口重启。对于IIS服务器，还要检查应用程序池标识、请求过滤、错误页配置是否泄露版本信息。对于数据库服务器，除了操作系统基线，还要单独做数据库安全基线，如删除默认账户、限制远程登录、启用审计。最后，所有基线配置变更必须记录变更时间、变更人、变更内容，形成变更管理闭环，否则审计时无法证明基线持续有效。