前言：GPO 落地最終皆寫入登錄檔
群組原則「電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 安全性選項」每一項設定，最終都對應特定登錄鍵值。掌握對照表，可實現：腳本化批次部署、離線映像預設、合規掃描基線、故障快速定位。
完整對照表 (節選關鍵項，完整表建議匯出為 CSV/Excel 管理)
【LSA 安全性核心】
HKLM\SYSTEM\CurrentControlSet\Control\Lsa
| 值名 | 意義 | 類型 | 數值說明 |
|---|
| AuditBaseObjects | 稽核全域系統物件存取 | REG_DWORD | 0=停用 1=啟用 |
| CrashOnAuditFail | 無法寫入安全稽核時立即藍屏關機 | REG_DWORD | 0=停用 1=啟用(高安全環境) |
| FullPrivilegeAuditing | 稽核備份/還原權限使用 | REG_BINARY | 0=停用 1=啟用 |
| LmCompatibilityLevel | LAN Manager 驗證等級 | REG_DWORD | 0=LM&NTLM 1=LM&NTLMv2協商 2=僅NTLM 3=僅NTLMv2 4=僅NTLMv2拒LM 5=僅NTLMv2拒LM&NTLM |
| RestrictAnonymous | 匿名連線額外限制(IPC$) | REG_DWORD | 0=無限制 1=禁止列舉SAM/共享 2=無顯式匿名權限無法存取 |
| SubmitControl | 允許伺服器操作員排程工作(僅DC) | REG_DWORD | 0=停用 1=啟用 |
【列印服務】
HKLM\SYSTEM\CurrentControlSet\Control\Print\Providers\LanMan Print Services\Servers
| 值名 | 意義 | 類型 | 數值 |
|---|
| AddPrinterDrivers | 防止使用者安裝印表機驅動程式 | REG_DWORD | 0=停用 1=啟用 |
【記憶體管理】
HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management
| 值名 | 意義 | 類型 | 數值 |
|---|
| ClearPageFileAtShutdown | 關機清除分頁檔 | REG_DWORD | 0=停用 1=啟用 |
【核心物件保護】
HKLM\SYSTEM\CurrentControlSet\Control\Session Manager
| 值名 | 意義 | 類型 | 數值 |
|---|
| ProtectionMode | 強化全域系統物件預設權限(符號連結等) | REG_DWORD | 0=停用 1=啟用 |
【伺服器服務 (LanmanServer)】
HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
| 值名 | 意義 | 類型 | 數值 |
|---|
| EnableSecuritySignature | 伺服器通訊數位簽章(若可能) | REG_DWORD | 0=停用 1=啟用 |
| RequireSecuritySignature | 伺服器通訊數位簽章(強制) | REG_DWORD | 0=停用 1=啟用 |
| EnableForcedLogOff | 登入時間到期強制登出(本地) | REG_DWORD | 0=停用 1=啟用 |
| AutoDisconnect | 閒置斷開會話所需分鐘數 | REG_DWORD | 分鐘數 |
【工作站服務 (LanmanWorkstation)】
HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters
| 值名 | 意義 | 類型 | 數值 |
|---|
| EnableSecuritySignature | 用戶端通訊數位簽章(若可能) | REG_DWORD | 0=停用 1=啟用 |
| RequireSecuritySignature | 用戶端通訊數位簽章(強制) | REG_DWORD | 0=停用 1=啟用 |
| EnablePlainTextPassword | 傳送明文密碼連接第三方SMB | REG_DWORD | 0=停用 1=啟用(極度不建議) |
【Netlogon 安全通道】
HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters
| 值名 | 意義 | 類型 | 數值 |
|---|
| DisablePasswordChange | 防止電腦帳號密碼系統維護 | REG_DWORD | 0=停用 1=啟用 |
| SignSecureChannel | 安全通道數位簽章(若可能) | REG_DWORD | 0=停用 1=啟用 |
| SealSecureChannel | 安全通道數位加密(若可能) | REG_DWORD | 0=停用 1=啟用 |
| RequireSignOrSeal | 安全通道數位加密或簽章(強制) | REG_DWORD | 0=停用 1=啟用 |
| RequireStrongKey | 安全通道需強會話金鑰(Win2K+) | REG_DWORD | 0=停用 1=啟用 |
【驅動程式簽章】
HKLM\Software\Microsoft\Driver Signing /
Non-Driver Signing
| 值名 | 意義 | 類型 | 數值 |
|---|
| Policy | 未簽名驅動/非驅動程式安裝操作 | REG_BINARY | 0=預設安裝 1=允許但警告 2=禁止安裝 |
【系統介面與登入】
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System
| 值名 | 意義 | 類型 | 數值 |
|---|
| DisableCAD | 停用 Ctrl+Alt+Del 登入 | REG_DWORD | 0=停用 1=啟用 |
| DontDisplayLastUserName | 登入畫面不顯示上次使用者 | REG_DWORD | 0=停用 1=啟用 |
| LegalNoticeCaption | 登入嘗試時訊息標題 | REG_SZ | 標題文字 |
| LegalNoticeText | 登入嘗試時訊息內容 | REG_SZ | 訊息文字 |
| ShutdownWithoutLogon | 登入畫面顯示關機按鈕 | REG_DWORD | 0=停用 1=啟用 |
【修復主控台】
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Setup\RecoveryConsole
| 值名 | 意義 | 類型 | 數值 |
|---|
| SecurityLevel | 允許自動系統管理級登入 | REG_DWORD | 0=停用 1=啟用 |
| SetCommand | 允許軟碟複製/存取所有磁碟機/資料夾 | REG_DWORD | 0=停用 1=啟用 |
【Winlogon 設定】
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
| 值名 | 意義 | 類型 | 數值 |
|---|
| AllocateCDRoms | 僅本地登入使用者存取光碟機 | REG_SZ | 0=停用 1=啟用 |
| AllocateDASD | 允許彈出可移動 NTFS 媒體 | REG_SZ | 0=Administrators 1=Admin+PowerUsers 2=Admin+Interactive |
| AllocateFloppies | 僅本地登入使用者存取軟碟機 | REG_SZ | 0=停用 1=啟用 |
| CachedLogonsCount | 快取前次登入次數(DC不可用時) | REG_SZ | 次數(如10) |
| PasswordExpiryWarning | 密碼到期前提示天數 | REG_DWORD | 天數(預設14) |
| ScRemoveOption | 智慧卡移除動作 | REG_SZ | 0=無 1=鎖定工作站 2=強制登出 |
應用場景與自動化建議
- 基線合規掃描： PowerShell 讀取對照表逐項比對，輸出差異報表。
- 離線映像注入： 使用
reg load 掛載離線 Registry Hive，批次寫入鍵值，封裝黃金映像。
- 應急恢復： 遭惡意修改時，對照表快速定位關鍵鍵值還原。
- 版本差異管理： 不同 Windows 版本鍵值可能異動，建議維護版本化對照表。
結語：登錄檔是 GPO 的真相，對照表是翻譯官
將此對照表納入資安運營知識庫，配合自動化工具鏈，讓「策略即代碼」落地，消除人工配置誤差與漏配風險。