網絡訪問控制 — 斷絕遠程入口
- 禁用 IPC$ 空連接 (Null Session)：
reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v RestrictAnonymous /t REG_DWORD /d 1 /f
阻斷匿名枚舉用戶、共享、註冊表、策略信息。Win2000/XP/2003 必設。
- 禁用 `at` 命令 / 任務計劃服務：
服務中禁用 Task Scheduler，防駭客利用計劃任務定時執行木馬/提權腳本。
- 關閉高危服務：
- Terminal Services (3389)： 不需遠程桌面必關，需用則限制來源 IP + 強密碼 + NLA (網絡級身份驗證) + 修改默認端口。
- SSDP Discovery Service (UPnP, 5000 端口)： 易遭 DDoS 反射放大、佔用 CPU/帶寬，家庭用戶無需 UPnP 必關。
- Remote Registry： 允許遠程修改註冊表，極度危險，**堅決禁用**。
- 禁用 NetBIOS over TCP/IP (139 端口)：
網絡連接 → TCP/IPv4 屬性 → 高級 → WINS → 「禁用 TCP/IP 上的 NetBIOS」。阻斷 `nbtstat` 信息洩露、空連接、IPC$ 訪問、NetBIOS 名稱欺騙。
- 禁用 DCOM (135 端口)：
運行 dcomcnfg → 我的電腦 → 屬性 → 取消「在此計算機上啟用分布式 COM」。阻斷 RPC 端點映射器枚舉、遠程 COM 對象實例化攻擊 (如 CVE-2003-0352/0528/0662 等經典漏洞)。
文件共享與權限收斂
- 共享權限去 Everyone： 所有共享 (含打印機) 權限從
Everyone 改為 Authenticated Users 或具體安全組/用戶，僅授予必要權限 (讀取/寫入/修改)，**絕不給 Everyone 完全控制**。
- 取消默認管理共享 (C$, D$, ADMIN$, IPC$)：
註冊表：HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareServer=0 (REG_DWORD) (服務器版)
AutoShareWks=0 (工作站版)
或啟動腳本 (GPO/本地) 運行 net share C$ /delete & D$ /delete & ADMIN$ /delete & IPC$ /delete。
系統偽裝與信息隱藏
- 修改 TTL 值干擾 OS 指紋識別：
HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\DefaultTTL=64 (或 100/128 非標準值)。默認 128 (Win) / 64 (Linux) / 255 (網絡設備)，修改後 `ping` 返回 TTL 讓駭客難以判斷系統類型。
- 賬號偽裝與蜜罐賬號：
- 禁用/刪除所有非必要賬號 (Guest、預設 ASPNET、IUSR_、IWAM_、TsInternetUser 等)。
- 重命名 Administrator (如
wudianquan)，避免 Admin/Root/Administrator 等弱名。
- 創建陷阱賬號： 新建名為
Administrator 的本地用戶，**權限最低 (拒絕登錄/拒絕網絡訪問/無任何組成員資格)**，設置超長複雜密碼 (30+ 字符)。駭客暴力破解該賬號浪費時間，日志記錄可觸發告警 (事件 529/539/644)。
- 隱藏最後登錄用戶名：
reg add HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon /v DontDisplayLastUserName /t REG_SZ /d 1 /f
登錄界面不顯示上次用戶名，增加暴力破解難度 (需同時猜用戶名+密碼)。
認證與審計加固
- 禁用 LanManager (LM) 認證，強制 NTLMv2：
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\LMCompatibilityLevel=5 (REG_DWORD)
0/1=發送 LM&NTLM; 2=僅 NTLM; 3=僅 NTLMv2; 4=僅 NTLMv2 拒 LM; 5=僅 NTLMv2 拒 LM&NTLM (最強)。防 LM Hash 彩虹表破解 (LM 分大小寫、分兩段 7 字節、無鹽，極弱)。
- 密碼策略 (本地安全策略 / GPO)：
複雜度啟用、最小長度 ≥ 12 (建議)、歷史記憶 ≥ 24、最長壽命 42-90 天、最短壽命 1 天 (防立即改回)。
- 賬號鎖定策略：
閾值 5 次、鎖定時間 30 分鐘、重置計數 30 分鐘。平衡防暴力與業務可用性。
- 審核策略 (最小集)：
登錄事件 (成功/失敗)、帳號管理 (成功/失敗)、對象訪問 (失敗)、策略變更 (成功/失敗)、特權使用 (失敗)、系統事件 (成功/失敗)。日志大小 ≥ 200MB，覆蓋策略「按需覆蓋」並轉發至日志服務器。
補充建議
- 安裝正版殺毒/EDR、啟用防火牆 (域/專用/公用三配置文件)、應用 AppLocker/WDAC 白名單限制可執行文件來源。
- 啟用 BitLocker 加密系統盤/數據盤，配置 TPM+PIN 保護。
- 定期離線備份關鍵數據 (3-2-1 原則)，測試恢復流程。
- 關鍵補丁 (特別是 0-day/遠程代碼執行類) **72 小時內** 完成測試部署。
這 14 條清單覆蓋「減少攻擊面、提高攻擊成本、增強檢測能力、保護核心資產」四大防禦目標，建議建立基線模板 (GPO/SCCM/Ansible) 批量下發、定期合規掃描核查。