核心原則：最小權限、最小暴露、可審計、可恢復

七步加固操作指南 (適用 Win10/11, Server 2016/2019/2022, 對應 GPO 路徑)

1. 隱藏最後登錄用戶名
   路徑：計算機配置 → Windows 設置 → 安全設置 → 本地策略 → 安全選項 → 「互動式登錄: 不顯示上次的用戶名」 → 已啟用
   註冊表：HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\DontDisplayLastUserName = 1
   效果：登錄界面不顯示上次用戶名，暴力破解需同時猜測用戶名+密碼，難度指數級上升。
2. 禁用/清理冗餘賬號
   
   • 禁用 Guest (默認已禁用，確認狀態)。
   • 刪除/禁用：測試賬號、臨時賬號、離職人員賬號、共享賬號、ASPNET, IUSR_*, IWAM_* (IIS 6.0 遺留), TsInternetUser 等默認服務賬號 (若不使用對應服務)。
   • 原則：**賬號數量越少，攻擊面越小**。統計顯示賬號 >10 個的主機極易存在弱口令賬號。
3. 重命名內置 Administrator + 創建蜜罐賬號
   
   • 方法：計算機管理 → 本地用戶和組 → 用戶 → Administrator 右鍵重命名 (如 svc_admin_2024)，避免使用 Admin, Root, System, IT 等可猜測名稱。
   • 蜜罐陷阱： 新建本地用戶名為 Administrator，**移出所有組 (僅屬 Users 甚至無組)**，設置「拒絕本地登錄」「拒絕通過網絡訪問」「拒絕作為批處理/服務登錄」 (GPO: 用戶權利指派)，密碼設置 30+ 字符高強度隨機串。
   • 效果： 駭客針對「Administrator」爆破浪費資源，觸發 529/539/644 事件告警，暴露意圖。
4. 配置賬號鎖定策略 — 防暴力破解核心
   路徑：本地策略 → 帳戶策略 → 帳戶鎖定策略
   
   • 帳戶鎖定閾值： 5 次無效登錄 (建議 3-10)。
   • 帳戶鎖定時間： 30 分鐘 (建議 15-60)。
   • 重置鎖定計數器： 30 分鐘 (與鎖定時間一致)。
   注意：需同時啟用「審核登錄事件 (失敗)」記錄事件 4625/529 以便告警分析。
5. 強化密碼策略 — 提高破解成本
   路徑：本地策略 → 帳戶策略 → 密碼策略
   
   • 密碼必須符合複雜性要求： 已啟用 (含大小寫、數字、特殊符號、不含用戶名片段)。
   • 最小密碼長度： 12 字符 (建議 14+，NIST 800-63B 建議最小 8、鼓勵長密碼短語)。
   • 強制密碼歷史記錄： 24 次 (防輪換舊密碼)。
   • 最大密碼壽命： 90 天 (配合最小壽命 1 天)。
   • 最小密碼壽命： 1 天 (防管理員連續改密繞過歷史)。
   • 可逆加密存儲密碼： **禁用** (除非極特殊業務需求)。
   進階：部署細粒度密碼策略 (PSO) 對特權賬號 (域管、服務賬號) 設置更嚴格策略 (長度 20+、壽命 30 天、啟用受保護用戶組)。
6. 用戶權利指派精細化 — 收斂高危特權
   路徑：本地策略 → 用戶權利指派
   關鍵項設置建議：

   策略名稱	建議賦予	風險說明
   作為批處理作業登錄	僅排程任務服務賬號	允許無交互式登錄，常被服務類木馬利用
   作為服務登錄	僅合法服務賬號 (Network Service, Local Service, 專用服務賬號)	高權限服務上下文
   調試程序	僅開發/調試賬號 (生產環境禁用)	可附加進程讀取內存/注入代碼 (如 Mimikatz 需 SeDebugPrivilege)
   備份文件和目錄 / 還原文件和目錄	僅備份操作員/管理員	繞過文件系統 ACL 讀寫任意文件
   管理審核和安全日志	僅安全審計員/域管	可清理/篡改安全日志 (事件 1102)
   從網絡訪問此計算機	Authenticated Users (必要時精確到組)	控制 SMB/RPC/WinRM 等網絡認證入口
   關閉系統	僅管理員/物理操作員	防非授權關機

7. 啟用「網絡訪問: 不允許 SAM 帳戶和共享匿名枚舉」
   路徑：安全選項 → 「網絡訪問: 不允許 SAM 帳戶匿名枚舉」 → 已啟用
「網絡訪問: 不允許 SAM 帳戶和共享的匿名枚舉」 → 已啟用
   徹底封殺匿名會話 (Null Session) 信息洩露 (用戶列表、共享列表、策略、註冊表鍵值)。

驗證與持續運營

• 基線掃描： 使用 Microsoft Baseline Security Analyzer (MBSA) / SCAP 掃描器 / 自研腳本 定期核查合規率。
• 日志分析： 重點監控 4625 (登錄失敗)、4740 (賬號鎖定)、4720/4726/4738 (賬號創建/刪除/變更)、4672 (特權登錄)、4688 (進程創建含命令行)。
• 特權訪問管理 (PAM)： 生產環境建議部署 JIT (Just-In-Time) 提權、會話錄像、密碼自動輪換 (LAPS/第三方 PAM)，徹底消除常駐特權賬號風險。

賬號安全是身份邊界的基石。**「一個強密碼、一個重命名管理員、一個蜜罐賬號、一套鎖定策略、一套審核日志」** 構成最小可行性防禦閉環。