一、物理與環境安全 — 基石

• 機房/機櫃門禁、監控、環境監測 (溫濕度/漏水/煙感)、UPS/雙路市電、資產標籤台賬、介質銷毀 (硬盤消磁/物理粉碎)、屏幕隱私膜、鎖屏習慣 (Win+L)。

二、系統安裝與分區規劃

• 非 C 盤安裝系統： 邏輯隔離，便於系統盤快照/重裝不動數據盤。
• 全盤 NTFS： 支持 ACL、EFS、壓縮、配額、日志、大文件/分區、可靠性遠超 FAT32/exFAT。
• 分區策略 (例 60G RAID0)： C: 系統 (50G), D: 應用/軟件 (100G), E: 業務數據/Web/FTP (200G), F: 臨時文件/頁面文件/日志 (50G) — **環境變量 TEMP/TMP 指向 F:\Temp**。
• 重命名/移除高危系統工具： `cmd.exe` → `cmddisabled.exe` / 移出 System32；`ipconfig.exe` → `showip.exe`；`net.exe`, `nbtstat.exe`, `hostname.exe`, `format.com`, `edit.com`, `debug.exe`, `copy.exe` — **僅保留管理員通過完整路徑/別名調用**，阻斷駭客獲取 Shell 後直接調用系統工具偵察/橫向。注意：可能破壞合法腳本/管理腳本，需全量測試。

三、賬號與認證體系 — 身份邊界

1. 禁用 Guest、清理冗餘賬號 (測試、共享、離職、默認服務賬號)。
2. 雙管理員模式： 日常運維賬號 (標準用戶/運維組) + 緊急突破玻璃賬號 (Domain Admin/Enterprise Admin, 保管箱托管、雙人授權啟用、強審計)。**嚴禁日常使用域管登錄桌面/運行程序。**
3. 重命名內置 Administrator → 偽裝名 (如 `svc_backup_01`)。
4. 創建蜜罐 Administrator： 名稱 `Administrator`、無權限 (拒絕登錄/網絡/批處理/服務)、超長複雜密碼、啟用審核觸發告警。
5. 共享權限去 Everyone → Authenticated Users / 具體安全組，NTFS 精細 ACL (最小權限)。
6. 密碼策略： 複雜度啟用、長度 ≥12、歷史 24、最長 90 天、最短 1 天、可逆加密禁用。**特權賬號部署 PSO (細粒度密碼策略) / LAPS (本地管理員密碼方案) 自動輪換、加密存儲、審計查閱。**
7. 賬號鎖定： 閾值 5、時間 30 分鐘、重置 30 分鐘。
8. 禁用 LM/NTLMv1，強制 NTLMv2 + Kerberos AES： `LMCompatibilityLevel=5` (僅 NTLMv2, 拒 LM/NTLM)；部署「網絡安全: 限制 NTLM」GPO 限制 NTLM 使用範圍。
9. 隱藏最後登錄用戶名： `DontDisplayLastUserName=1`。
10. 屏保密碼保護： 等待 15 分鐘、啟用密碼保護、禁用複雜屏保 (資源佔用/攻擊面)。
11. 智能卡/Windows Hello for Business / FIDO2 金鑰 強制 MFA 登錄 (高安全環境)。

四、服務與端口收斂 — 攻擊面最小化

• 禁用高危服務 (非業務必需)： Fax, Indexing Service (Windows Search), Messenger, Task Scheduler (若無計劃任務), Remote Registry, SSDP Discovery (UPnP), Telnet, TFTP, SNMP (或僅允許只讀社區名+來源 IP)、IIS/FTP/SMTP (非 Web 服務器)、Print Spooler (PrintNightmare CVE-2021-34527 風險, 非打印服務器禁用)、Remote Desktop Services (非遠程管理禁用、或僅允許管理網段 + NLA + 修改端口 + RD Gateway)。
• 端口掃描基線化： `nmap -sS -p- localhost` 定期掃描，僅保留業務必需端口 (Web 80/443, SQL 1433, RDP 3389/自定義, SSH 22/自定義, 管理端口僅管理網段)。
• TCP/IP 篩選 / Windows 防火牆 / IPsec 策略 三層過濾：
  • 入站：默認拒絕，白名單放行 (IP/網段 + 協議 + 端口 + 程序/服務)。
  • 出站：默認允許 (兼容性) → 進階：默認拒絕，白名單放行系統/業務進程必要連接 (Windows Update, 時間同步, DNS, 憑證驗證, 防毒更新, 監控上報)。

五、註冊表與內核參數硬化 — 纵深防禦

鎖定註冊表遠程訪問： 默認僅 Administrators/Backup Operators 可遠程訪問註冊表。進一步：`regini` / `Set-Acl` 移除 `Users`/`Everyone` 讀取權限 (謹慎, 可能破壞合法遠程管理工具)。

關機清除頁面文件： `HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\ClearPageFileAtShutdown = 1` — 防頁面文件殘留敏感數據被離線分析 (代價：關機明顯變慢)。

項目	註冊表路徑 / 參數	建議值	作用
禁用 IPC$ 空連接	HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous	1 (REG_DWORD)	阻斷匿名枚舉用戶/共享/註冊表
禁用默認共享	HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareServer / AutoShareWks	0 (REG_DWORD)	禁用 C$/D$/ADMIN$/IPC$ 自動共享
修改 TTL 干擾指紋	HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\DefaultTTL	64 / 100 (非標準)	干擾 nmap -O / p0f OS 指紋識別
防 SYN Flood	HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\SynAttackProtect	2 (REG_DWORD)	啟用 SYN Cookie 保護
禁用 ICMP 重定向/路由發現	EnableICMPRedirects / PerformRouterDiscovery	0	防路由劫持/重定向攻擊
禁用 IGMP/路由/死網關	IGMPLevel / IPEnableRouter / EnableDeadGWDetect	0 / 0 / 0	非路由器無需此功能
調整 ARP 緩存	ArpCacheLife / ArpCacheMinReferencedLife	120 / 600 (秒)	減少 ARP 欺騙窗口
關閉 DirectDraw (C2 級要求)	HKLM\SYSTEM\CurrentControlSet\Control\GraphicsDrivers\DCI\Timeout	0	防視頻內存殘留洩露 (高安全環境)
禁用 Dump 文件生成	HKLM\SYSTEM\CurrentControlSet\Control\CrashControl\CrashDumpEnabled	0 (無) / 1 (小內存傾印) — 非調試環境禁用完整/內核傾印	防敏感內存數據 (密鑰/密碼/令牌) 寫入磁盤被竊取
啟用 EFS 加密敏感文件夾	文件夾屬性 → 進階 → 加密內容以便安全數據 / cipher /e /s:path	—	防物理盜竊硬盤離線讀取，**務必加密文件夾而非單文件**，備份 EFS 憑證/私鑰 (`.pfx`) 至安全介質。
加密 Temp 目錄	`%TEMP%`, `%TMP%`, `C:\Windows\Temp` → 屬性 → 進階 → 加密	—	防安裝/升級過程敏感文件殘留洩露

六、審計與日志 — 可見性保障

• 啟用核心審核策略 (進階審核策略配置 更精細)：
  • 登錄事件：登錄 (成功/失敗)、注銷、IPsec 主模式/快速模式 (失敗)。
  • 帳號管理：所有子類 (成功/失敗)。
  • 對象訪問：文件系統/註冊表/內核/認證策略/其它 (失敗) — **成功審核極大量，建議僅審核高價值對象 (SACL 精準設置)**。
  • 策略變更：所有 (成功/失敗)。
  • 特權使用：敏感特權使用 (失敗) — `SeDebugPrivilege, SeLoadDriverPrivilege, SeTakeOwnershipPrivilege, SeBackupPrivilege, SeRestorePrivilege, SeSecurityPrivilege`。
  • 系統事件：安全系統擴展/關機/啟動/時間變更/許可證 (成功/失敗)。
  • 進程跟蹤：進程創建 (成功) — **必須啟用「在進程創建事件中包含命令行」 (GPO: 管理模板 → 系統 → 審核進程創建 → 啟用)**，否則 4688 無命令行幾乎無分析價值。
• 日志保護： 安全日志 ACL 僅 `SYSTEM`, `Administrators` (或專用審計員組) 可讀/寫；大小 ≥ 1GB (高安全 ≥ 4GB)；保留策略「按需覆蓋」+ **實時轉發至 SIEM/日志審計系統 (Syslog/Winlogbeat/EventLog Forwarding/Windows Event Forwarding)**，防本地清理 (事件 1102)。

七、補丁與基線管理 — 生命線

• 訂閱微軟安全通告 / CVE / 國家漏洞庫 (CNNVD/CNVD/NVD) / 廠商通告。
• WSUS / SCCM / Intune / Ansible / 自動化腳本 推送補丁：**關鍵/遠程代碼執行 (RCE) 類 72h 內完成測試部署**，重要/提權類 7 天、其它 30 天。
• 部署 **Microsoft 安全基線 (Security Baselines)** / CIS Benchmarks / 國標等保三級/三級 基線模板 (GPO/SCAP/Ansible) 自動化合規檢查與糾偏。
• 安裝 **Microsoft High Encryption Pack (128-bit/256-bit)** (舊版本系統需手動，現代系統默認強加密)。

八、備份與恢復 — 最後防線

• 3-2-1 原則： 3 份副本、2 種介質 (磁盤/帶庫/雲/光盤)、1 份異地離線 (不可變/氣隙)。
• 系統裸機備份 (Windows Server Backup / Veeam / Commvault / Veritas) + 關鍵數據增量備份 (每小時/每日)。
• **定期演練恢復 (季度/半年)：** 驗證 RTO (恢復時間目標) / RPO (恢復點目標) 滿足業務 SLA，測試數據完整性、應用一致性、權限還原。
• 備份介質物理安全、加密存儲 (AES-256)、存取審計。

加固無終點，**「基線化部署、自動化合規、持續監測、快速響應、定期演練、架構演進」** 才是應對不斷升級威脅的唯一正道。