依賴外部工具不如強化客戶端基線。本文給出兩大無需第三方工具的原生加固技巧。

技巧一：組策略移除可疑組的「從網絡訪問此計算機」權限

1. gpedit.msc → 計算機配置 → Windows 設置 → 安全設置 → 本地策略 → 用戶權限分配。
2. 雙擊「從網絡訪問此計算機」，選中可疑組/用戶 → 「刪除」 → 確定。
3. 效果：木馬竊取憑證加入高權限組也無法通過網絡登錄利用。

技巧二：為可信新用戶配置最小必要權限

1. 計算機管理 → 本地用戶和組 → 用戶 → 新建用戶（強複雜密碼）。
2. **不加入任何內建組**，避免權限攀升。
3. 通過共享權限/NTFS ACL 精確授予特定資源讀寫權限。
4. 定期審計賬號清單，清理殭屍賬號。

原生機制足夠強大，關鍵在於「知其然、更知其所以然」地配置與審計。