3. 操作系统安全基线（Windows）：组策略配置、账户锁定策略、审核策略、防火墙规则

Windows 系统在工业物联网场景里，说实话，经常被低估。很多人觉得工控机嘛，跑着跑着不出错就行，安全不安全的无所谓。我见过不止一家工厂，上位机还是 Windows 7，补丁不打，密码为空，连防火墙都关了。结果呢？中了勒索病毒，整条产线停了两天。

所以这一章，咱们就聚焦在 Windows 操作系统的安全基线上。说白了，就是通过组策略、账户策略、审核日志和防火墙这几板斧，把系统的攻击面尽可能缩小。我个人习惯，每部署一台工控 Windows 机器，第一件事就是跑一遍这些配置。

3.1 组策略配置：安全策略的“总开关”

组策略是 Windows 安全配置的核心。你想想看，本地安全策略、账户策略、审核策略，其实都是通过组策略编辑器来管理的。在工业环境里，我建议重点关注以下几个路径：

• 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 用户权限分配
• 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项

这里有几个我踩过坑的配置项：

3.2 账户锁定策略：防暴力破解的第一道防线

工业现场的设备，很多都是 7×24 小时开着的。如果攻击者通过 RDP 或者其他远程服务暴力破解密码，没有锁定策略的话，理论上可以试到天荒地老。

账户锁定策略在 计算机配置 → Windows 设置 → 安全设置 → 账户策略 → 账户锁定策略 下。我一般这样配：

策略项	推荐值	说明
账户锁定阈值	5 次无效登录	超过 5 次就锁定，够用了。设成 3 次的话，操作员手误都可能把自己锁外面。
账户锁定时间	30 分钟	锁定半小时，既能让攻击者失去耐心，又不至于让运维等太久。
重置账户锁定计数器	30 分钟	这个时间要和锁定时间一致，不然逻辑上会出问题。

3.3 审核策略：出了事得有据可查

很多工控系统出事之后，根本查不到是谁干的、什么时候干的。为什么？因为审核策略没开。Windows 默认的审核策略是很保守的，很多关键事件都不记录。

审核策略在 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略 下。我个人建议至少开启以下几项：

• 审核账户登录事件：成功 + 失败。记录谁登录了、谁登录失败了。
• 审核账户管理：成功 + 失败。账户被创建、删除、修改密码，都得记下来。
• 审核登录事件：成功 + 失败。这个和账户登录事件不一样，它记录的是会话级别的登录。
• 审核对象访问：失败。如果有人试图访问没有权限的文件，记录下来。
• 审核策略更改：成功 + 失败。谁改了安全策略，这是大事。
• 审核系统事件：成功 + 失败。系统关机、重启、蓝屏，都得有日志。

3.4 防火墙规则：只开该开的门

Windows 防火墙在工业场景里，经常被直接关掉。理由很统一：“防火墙影响通讯，麻烦。” 但你想过没有，没有防火墙，就等于你家大门敞开着，谁都能进来逛一圈。

正确的做法是：默认拒绝，按需放行。我一般这样配置：

1. 启用防火墙：所有网络配置文件（域、专用、公用）都启用。
2. 入站规则：默认阻止。然后只放行必要的端口和服务。
   • 远程桌面（RDP）：TCP 3389，但建议更改默认端口。
   • 工业协议端口：比如 Modbus TCP 502、S7 通信 102、OPC UA 4840 等，按实际需求放行。
   • 文件共享（SMB）：TCP 445，如果不需要就关掉。很多勒索病毒就是通过 SMB 传播的。
3. 出站规则：默认允许，但可以针对关键设备配置出站白名单。

3.5 知识体系总览

下面这张图，把 Windows 安全基线的四个核心模块串起来了。你可以把它当作配置前的检查清单：

3.6 实战检查清单

最后，给你一份我每次部署都会对照的检查清单。你可以直接打印出来，或者贴在工控机旁边：

检查项	配置要求	验证方法
组策略：禁用 Guest 账户	已禁用	net user guest 查看状态
组策略：拒绝 Everyone 从网络访问	已配置	secpol.msc → 用户权限分配
账户锁定阈值	5 次	secpol.msc → 账户锁定策略
审核登录事件	成功 + 失败	事件查看器 → 安全日志
防火墙：入站默认阻止	已启用	netsh advfirewall show allprofiles
防火墙：仅放行业务端口	白名单模式	检查入站规则列表