2、操作系统安全配置（Windows）

Windows 系统的默认配置往往为了易用性而牺牲了安全性。本课程将从默认状态出发，逐步加固系统，涵盖服务与端口、账户策略、本地安全策略及防火墙基础配置。

2.1 Windows 默认服务与端口

Windows 默认会开启大量服务，其中许多并非必需。攻击者常利用这些默认服务与端口进行渗透。以下为常见的高危默认服务与端口对照表：

服务名称	默认端口	风险说明	建议操作
Remote Desktop Services	3389 (TCP)	易被暴力破解，勒索软件常用入口	禁用或更换端口 + 防火墙白名单
NetBIOS / SMB	137-139, 445 (TCP/UDP)	永恒之蓝漏洞利用目标	禁用 NetBIOS over TCP/IP，关闭 445
LLMNR / mDNS	5355 / 5353 (UDP)	中间人攻击，哈希泄露	通过组策略禁用 LLMNR
SNMP Service	161 (UDP)	默认团体字符串 public 易泄露信息	禁用或修改团体字符串
Print Spooler	动态 RPC 端口	PrintNightmare 漏洞	非打印服务器建议禁用服务

2.2 账户策略与密码策略

默认的 Administrator 账户和空密码或弱密码是最大的安全隐患。通过本地安全策略强制实施密码与账户锁定策略。

核心策略配置项

• 密码策略：密码长度最小值 ≥ 12 字符；密码必须符合复杂性要求（启用）；密码最长使用期限 ≤ 90 天。
• 账户锁定策略：账户锁定阈值 ≤ 5 次无效登录；锁定时间 ≥ 30 分钟；复位账户锁定计数器 ≥ 30 分钟。
• 交互式登录：不显示上次登录的用户名（启用）；提示用户在密码过期前更改密码（≥ 14 天）。

2.3 本地安全策略

通过 secpol.msc 配置本地安全策略，以下为关键安全选项：

# 关键安全策略配置项（通过命令行或组策略）
1. 网络安全：LAN Manager 身份验证级别 → 仅发送 NTLMv2 响应/拒绝 LM 和 NTLM
2. 网络安全：最小会话安全 → 启用 128 位加密
3. 账户：管理员账户状态 → 禁用（内置 Administrator）
4. 账户：来宾账户状态 → 禁用
5. 关机：允许系统在未登录的情况下关闭 → 禁用
6. 交互式登录：无需按 Ctrl+Alt+Del → 禁用
7. 设备：防止用户安装打印机驱动程序 → 启用

2.4 防火墙基础配置

Windows Defender 防火墙默认阻止入站连接，但需进一步细化规则。基础配置原则：

• 默认阻止：入站连接默认阻止，出站连接默认允许（根据需求限制）。
• 规则细化：仅允许必要的端口（如 80/443 用于 Web 服务，3389 仅限管理子网）。
• 日志记录：启用防火墙日志，记录丢弃的数据包，路径 %SystemRoot%\System32\LogFiles\Firewall\pfirewall.log。

# 使用 netsh 配置防火墙规则示例
# 允许特定 IP 访问 RDP（端口 3389）
netsh advfirewall firewall add rule name="Allow RDP from Admin" dir=in protocol=tcp localport=3389 remoteip=192.168.1.0/24 action=allow

# 阻止所有其他入站 3389
netsh advfirewall firewall add rule name="Block RDP Others" dir=in protocol=tcp localport=3389 action=block

# 启用防火墙日志
netsh advfirewall set currentprofile logging filename "C:\FirewallLog\fw.log"
netsh advfirewall set currentprofile logging droppedconnections enable

通过以上四步配置，可显著降低 Windows 系统的默认攻击面。建议定期使用 MBSA 或 OpenSCAP 进行安全基线扫描，确保持续合规。