📘 操作系统基线-Windows：账户策略、密码策略、审计策略配置

🎯 核心目标：通过配置 Windows 操作系统的账户策略、密码策略与审计策略，建立最小权限、强身份认证、可追溯的安全基线，有效防范暴力破解、权限滥用及未授权访问。

账户策略 控制用户账户的锁定行为与交互式登录安全，是防止暴力破解的第一道防线。

密码策略 强制用户使用复杂、高熵密码，并定期更换，降低凭证泄露风险。

审计策略 记录关键安全事件，为事后溯源、入侵分析提供完整证据链。

以下命令可直接在 Windows Server / 10/11 上执行，快速应用安全基线：

# ---------- 账户策略 ----------
net accounts /lockoutthreshold:5
net accounts /lockoutduration:30
net accounts /lockoutwindow:30

# ---------- 密码策略 ----------
net accounts /minpwlen:14
net accounts /maxpwage:90
net accounts /uniquepw:24

# ---------- 审计策略 (高级审计策略) ----------
# 登录事件
auditpol /set /subcategory:"登录" /success:enable /failure:enable
# 账户管理
auditpol /set /subcategory:"用户帐户管理" /success:enable /failure:enable
# 特权使用
auditpol /set /subcategory:"特权使用" /success:enable /failure:enable
# 策略更改
auditpol /set /subcategory:"审核策略更改" /success:enable

# 查看当前配置
auditpol /get /category:*

💡 提示： 生产环境建议通过 GPO（组策略对象）统一推送，避免逐台手动配置。

• ✔️ 账户锁定阈值 ≤ 5 次
• ✔️ 锁定时间 ≥ 30 分钟
• ✔️ 密码长度 ≥ 14 字符
• ✔️ 密码最长使用期限 ≤ 90 天
• ✔️ 密码历史 ≥ 24 个
• ✔️ 启用密码复杂性要求
• ✔️ 审计登录事件（成功+失败）
• ✔️ 审计账户管理（成功+失败）
• ✔️ 审计特权使用（成功+失败）
• ✔️ 审计策略更改（成功）