1. Windows主机安全威胁全景
Windows主机是企业终端与服务器中占比最高的操作系统平台，也是攻击者最常瞄准的目标之一。理解Windows主机安全，不能只盯着某一个漏洞或某一款杀毒软件，而要先建立一张"威胁全景图"：攻击者从哪里进来、用什么手段立足、如何提权与横向移动、最终想拿到什么。只有把攻击面、威胁类型和典型入侵路径串成一条链，后续的加固措施才有明确的针对对象。
一、Windows主机的攻击面在哪里
攻击面可以理解为"攻击者能够接触并施加影响的入口集合"。Windows主机的攻击面大致分为四层：
- 网络暴露面：RDP（3389）、SMB（445）、WinRM（5985/5986）、WMI、RPC动态端口等远程管理服务。这些服务本身是合法运维通道，一旦弱口令或未打补丁，就会变成入侵入口。
- 身份与凭据面：本地账户、域账户、服务账户、缓存凭据（如LSASS内存中的哈希与票据）、浏览器保存的密码、组策略首选项中的cpassword。
- 应用与脚本面：Office宏、PowerShell、WMI、计划任务、浏览器与插件、第三方软件更新通道。Windows的"合法工具"极多，攻击者常借它们实现"无文件"攻击。
- 系统与配置面：未修补的漏洞（如永恒之蓝MS17-010）、过宽的共享权限、未启用Credential Guard、UAC配置不当、审计日志缺失。
这四层并非孤立，而是相互衔接。例如攻击者先通过网络暴露面进入，再借身份面拿到凭据，最后用应用与脚本面维持权限。理解这种衔接关系，比记住单个漏洞更重要。
二、常见威胁类型
针对Windows主机的威胁，按行为特征可分为几类：
| 威胁类型 | 典型表现 | 常见载体 |
|---|---|---|
| 恶意软件 | 勒索加密、挖矿、后门驻留 | 钓鱼附件、破解软件、漏洞利用 |
| 勒索软件 | 批量加密文件、删除卷影副本 | RDP爆破、钓鱼、供应链 |
| 无文件攻击 | PowerShell/WMI内存执行，磁盘无落地文件 | 宏文档、钓鱼脚本、C2下发 |
| 凭据窃取 | 转储LSASS、Kerberoasting、Pass-the-Hash | Mimikatz类工具、恶意驱动 |
| 横向移动 | PsExec、WMI、WinRM远程执行 | 已窃取的域凭据 |
| 权限提升 | 利用本地漏洞或错误配置获得SYSTEM | 未打补丁的系统、服务权限过宽 |
| 持久化 | 计划任务、注册表Run键、服务、WMI事件订阅 | 攻击者植入的驻留机制 |
需要强调的是，现代攻击很少只用一种手段，而是把上述类型组合成"攻击链"。因此防护也不能只靠单点，而要覆盖链上的多个环节。
三、典型入侵路径
下面用一条常见的入侵链说明攻击者如何一步步深入。假设某企业有一台对外提供远程运维的Windows服务器，开启了RDP，且使用弱口令。
- 初始访问：攻击者通过互联网扫描发现3389端口开放，用字典对Administrator账户进行RDP爆破，成功登录。
- 执行与立足：登录后打开PowerShell，从C2服务器下载并内存加载后门脚本，避免在磁盘留下可执行文件。
- 凭据窃取：使用工具转储LSASS内存，获取本地账户哈希，甚至域账户票据。
- 权限提升：发现系统未打某本地提权补丁，利用后获得SYSTEM权限。
- 持久化：创建隐藏计划任务，并注册WMI事件订阅，保证重启后仍能执行。
- 横向移动：用窃取的域凭据通过PsExec或WinRM登录内网其他主机，扩大控制范围。
- 目标达成：部署勒索软件，批量加密文件并删除卷影副本，索要赎金。
这条链上，任何一环被阻断，攻击都可能失败。例如强制RDP使用强口令与多因素认证可阻断第1步；启用Credential Guard与限制LSASS访问可削弱第3步；及时打补丁可阻断第4步；监控计划任务与WMI订阅可发现第5步。这正是"纵深防御"的意义。
四、从威胁全景到防护框架
把上述内容整理成一个整体认知框架，可以用"入口—立足—提权—横移—达成"五个阶段来观察，每个阶段对应不同的攻击面与检测点。下图展示了这一关系：左侧是攻击阶段，中间是攻击者常用的技术，右侧是防御者应重点关注的加固与检测方向。
这张图不是要记住每个方框，而是建立一个判断习惯：看到任何一条Windows主机安全事件，先问它处在攻击链的哪个阶段，再问这个阶段对应的攻击面是否已被覆盖。例如发现服务器出现异常PowerShell进程，应立刻联想到"执行立足"阶段，检查脚本块日志与命令行审计是否开启；发现LSASS被异常访问，则应检查Credential Guard与LSASS保护设置。
五、建立整体防护认知
综合来看，Windows主机安全防护应围绕三条主线展开：
- 减少暴露：关闭不必要的服务与端口，限制远程管理来源，遵循最小权限。
- 阻断执行：应用白名单、约束PowerShell、禁用不必要的宏与脚本宿主。
- 可检测可响应：开启关键审计（登录、进程创建、PowerShell、WMI），集中收集日志，建立告警与处置流程。
威胁全景的价值在于提供坐标系。掌握了攻击面、威胁类型与典型入侵路径，后续每一项具体加固措施都能找到自己的位置，防护工作也就从"堆工具"变成"有目标的断链"。