装好Windows之后，我一般不会马上把软件装齐，而是先把系统安全相关的东西过一遍。这个习惯是几年前帮人处理一台被勒索病毒加密的电脑之后养成的，那台机器所有文档都变成了奇怪后缀，系统里还开着默认的管理员共享、防火墙几乎等于没开、UAC也被关掉了。把数据恢复出来之后，我花了很长时间琢磨到底哪些操作和认知能真正降低类似风险。今天这篇就把这套Windows系统基础安全和操作认知的东西完整写出来，适合刚接触Windows的小白，也适合需要管几台Windows机器的运维新人看。这不是一篇教你装某个安全软件的文章，而是帮你重新理解Windows这台系统本身的安全边界在哪里。
1. 新装系统阶段，安全认知的第一道分水岭
1.1 先搞清楚这台机器要承担什么角色
拿到一台新电脑或者新装好的Windows系统，第一件要做的事不是急着联网装软件，而是先想清楚一个问题：这台机器将来是干什么用的？个人上网、写代码、做文件服务器、还是当域内的工作站？这个问题的答案直接决定了后面所有安全配置的松紧程度。
比如家里和公司办公用的Windows，日常使用场景相对固定，但对外接收文件、浏览网页的频率很高，那么重点就放在浏览器隔离、受控文件夹访问、备份策略这些方面。如果是要做服务器，比如Windows Server 2016，那思路就完全不同了——默认情况下服务器系统装好后，远程桌面、端口访问、账号密码策略这些都得按最小化原则来卡，能不开的服务一个都不要开，多开一个端口就意味着多一个被攻击面。
还有一点容易被忽略：系统版本的选择本身也是一种安全决策。Windows 11家庭版和专业版的安全功能并不完全一样，专业版多了BitLocker设备加密、Hyper-V、Windows Sandbox、本地安全策略这些工具。如果你只是追剧聊天，家庭版问题不大；但如果你平时会拷贝一些重要资料在电脑上，或者偶尔想开个沙箱试试来路不明的程序，那我建议宁可多花点预算上专业版。版本选错，后面想用组策略和BitLocker发现用不了，再折腾升级就很被动。
系统更新也是一样的道理。很多人觉得Windows更新烦，总是弹重启，于是干脆把自动更新关了。这个操作我劝你不要做，或者至少不要彻底关。Windows更新补丁里很大一部分是安全修复，不是功能更新，那些被修复的漏洞在补丁发布之后很快会被研究透，不更新的机器就像小区大门一直敞着。你可以把补丁时间安排到深夜，但不要关掉更新服务。我自己的习惯是让系统自动下载补丁，重启时间安排在凌晨，基本不影响白天工作。
1.2 账户权限：别让自己的日常操作永远挂着管理员身份
接下来是账户体系。很长一段时间里，我自己也图省事，直接用一个管理员账户当日常主力，UAC弹窗就点"是"，感觉效率很高。后来在Windows安全日志里看到不少4625类型的失败登录尝试，才意识到问题有多严重——如果日常使用的账户本身就拥有管理员权限，那么任何恶意软件跑到当前用户上下文里，也就自动继承了管理员权限，连提权这一步都省了。
建议你从现在开始做一件事：新建一个标准用户账户，日常工作、娱乐都用它；再单独保留一个管理员账户（最好改个名字）用来做系统级更改，比如装驱动、改安全策略。这样哪怕你浏览了一个带漏洞的网页，恶意脚本在标准账户下也只能破坏当前用户的数据，没办法直接改写系统目录或者注册表关键项。实际操作很简单，在"设置 -> 账户 -> 家庭和其他用户"里添加一个新用户，然后把这个用户设置为"标准用户"即可。
很多人在这一步会感觉麻烦，因为标准账户下装软件经常要输入管理员密码。这个密码输得越多，其实越说明系统在保护你。UAC弹窗并不是烦人，它是Windows的权限边界提醒：你现在运行的这个程序要申请管理员权限了，它想做的不只是普通用户层面的事，你确认这是你自己操作的吗？如果连这个弹窗都懒得看，长期关闭UAC，那等于把最后一道权限检查拆掉了。
建议UAC级别保持默认或者调高到"始终通知"，永远不要拖到最下面"从不通知"。
1.3 BitLocker 与 TPM：硬盘丢了不等于数据一定泄露
提到数据安全，很多人第一时间想到的是设置Windows登录密码。但登录密码只能挡住别人开机后直接进系统，拦不住另一种场景：对方把你的硬盘拆下来，挂到另一台机器上直接读文件。这种情况就需要加密整个磁盘。
Windows自带的BitLocker就是干这个事的。它利用现代主板上几乎都有的TPM安全芯片，把整个系统盘加密，开机时TPM校验系统启动环境的完整性，确认没问题后再解锁磁盘。这样即使硬盘被拆走，拿到的也是一堆密文。启用BitLocker其实不复杂，在"设置 -> 隐私和安全性 -> 设备加密"（部分版本在"控制面板 -> BitLocker驱动器加密"）中打开，按提示设置即可。关键是把恢复密钥保存好，最好打印一份放安全的地方，一旦忘了PIN或者换硬件，恢复密钥就是你最后一把钥匙。
我在实际工作中见过不少人嫌BitLocker输PIN码麻烦就关掉了，结果后来电脑被偷才来后悔。说实话，对大多数人而言，日常使用中加密带来的那几秒开销完全值得，它买的是"数据只属于自己"的确定性。如果是企业环境，IT管理员应该在域策略里直接强制启用设备加密，而不是给用户留选择空间。
2. 基础防线里的三层防御：Defender、防火墙、UAC
2.1 Windows Defender不是摆设，但要学会喂规则
Windows自带的Microsoft Defender现在的查杀能力已经比前几年强很多，它不是那种"装了就再也不用管"的软件，也不是"什么都能查出来"的神器。正确心态是把它当一个需要持续维护的看门狗。
Defender有几个能力容易被忽略：实时保护、云提供的保护、受控文件夹访问、勒索软件防护。受控文件夹访问特别值得开启，它允许你指定受保护的文件夹（比如桌面、文档），一旦有程序试图对这些文件夹做未授权的修改，Defender会直接阻止。这对勒索病毒尤其有效，勒索病毒的特征就是把文件加密然后要赎金，受控文件夹访问相当于给重要目录加了一把只允许白名单程序触碰的锁。
在管理员PowerShell窗口里可以快速检查Defender运行状态：
Get-MpComputerStatus这个命令会返回实时保护是否开启、病毒库版本、上次扫描时间等信息。我建议每周扫一次快速扫描，同时记得确保Windows更新正常推送病毒库。如果发现实时保护被莫名其妙关闭，那就要小心了，可能是恶意程序做了手脚，也可能是安全软件冲突把Defender接管了，需要立刻排查。
Defender不是万能的。对于无文件攻击、宏病毒或者经过深度混淆的样本，单靠特征库不一定拦得住。所以我的原则是：Defender作为底座，配合上UAC、账户权限、软件来源控制，形成纵深防御，而不是把宝全押在一层上。
2.2 防火墙与端口：别让自己家的门开着都不知道
Windows防火墙默认是开启的，正常情况下会阻止绝大部分入站连接。但很多人为了局域网共享、远程调试、跑一些服务，会手动添加入站规则，或者干脆关闭防火墙，这里面的风险往往被低估。
想看一下本机当前哪些端口在监听，可以在管理员PowerShell里执行：
Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess这个命令会把所有处于监听状态的TCP端口列出来，并附上对应的进程ID。如果你看到一个不认识的进程在监听一个不常用端口，那就值得警惕。拿前面的OwningProcess去查进程名：
Get-Process -Id 1234 | Select-Object ProcessName, Path路径如果落在临时目录、下载目录这些可疑位置，就要立刻断网排查。这套组合拳是我做Windows主机信息收集时最常用的方法，也是排查后门和恶意程序的第一步。
端口不是不能开，而是要问自己：这个端口有必要对外开放吗？比如远程桌面默认端口3389，如果只是在家用，那倒无所谓，但如果这台机器能通过公网访问，那我强烈建议关闭远程桌面功能。很多攻击者会自动扫描公网上的3389端口，然后尝试弱口令爆破。如果确实需要远程管理，宁可走系统自带的安全远程访问方案，也不要简单粗暴地把端口映射出去。记住：每开一个不必要的端口，就是给攻击面多留一扇窗。
2.3 UAC弹窗的真正含义：提权开关不能随便关
UAC（用户账户控制）从Windows Vista开始存在，到现在多年了，依然有很多人第一反应就是把它关掉。我能理解那种每次装软件都弹两次确认窗口的烦躁，但如果我们理解UAC背后的逻辑，就会觉得这个设计其实是Windows安全模型里非常重要的一道闸门。
Windows里进程运行有两种令牌：标准用户令牌和管理员令牌。当你登录的是管理员账户时，默认情况下所有程序都还是以标准权限运行的，只有当你请求需要管理员权限的操作时，系统才会弹出UAC提示，经过确认后提升到管理员令牌。换句话说，UAC把"拥有管理员身份"和"使用管理员权限"这两件事拆开了。
如果你把UAC关掉，那么任何进程在管理员账户下一启动就是管理员权限，浏览器里一个漏洞利用链就直接打通了。这个代价远大于那几次弹窗消耗的时间。正确做法是把UAC保持默认，同时日常使用标准账户登录，这样大部分恶意软件根本拿不到管理员权限，连系统目录都碰不到。我自己在测试一些可疑工具时，都是先用Windows Sandbox跑一遍，再决定是否在真实系统里执行。
3. 动手加固一次系统：从配置到日志审计
3.1 先做一次安全基线检查，摸清系统现状
很多人觉得系统加固就是装个软件、点两下优化，但实际上第一步应该是"摸底"。你连自己系统当前开了什么端口、有哪些用户、装了哪些更新、Defender是否正常都不知道，谈何安全？我之前给几台Windows机器做安全巡检时，第一步永远是收集系统信息。
管理员PowerShell里可以快速拉出一批关键信息：
systeminfo Get-LocalUser Get-LocalGroupMember -Group "Administrators" Get-Service | Where-Object {$_.Status -eq "Running"} Get-MpComputerStatussysteminfo可以看到系统版本、补丁情况、网卡信息，Get-LocalUser查看本地账户列表，排查是否有陌生账户是最基本的账户安全检查。Administrators组成员这个更要重点看，因为多一个管理员就等于多一对可以翻牌的钥匙。如果是域环境，还要关注本地管理员密码是否统一管理，尽量用受保护的管理员方案去限制域内机器的本地管理员权限。
做完这些，你才算对自己管理的Windows主机有了底。
3.2 关闭用不上的服务和远程管理入口
Windows系统默认开启的服务里，有不少在普通场景下根本用不到，但每一个运行中的服务都是潜在的攻击入口。比如Print Spooler服务（打印后台处理程序）在不需要共享打印机的机器上可以直接禁用，这个服务历史上出现过多次严重的远程代码执行漏洞。如果一台机器没有接打印机、也不需要打印，留着它的意义不大。
检查当前运行的服务可以用：
Get-Service | Where-Object {$_.Status -eq "Running"}然后对不熟悉的服务名逐个核对自己的需求。具体禁用建议：
Set-Service -Name Spooler -StartupType Disabled -Status Stopped同样的思路也适用于Windows可选功能。用不到的功能不要开启，比如Hyper-V如果你不用虚拟化，就没必要打开，因为多一个组件就多一分暴露面。
远程管理入口方面，最典型的三个是远程桌面、远程协助和远程服务管理。如果确实需要远程管理，建议把远程桌面用户权限限定到指定账户，并且组策略里设置账户锁定阈值，防止被爆破。但如果你根本不需要远程桌面，建议直接关闭。在"设置 -> 系统 -> 远程桌面"里关掉，或者在PowerShell执行：
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name "fDenyTSConnections" -Value 1服务器系统如Windows Server 2016也一样，装好后第一步应该是在"服务器管理器"里确认角色和服务，不需要的哪怕一个都不要装。
3.3 安全日志与事件ID：让攻击者留下痕迹
很多Windows用户直到出了问题，才想起来看事件查看器，平时根本不知道里面记录了哪些东西。其实Windows安全日志是整个系统安全能力里最被低估的一环。无论是正常登录、失败密码尝试、创建新用户、系统启动重启，都会被记录在安全日志里。
在运行里输入eventvwr.msc打开事件查看器，在"Windows日志 -> 安全"里可以看到大量事件。B站也好、搜索引擎也好，经常有"Windows安全日志怎么看"的问题，但核心其实就是几个事件ID是否出现：
| 事件ID | 含义 | 建议关注原因 |
|---|---|---|
| 4624 | 本地登录或远程登录成功 | 特别是类型3（网络登录）、类型10（远程交互登录）要重点关注 |
| 4625 | 登录失败 | 大量出现说明可能有人在猜密码 |
| 4720 | 创建了新用户 | 攻击者常通过创建账户留后门 |
| 4732 | 用户被添加到安全组 | 如果加入了Administrators组更需要警觉 |
| 1074 | 系统计划性重启或关机 | 有时也对应恶意软件安装后的重启行为 |
单看一次事件没什么意义，异常特征往往是短期内出现大量相同的失败登录、非工作时间的成功登录、不认识的新用户等。为了让日志更完整，建议在组策略中设置审核策略，把"审核登录事件"、"审核账户管理"等关键类别开启，Windows Server默认有一些，但客户端Windows通常需要自己配置。
日志留存周期也要注意。默认安全日志达到一定上限后可能会覆盖，建议把日志大小上限调大，并设置保留策略。如果机子足够重要，可以配置集中日志收集系统，把Windows日志实时送往远端，这样即使本机日志被清理，远端也保留着一份证据。我之前管理的机器里，有一台就是靠日志版发现凌晨三点有来自陌生IP的登录尝试，提前堵住了漏洞。
4. 日常高频操作里那些"看着没事"的坑
4.1 作死三件套：关UAC、开共享、用空密码
这些年处理过不少中招的电脑，回头看几乎都能找到人为原因，最常见的就是三个操作叠加。第一是关UAC，这个前面已经说过了。第二是在Windows公共网络下开启文件和打印机共享，而且共享目录权限给的是Everyone完全控制。这个操作方便是方便，但如果你是公共WiFi环境，别人理论上可以扫描到你的共享目录，甚至直接往里面塞东西。
如果确实要在局域网里共享文件，我建议至少做到三点：把共享权限设置为指定的Windows账户而不是Everyone；把共享目录只读写需要的子目录而不是整个盘；不要用"简单共享"的概念，直接在NTFS权限和共享权限两层都做限制。记住，专用网络（比如家庭可信任网络）和公用网络要分开对待，Windows默认针对公用网络开启防火墙，这就对了，别手动关。
第三是用空密码或者简单密码。Windows确实允许本地账户设置空密码，但默认对空密码的远程调用是受限的，可这并不代表安全。更普遍的问题是密码设置得太简单，比如admin、123456这种，在内网里非常容易被爆破。哪怕只是个人电脑，也不要拿生日、纯数字当密码。Windows还支持设置密码策略，建议通过gpedit.msc或secpol.msc把最小密码长度设为不少于12位。
4.2 下载和执行程序之前，先花十秒看这三个地方
恶意软件最常见的传播方式不是漏洞攻击，而是诱导你下载并运行一个程序。所以我下载软件时有个习惯，不管软件从哪个网站来，都要先过三道工序：
第一，看文件签名。右键exe文件 -> 属性 -> 数字签名，签名者是不是软件官方公司？如果一个声称是某知名软件的文件没有数字签名，基本可以直接删除。第二，核对哈希值。很多官方软件在下载页面会提供SHA-256值，下载后用PowerShell算一下对比：
Get-FileHash .\setup.exe -Algorithm SHA256第三，看来源。搜索引擎结果里排在前面、域名伪装得特别像官网的网站，可能是推广广告，下回来的一般是捆绑全家桶。建议尽量从软件官网或自带的应用商店获取。
PowerShell还有一个执行策略概念，默认情况下禁止运行脚本，也阻止不了exe双击运行，但对脚本类攻击有一点防护。用Set-ExecutionPolicy Restricted或AllSigned可以限制哪些脚本可以执行，能拦掉一部分恶意的.ps1文件。如果要临时跑一个脚本，可以在命令行直接输入脚本内容，或者放到当前用户级别下执行，不必全局放开执行策略。
4.3 Windows Sandbox：试毒的正确姿势
面对来路不明的文件，或者想测试一下某个软件的安装行为，很多人会选择装一个虚拟机，然后快照、装完不爽再回滚。这个思路没问题，但对个人来说稍微有点重，尤其在硬件一般的老机器上开虚拟机还挺吃资源。这时候Windows专业版自带的Windows Sandbox就特别好用。
Windows Sandbox是一个轻量级沙箱环境，每一次启动都是全新状态，关掉之后一切内容全部丢弃。它跟虚拟机最大的区别是：不需要单独下载镜像，直接复用宿主机的Windows，启动也快，干净利落。启用方式是在"启用或关闭Windows功能"里勾选"Windows Sandbox"，重启后用开始菜单搜索"Windows Sandbox"打开。它在隔离环境里运行，你可以在里面放心地双击可疑文件、安装未知软件，观察系统变化，反正关了窗口就没了。
不过要提醒一句：Windows Sandbox不是万无一失的，有些恶意程序可能会检测沙箱环境从而隐藏行为。它适合日常试用不确定的程序，但如果你真的要分析高级恶意样本，还是得靠正规的隔离虚拟机加监控工具，不能把Windows Sandbox当成绝对安全区。
5. 主机安全信息收集：像排查故障一样看Windows
5.1 快速收集系统状态的一串命令
不管你是帮别人修电脑，还是管理几台Windows服务器，掌握一套快速收集系统状态的方法非常有用。与其漫无目的地翻设置界面，不如直接用命令行和PowerShell把关键信息一次性拉出来。
下面是我每次巡检都会跑的几个命令：
# 系统与补丁信息 systeminfo # 系统安装日期、启动时间 Get-CimInstance Win32_OperatingSystem | Select-Object LastBootUpTime, InstallDate # 当前运行的进程 Get-Process | Sort-Object -Property CPU -Descending | Select-Object -First 20 Name, Id, CPU # 正在监听的端口 Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess # 计划任务列表 Get-ScheduledTask | Where-Object {$_.State -ne "Disabled"} # 自启动程序 Get-CimInstance Win32_StartupCommand | Select-Object Name, Command, Location这些数据能让你在几分钟内知道系统处于什么状态：是不是好久没重启、哪个进程在疯狂吃CPU、哪些端口对外开着、有没有可疑的计划任务或自启动项。攻击者经常会用计划任务来做持久化，所以查看计划任务很重要。
5.2 找异常：把进程、网络、启动项串起来看
单独看一个指标其实很难发现异常，真正有效的是把进程、网络连接和启动项串起来一起看。比如我在一次排查中看到某个进程占用了大量内存，然后去查它的网络连接，发现它与一个陌生IP保持长连接，再回头查启动项，发现它注册在HKCU\Software\Microsoft\Windows\CurrentVersion\Run下面。三条线索拼在一起，结论立刻就出来了。
用PowerShell可以结合进程ID去查网络连接：
Get-NetTCPConnection -State Established | ForEach-Object { $proc = Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue [PSCustomObject]@{ LocalAddress = $_.LocalAddress LocalPort = $_.LocalPort RemoteAddress = $_.RemoteAddress RemotePort = $_.RemotePort ProcessName = $proc.ProcessName ProcessPath = $proc.Path } } | Format-Table -AutoSize如果RemoteAddress指向的是公网IP，而进程路径又在小目录下，那就要立刻警惕。对于Windows系统来说，进程注入、DLL劫持这类攻击很多时候不会直接创建新进程，而是藏在已有进程里。所以看到类似svchost.exe加载了不常用DLL的报错，或者某些系统进程的路径不在C:\Windows\System32下，都要打一个问号。
5.3 日常安全巡检的节奏建议
主机安全不是一次性操作，而是一个持续的过程。我的习惯是每周花十几分钟做一轮基础巡检，节奏如下：
- 查看Windows安全日志里本周的4625失败登录数量，如果莫名暴涨，立刻排查来源IP和账户。
- 运行一次Get-NetTCPConnection检查监听端口，和上周的端口列表做对比，多出来的端口要能说清是什么程序。
- 查看启动项和计划任务，确认没有新增陌生项。
- 确认Defender病毒库是当天或最近两天更新。
- 看一下系统有没有待重启的更新补丁，尽快安排重启。
如果是Windows Server，建议用系统自带的评估工具或安全基线模板定期做评估。Microsoft有免费的Security Compliance Toolkit，里面包含基于组策略的安全基线配置，可以直接导入到AD域中统一管理，也可以本地导入到单机。这个工具对Server系统很有参考价值，能帮你把很多容易忽略的配置项快速对齐。
最后补一段我个人的体会
说了这么多，其实Windows系统安全归结起来只有一句话：时刻知道自己的系统上正在发生什么。你不需要成为安全专家，但至少要对账户权限、开放端口、运行进程、日志记录这些基础操作有认知，知道什么该开、什么该关、什么该看。我之前给一台Windows Server 2016做加固，花了一个下午把默认多余的共享关闭、远程桌面限制到指定IP、开启日志审核、禁用Print Spooler，之后几个月再去看，安全日志里干干净净，系统也很稳定。这种"底数清楚、边界明确、记录完整"的状态，就是Windows系统基础安全和操作认知最好的实践结果。无论你用Windows用来做什么，都值得从现在开始把这套认知建立起来。
