说实话，我在帮朋友和企业排查 Windows 机器问题时，最怕看到的场景就是：系统装完直接开机连上网络，远程桌面开着、Administrator 密码还是 Admin@123、补丁几个月没更新、默认共享一个不少。这不是个案，而是相当普遍的“裸奔”状态。Windows 基本的安全加固策略，说白了就是把这一堆“出厂默认”的裸奔项，一步步收敛成“够用但不好惹”的状态。
这套策略不是给安全专家看的，而是给所有正在用 Windows 做开发机、办公机、小服务器，或者帮公司管几台 Windows Server 的普通人准备的。它会告诉你哪些配置最容易出问题、哪些开关必须关、哪些权限必须收，以及怎么在“不影响正常使用”和“尽量降低风险”之间找一个平衡点。适合谁？运维新手、兼职管服务器的开发者、以及任何一台 Windows 机器刚装完系统、想要心里踏实一点的人。内容全部基于我已经落地过无数次的通用加固流程，没有什么玄学，都是能直接照着操作的东西。
1. 加固前先想清楚：这套策略解决什么问题
1.1 为什么“装完就用”会出问题
Windows 默认配置的核心设计目标是“开箱即用、什么都能干”，安全只是排在可用性之后的第二优先级。一台默认安装的 Windows 机器，默认开放了一堆不必要的端口和服务，默认启用了人人都在猜的 Administrator 账号，默认共享了 C$、ADMIN$ 这类管理共享，甚至默认允许空密码账户只允许控制台登录的安全选项都未必配置到位。攻击者扫描全网时，找的就是这种系统。
很多人对“加固”有误解，以为要装一堆商业安全软件才叫加固。其实真正的安全基线长这样：账号口令管住了、不必要的服务和端口关了、防火墙规则收敛了、关键操作有日志了、补丁能及时打上了。这五件事做到位，绝大多数日常扫描和爆破攻击根本碰不到你的机器。我见过不少被勒索病毒、挖矿木马搞瘫的机器，事后排查发现根本没做任何主机层面的收敛，问题是完全可以避免的。
1.2 从哪里找加固基线
市面上现成的基线方案不少，最常用的是两类。一类是国际上的 CIS Benchmarks，专门针对 Windows 10、Windows Server 2016/2019 等系统逐条列出安全配置项，写得非常详细，但翻译和落地有点费劲，很多条目对你的场景可能过度。另一类是国内的等级保护合规要求，里面主机安全部分的条款其实也是围绕账号口令、访问控制、安全审计、入侵防范、恶意代码防范这几块来的。
我的建议很直接：不要贪多求全，先做“基本盘”，也就是下面这几个方向：
- 账号和口令：清理默认账号、设置强密码策略、开启账户锁定。
- 访问控制：UAC 保持默认或更高，平时不跑管理员权限。
- 攻击面收敛：关闭不需要的服务、停用 SMB1、禁用默认共享。
- 网络安全：防火墙默认拒绝入站，只放行必要端口，并限制来源 IP。
- 安全审计：打开关键审核策略，保证安全日志能记录登录和敏感操作。
- 补丁管理：开启自动更新，补齐系统级漏洞。
这几项是“基本加固”的核心骨架。你把它们做完，这台机器就不是那种能被顺手牵羊的目标了。
1.3 动手前必须完成的准备
在我自己的加固流程里，最忌讳的就是拿到一台生产机器直接改配置，改完发现某个服务被禁用导致业务起不来，又找不到原因。所以我每次动手前，一定会做三件事：
第一，给系统做快照或者完整备份。虚拟机很直观，直接打快照；物理机就用系统自带的“创建系统映像”备份到外接硬盘。目的是万一配置改坏了，能一键回到改之前的状态。
第二，用清单记录当前状态。我习惯先用命令收集一轮信息，存成文本备份，之后对比才心里有数。收集命令可以这样：
# 查看当前用户和本地组 Get-LocalUser | Format-Table Name, Enabled, PasswordRequired Get-LocalGroup | Format-Table Name # 查看开机自启动服务和当前监听端口 Get-Service | Where-Object {$_.StartType -eq 'Automatic'} | Format-Table Name, Status netstat -ano | findstr LISTENING # 查看当前防火墙状态 Get-NetFirewallProfile | Format-Table Name, Enabled第三，向这台机器的使用者问清楚业务依赖。比如这台机器是不是要给局域网共享文件？打印机是不是挂在上面？远程桌面用的是哪个端口？这些信息决定了你后面哪些服务能停、哪些端口能封。我自己踩过最深的坑就是把一台打印服务器的 Print Spooler 服务给禁用了，结果全办公室打印中断，被骂了一下午。
注意：加固不是“越严越好”，而是在满足业务的前提下把攻击面压到最小。一台只跑数据库的内部服务器，和一台要对外提供网站服务的服务器，加固策略肯定不一样。先搞清楚用途，再动手。
2. 账号和口令：最容易被忽视的第一道门
2.1 先清理默认账号和本地用户
Windows 装完默认会有一个 Administrator 账号，这个名字是所有攻击者都会猜的，爆破用户名这一步都省了。无论你之前有没有用过它，我都建议按下面的逻辑处理：
- 把 Administrator 账号改名，绕开“内置管理员”这个众所周知的登录名。
- 如果机器平时根本不用这个账号，直接禁用最省心。
- 给这个账号设置一个至少 16 位的高强度密码，即使它被禁用，也要防止别人用特殊手段启用后继续攻。
- Guest 账号，永远是禁用的，不管什么情况我都不会开。如果有人告诉你需要启用 Guest 来共享文件，那一定是权限设计走偏了，正确的做法是建一个普通用户放到对应组里。
实际操作时，用 PowerShell 几秒钟就能完成：
# 禁用 Guest，永久：没有禁用状态则直接设置 Disable-LocalUser -Name "Guest" # 给 Administrator 改名 Rename-LocalUser -Name "Administrator" -NewName "SysAdmin-2025" # 给改完名的账号设置强密码 Set-LocalUser -Name "SysAdmin-2025" -Password (Read-Host "输入新密码" -AsSecureString)除了这两个默认账号，还要检查一下机器上有没有多余的本地用户。很多开发机器上会留着上次某个同事创建的账号，或者测试时候建的 test 之类的用户。我一般会逐个人核对：这个人还需要登录吗？如果不需要，直接删除；如果留着，也要保证密码是键盘上乱敲出来的复杂口令。
2.2 密码策略和锁定策略怎么配
密码策略是最被低估的一个安全项。大家总觉得”我的密码没人会猜到“，但实际上针对 Windows 的攻击方式里，密码爆破和横向渗透占了相当大的比例。Windows 提供了一个安全策略控制台，通过secpol.msc可以打开，路径是“账户策略 -> 密码策略”。
我落地时的推荐配置是这样：
| 策略项 | 推荐值 | 说明 |
|---|---|---|
| 密码必须符合复杂性要求 | 已启用 | 强制大小写字母、数字、特殊字符组合 |
| 密码最小长度 | 14 个字符 | 低于这个长度爆破成本太低 |
| 密码最长使用期限 | 90 天 | 到期强制更换 |
| 密码最短使用期限 | 1 天 | 防止用户连续改回旧密码 |
| 强制密码历史 | 5 个记住的密码 | 防旧密码复用 |
| 用可还原的加密存储密码 | 已禁用 | 这项开着等于明文存储 |
很多人配置完密码策略，发现自己新设置的密码还是可以很短或者非常简单，其实是因为“密码必须符合复杂性要求”这一项没有启用，只改最小长度没用。这俩是两个独立策略，必须同时生效。
账户锁定策略也一样重要。它解决的问题很直接：攻击者在远程桌面或 SSH 端口上尝试几万个密码，如果系统有锁定机制，试不了几次就把人挡在门外了。推荐配置如下：
| 策略项 | 推荐值 |
|---|---|
| 账户锁定阈值 | 5 次无效登录 |
| 账户锁定时间 | 15 分钟 |
| 重置账户锁定计数器 | 15 分钟 |
这里有个小技巧：对于重要的管理员账号，阈值建议更严，比如失败 3 次直接锁定 30 分钟以上。
2.3 UAC：把管理员权限管起来
用户账户控制 UAC 是 Windows Vista 以来最重要的权限管理机制，它保证了即使用户登录的是管理员账号，所有需要提权的操作都会弹出确认提示。攻击者拿到你的会话后，也不能悄无声息地以管理员身份干坏事。很多“优化教程”教你把 UAC 拉到最低甚至关掉，我非常不建议这么做，除非这台机器只是跑个无关痛痒的娱乐机。
正确的设置方式是通过“控制面板 -> 用户账户 -> 更改用户账户控制设置”，把滑块拉到第二个档位“仅当程序尝试更改我的计算机时通知我”。这个档位既不会频繁打扰你，又能保住关键的前台提权确认。
再稍微进阶一点，尽量用普通权限跑日常工作。我自己的做法是创建了一个标准用户账号用于日常办公，管理员账号只留来做系统配置和安装软件，浏览器、邮件、聊天工具全用标准账号打开。这样万一中了钓鱼邮件或者网页挂马，攻击者拿到的是标准用户权限，很多破坏性动作都做不了。
3. 减少攻击面：服务和端口的“断舍离”
3.1 哪些服务该停、哪些端口该封
Windows 默认启动的服务里，有一大批是绝大多数场景根本不用的，但它们每开一个，就给系统多留了一个入口。我对每一台要做加固的机器，都会按照“是否能明确说出用途 + 是否必须开机运行”这个标准过一遍服务列表。我的原则是：说不出来它是干嘛的、或者明明用不到的服务，一律手动启动或禁用。
下面这张表是我在普通办公机、开发机和多数内部服务器上必做的裁剪项：
| 服务名称 | 显示名 | 是否建议禁用 | 说明 |
|---|---|---|---|
| Print Spooler | 打印后台处理程序 | 无打印机需求时禁用 | 近年多个漏洞因此服务被利用 |
| Remote Registry | 远程注册表 | 强烈建议禁用 | 允许远程修改注册表 |
| Fax | 传真服务 | 直接禁用 | 现在谁还发传真 |
| SSDP Discovery | SSDP 发现 | 不用的直接禁用 | 常见内网探测入口 |
| UPnP Device Host | UPnP 设备主机 | 不用的直接禁用 | 存在攻击面风险 |
| Windows Remote Management (WS-Management) | WinRM | 只有集中管理才开 | 否则就是暴露管理端口 |
| Xbox Live 相关服务 | Xbox Live 等服务 | 办公机/服务器禁用 | 很少有办公场景需要 |
操作方式很简单：按 Win 键输入services.msc，找到目标服务，右键打开“属性”，启动类型改成“禁用”，再停止服务。如果用命令行，PowerShell 可以这样写：
# 一个循环禁用多个服务 $services = @( 'RemoteRegistry', 'Fax', 'ssdpsrv', 'upnphost', 'XboxNetApiSvc' ) foreach ($svc in $services) { Set-Service -Name $svc -StartupType Disabled -ErrorAction SilentlyContinue Stop-Service -Name $svc -Force -ErrorAction SilentlyContinue }注意，Print Spooler 的判断要慎重。如果你确定这台机器只是办公电脑、不连接任何打印机，那直接禁用没问题。但产线、财务这类依赖打印的机器，千万慎重，停掉就是事故。
3.2 SMB 与默认共享的坑
SMB 协议可以说是 Windows 内网服务的“劳模”，但也是历史上漏洞重灾区。Windows 默认还会开启一些隐藏管理共享，比如 C$、D$、ADMIN$，以及每个用户主目录的 IPC$ 共享。这些共享在局域网内如果开启了，攻击者拿到一个账号后，可以直接通过类似\\192.168.1.10\C$的方式挂载整个系统盘，危害极大。
SMB1 协议在老系统上是默认启用的，但它的安全性已经跟不上时代，微软自己也推荐把它停掉。关闭 SMB1 的操作方法：
# 通过 PowerShell 关闭 SMB1 协议支持 Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol如果因为内网有老旧设备（比如老打印机、老 NAS）必须保留 SMB1，那至少要保证：不暴露到公网、防火墙只允许特定内网 IP 访问 445 端口、并使用强密码。一定要清醒一点，SMB1 本身就是一个旧时代的包袱，能扔就扔。
默认共享的部分，可以通过修改注册表来关闭：
# 关闭管理共享 New-Item -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" -Force Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" -Name "AutoShareWks" -Value 0 -Type DWord Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" -Name "AutoShareServer" -Value 0 -Type DWord # 重启 Server 服务后生效 Restart-Service -Name LanmanServer -Force改完之后，你再看\\本机IP\C$这种路径，就会提示找不到网络路径。如果你本身就不需要文件共享，干脆把 Server 服务本身停掉也行。
3.3 用防火墙做最后一道拦截
Windows 防火墙默认策略是“入站阻止、出站放行”，这是合理的。但很多人装完软件后，不小心弹一个防火墙允许窗口就点“允许访问”，结果入站规则越攒越多，最后跟筛子一样。我的建议是，定期到wf.msc里检查一遍入站规则，把不需要的规则全部禁用，只保留真正需要对外提供服务的条目。
我需要开放 3389 远程桌面、443 做 Web 服务时，基本都会顺手加上一条安全限制：只允许指定来源 IP 访问。PowerShell 配置示例：
# 只允许管理网段 192.168.1.0/24 访问远程桌面 New-NetFirewallRule -DisplayName "RDP-Allow-Management" ` -Direction Inbound -Action Allow ` -Protocol TCP -LocalPort 3389 ` -RemoteAddress 192.168.1.0/24如果远程办公需要从家访问，也可以把家宽出口的公网 IP 加进白名单，而不是对全网开放 3389。全网开放 3389 就等于在门上贴了一张“欢迎来爆破”的告示。
端口封禁上，重点守好几个高危端口：135（RPC）、139（NetBIOS）、445（SMB）、3389（RDP）。特别是 445，如果这台机器不参与局域网文件共享，那么在入站方向直接把它封掉，能挡掉一大票内网横向传播的蠕虫和勒索病毒。如果你把防火墙规则都设置好了，最后跑一个Get-NetFirewallRule -Direction Inbound | Where-Object {$_.Enabled -eq 'True'}，看看入站规则数量，通常越少越健康。
4. 安全策略与审计：让 Windows 学会“记账”
4.1 审核策略配置与事件 ID
很多人在排查安全问题时最先想到的，就是翻 Windows 安全日志。但默认情况下，Windows 的审核策略是相对保守的，很多关键操作不会记录下来。等出了问题再来翻日志，发现干干净净，那就晚了。所以我在加固流程里一定会把关键审核项打开，让系统能记录“谁在什么时候干了什么”。
配置入口：打开secpol.msc，在“安全设置 -> 本地策略 -> 审核策略”下设置：
| 审核策略 | 成功/失败 | 说明 |
|---|---|---|
| 审核登录事件 | 成功 + 失败 | 记录所有本地/远程登录 |
| 审核账户登录事件 | 成功 + 失败 | 记录凭据验证过程 |
| 审核账户管理 | 成功 + 失败 | 账号创建/删除/密码修改 |
| 审核对象访问 | 失败 | 记录非法访问受保护对象 |
| 审核系统事件 | 成功 + 失败 | 系统关机、重启等 |
| 审核进程创建 | 成功 | 帮助溯源恶意进程 |
| 审核特权使用 | 成功 + 失败 | 管理员特权操作 |
配置完之后，去“事件查看器 -> Windows 日志 -> 安全”就能看到日志了。Windows 有自己一套常用事件 ID，你一定要记住几个：
- 4624：登录成功，能区分本地登录和远程登录
- 4625：登录失败，攻击者爆破时这里会刷屏
- 4740：账户被锁定的记录
- 4720：创建了新用户，很多攻击者会靠这个建后门账号
- 4732：用户被添加到安全组
- 1102：安全审核日志被清空，这是很危险的操作信号
我建议养成一个习惯：每过几天，就翻一下安全日志里有没有大量的 4625 登录失败事件，以及 4720 这类敏感事件。如果看到成片 4625，说明正有人针对这台机器做口令爆破，需要立刻收紧防火墙或者更换对外端口。
4.2 安全日志的留存与保护
光打开审计还不够，日志得有地方放、放得够久，否则出了事再想找记录，多半是早就被覆盖了。Windows 日志默认的文件大小只有 20MB 左右，一会儿就会被刷掉。我每次配置新机器，都会把日志一次性调到至少 8192MB，并采用“按需覆盖事件”模式，这样旧的日志不会因为空间不足立刻被抹掉。
具体操作：事件查看器里右键“安全”日志，选择“属性”，填入日志最大大小 8192MB，事件覆盖策略选“按需覆盖事件（旧事件优先）”。如果嫌 GUI 操作慢，可以用命令行：
wevtutil sl Security /ms:8589934592 /rt:true /ab:true这条命令的意思是把 Security 日志最大容量设为 8GB（单位是字节），并启用“按需覆盖”和自动备份。
另外建议设置“审核: 对全局系统对象的访问”时，同时启用“审核: 强制审核策略子类别设置”，防止攻击者通过修改审核策略掩盖痕迹。高级审核策略的界面和旧版的本地策略是两套，平时不要混着用，很容易被覆盖。
4.3 日志集中管理的低成本方案
单机日志始终有风险，如果攻击者拿到管理员权限，第一件事就是把安全日志清空。所以只要条件允许，我都会把关键机器的日志转发到一台独立的日志服务器或集中存储上。
低成本方案有很多：可以在 Windows 上设置 WinRM 转发到另一台 Windows Server 的 Windows Event Collector；也可以用开源方案，比如装个 syslog 代理把 Windows 日志转发到 Linux 服务器上的 rsyslog。对于小规模环境，最简单的还是用脚本每天把事件日志导出成 evtx 文件存到另一台机器上：
$exportPath = "\\log-server\share\Security-$(Get-Date -Format 'yyyyMMdd-HHmmss').evtx" wevtutil export-log Security $exportPath不需要买什么商业方案，先把日志留到另一台机器上，这个动作本身就能避免好多被动局面。
5. 补丁、基线核查和日常运维
5.1 补丁管理：别让系统活在旧时代
补丁管理听起来没有技术含量，但它是整个加固里性价比最高的一件事。很多攻击根本用不上什么高深漏洞，只要系统没打补丁，一个已公开的半成品攻击脚本就能打穿。Windows 的更新补丁，每月第二个星期二发布，我常用的做法是：
- 办公机和开发机：开启自动更新，设置固定时间安装，比如每周日凌晨自动安装并重启。
- 服务器：采用“下载但不自动安装”模式，先在测试环境验证，确认无兼容问题后再手动安排窗口安装。
- 老旧系统：如果还在跑生命周期外的系统（比如 Windows Server 2016 这类已经过了主流支持期的版本），建议关注扩展安全更新计划，尽量补齐关键安全补丁，或尽快规划迁移到受支持的版本。
有人觉得“装了补丁重启一次太麻烦了”，说实话我也嫌麻烦，但每次看到那种补丁滞后大半年的机器被勒索病毒扫穿，我就觉得当初那点麻烦根本不算什么。
手动检查补丁状态的命令很简单：
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 20如果这一条命令输出的都是几个月前的补丁，那就要抓紧排期了。
5.2 定期核查：加固不是一锤子买卖
基本加固做完之后，还有一件特别容易被忽略的事：定期核验。配置会被软件装更新覆盖，服务可能会被程序重新启动，防火墙规则可能会被人手动添加，账号可能被临时创建的测试用户撑大，这些都是常态。所以我的习惯是每季度做一次“基线扫描”，看几项关键配置是否仍然符合之前定的策略：
- 密码策略是否还是强密码要求。
- 是否有新增的本地用户或管理员组成员。
- 是否有不必要的服务重新变回自动启动。
- 防火墙入站规则数量是否异常膨胀。
- 安全日志大小和覆盖策略是否被改动过。
- 最近 30 天的 4625 登录失败和 4720 账户创建事件是否异常。
这些逐项比对如果靠人工容易漏，可以自己写一个小脚本做快照对比，也可以找现成的基线扫描工具检查，比如微软的 Security Compliance Toolkit，里面带了现成的 GPO 模板，可以一键生成报告和系统对比。我自己的经验是不要完全依赖工具，工具做好了之后，还需要人工结合业务重新梳理一遍，才能保证“安全”和“可用”之间的平衡。
其实到这里，整套 Windows 基本加固策略已经完整了。它不会让系统变成铜墙铁壁，但足够挡住绝大多数随机的、低成本的攻击尝试。也就是说，你已经比全网大多数 Windows 机器安全太多了。
6. 常见问题与排查技巧实录
6.1 排查思路：遇到问题先别慌
加固过程中遇到“配置改完系统连不上”“某项功能用不了”之类的情况，几乎人人都会碰到。我第一年的经验总结下来，排障顺序基本是固定的：
第一步，确认是不是账号问题。远程连不上先看账号是否被锁定、是否被禁用、是否被踢出了 Remote Desktop Users 组。
第二步，确认是不是服务问题。看最近被改成“禁用”的服务里，有没有业务必须依赖的。
第三步，确认是不是防火墙问题。看入站规则是否误伤了业务端口，特别是新建规则后有没有把系统自带允许规则排到更低位。
第四步，翻日志。安全日志和应用程序日志会给出最直接的原因，Windows 的事件查看器不是摆设。
这四步走完，绝大部分问题都能定位到根因。比四处乱试有效得多。
6.2 常见问题速查表
| 问题现象 | 常见原因 | 处理办法 |
|---|---|---|
| 加固后远程桌面连不上 | 防火墙规则未放行 3389，或 Remote Desktop Services 服务被误禁用 | 检查wf.msc入站规则，确认 3389 有白名单规则；到services.msc把服务改回自动启动 |
| 密码策略改完不生效 | 只改了最长使用期限或最小长度，没启用“密码必须符合复杂性要求” | 打开secpol.msc，启用“密码必须符合复杂性要求”，再执行gpupdate /force刷新 |
| 系统盘盘符 C$ 共享又冒出来了 | 注册表值没写对，或 Server 服务重启后重新读取了默认配置 | 检查HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters下值是否存在且为 0，如果需要共享业务，就改成不共享但保留服务运行 |
| 打印机突然打不了 | Print Spooler 被禁用 | 确认业务是否需要打印机，若需要则恢复服务自动启动状态，并检查是不是只禁用服务没重启 |
| 大量 4625 登录失败事件 | 有外部 IP 正在扫描爆破 | 立即在防火墙封禁该 IP 或对应端口；检查账号是否被锁定；考虑关闭 3389 的互联网暴露 |
| 安全日志不记录新事件 | 上层“审核: 强制审核策略子类别设置”覆盖了本地策略，或日志权限异常 | 打开secpol.msc，检查高级审核策略和本地策略是否冲突，统一成一套配置 |
| 更新安装后机器反复重启 | 存在兼容性问题 | 检查应用程序日志中更新的错误来源，回滚最近更新后，分批次安装补丁 |
6.3 一些独家的实践经验
最后分享几个我踩过多次坑之后总结下来的实际经验。
第一个经验：加固时不要一次改一堆，一次只改一类。我见过有人一个下午把密码策略、服务、防火墙全部改完，然后系统彻底连不上了，排查半天都不知道是哪个配置引起的。正确做法是改一类、验证一次、记录一次，这样万一有问题，回滚范围非常小。
第二个经验：配置改完一定要重启验证。有些服务禁用后当时没有异常，但重启后才彻底“生效”，然后才发现这台机器还依赖着它。所以在生产机器上操作完，宁可挑个业务低峰期主动重启一次，验证是否能正常起来，也强过半夜被监控告警吵醒。
第三个经验：给每台机器写一份简单的“加固说明文档”。里面记录机器用途、启用了哪些服务、关闭了哪些服务、防火墙开放了哪些端口、账号权限如何分配、最近一次补丁更新时间。不需要多正式，一个 Text 文件就够。以后任何一次排障或者交接，这份文档都能救你一命。
第四个经验：安全日志的查看频率要跟机器的风险等级挂钩。暴露在公网的机器，我建议每天扫一遍安全日志；内部开发机每周看一次就够；纯离线机器，维护时顺带看一下即可。
写到这里，整份 Windows 基本安全加固策略的内容其实已经完整地落到了每个具体操作上。我最深的体会是，安全加固没有终点，它不是一个周末做完就可以永远不管的项目，而是一种需要持续维护的习惯。你不需要把每一台机器都做成堡垒，只要把基本盘巩固住，把关键日志和补丁管住，就已经比绝大多数裸奔机器强太多了。以后不管系统怎么更新换代，这个思路和这些操作习惯，都是能长期用下去的。
