简介：这份资源面向Windows 10 1803版本的安全基线检查与合规配置场景，适合系统管理员、安全运维人员及等保测评从业者使用，用于快速落地终端安全策略、排查配置偏差。压缩包共72个文件，约1.06MB，以xml策略模板、htm组策略报告、cmtx与pol策略文件、inf安装信息、cmd部署脚本、admx/adml管理模板、xlsx对比表格、mof与ps1脚本等为主，覆盖本地脚本安装、域加入与非域加入两种部署路径，并附带GPO备份、WMI筛选器及Delta RS3到RS4基线差异表。资源内含Windows 10 RS4、Internet Explorer 11、BitLocker、Credential Guard、Defender Antivirus及域安全等多项组策略报告，便于逐项核对基线要求。目前已有1616人学习下载，可帮助读者获取完整基线规则说明、策略模板与部署脚本，快速完成合规检查与加固落地。
1. 为什么 1803 的安全基线值得单独拎出来做
很多人第一次接触 Windows 10 安全基线，是在等保测评或者甲方安全加固清单里看到那一长串"账户策略、审核策略、安全选项"的表格。Windows 10 1803 这个版本比较特殊——它正好卡在微软安全基线工具链从本地 GPO 向云侧安全基线迁移的过渡期，很多企业内网里跑的还是 1803 的 LTSC 或者专业版镜像，而微软官方提供的 Security Compliance Toolkit 里，1803 的基线包和后续 1809、1903 在项目结构上并不完全一致。这就导致一个很现实的问题：网上搜到的加固脚本，大部分是照着 1809 以后写的，直接套到 1803 上会出现"策略项找不到"或者"注册表路径对不上"的翻车现场。
这份 Windows 10 安全基线（1803）资源，本质上是一套可落地的加固配置集合，覆盖账户与口令策略、本地审核策略、用户权限分配、安全选项、Windows Defender 与防火墙配置这几大块。它解决的不是"要不要做基线"这种问题，而是"1803 这个版本到底该改哪些项、改成什么值、怎么批量下发、改完怎么验证"这一整套执行链路。适合两类人：一类是手里管着几十上百台 1803 终端、需要一次性把加固做扎实的运维；另一类是要过等保测评、需要拿出可核查配置证据的安全工程师。如果你只是单机想调几个设置，这份东西也能用，但它的价值在批量场景下才真正体现出来。
2. 基线项拆解：1803 到底要改哪些东西
2.1 账户与口令策略的取值逻辑
账户策略是基线里最容易被"抄错"的部分。很多加固清单只写"密码长度最小值 8 位"，但没告诉你 1803 的默认域策略和本地策略在优先级上是有区别的——本地策略在非域环境下直接生效，域环境下会被域策略覆盖。所以做基线之前，先确认终端是不是在域里，这决定了你改的是本地安全策略还是要在域控上统一推。
口令相关的核心项包括：密码长度最小值、密码最长使用期限、密码历史记录、账户锁定阈值和锁定持续时间。1803 的默认值偏宽松，密码长度是 0（即不限制），锁定阈值也是 0（即不锁定）。加固时一般把密码长度设到 8 或以上，最长使用期限 90 天，历史记录记住 24 个，锁定阈值设 5 次、锁定时间 15 分钟、重置计数器 15 分钟。这几个值不是拍脑袋定的，锁定阈值 5 次是等保二级的常见要求，15 分钟的重置窗口是为了避免用户被锁死后等太久。
用secedit导出当前配置是第一步，这样你有个原始快照，改坏了能回滚：
:: 导出当前本地安全策略到 inf 文件 secedit /export /cfg C:\baseline\current_secpol.inf /areas SECURITYPOLICY :: 查看导出结果里的密码策略段 type C:\baseline\current_secpol.inf | findstr /i "MinimumPasswordLength LockoutBadCount"/areas SECURITYPOLICY限定只导出安全策略部分，不导出审核策略，这样文件更干净。导出后重点看[System Access]段，里面就是账户策略的实际生效值。如果你发现导出的值和你在图形界面里看到的不一致，八成是域策略在起作用，这时候改本地是没用的。
2.2 审核策略与用户权限分配
审核策略决定了系统记录哪些安全事件。1803 默认只开了很少的审核项，等保要求里"安全审计"这一条基本都过不了。需要打开的是：审核账户登录事件（成功和失败）、审核账户管理（成功）、审核登录事件（成功和失败）、审核对象访问（失败）、审核策略更改（成功）、审核特权使用（失败）、审核系统事件（成功）。这里有个坑：审核对象访问如果开"成功"，日志量会爆炸，一天几个 G 很正常，所以一般只开"失败"。
用户权限分配这块，重点是收权。默认情况下"从网络访问此计算机"包含了 Users 组，这意味着任何普通账户都能通过网络访问这台机器。加固时要把 Users 组从这一项里移除，只保留 Administrators 和必要的服务账户。"允许本地登录"也要检查，Guest 账户必须禁用并且从所有权限项里剔除。
用auditpol命令可以精确控制审核项，比图形界面可靠：
:: 开启登录事件的成败审核 auditpol /set /subcategory:"Logon" /success:enable /failure:enable :: 开启账户管理的成功审核 auditpol /set /subcategory:"User Account Management" /success:enable :: 查看当前审核策略状态 auditpol /get /category:*/subcategory后面跟的是审核子类别的英文名，1803 上这些名称和中文系统里的显示名不完全对应，所以用英文名最稳。/get /category:*会列出所有类别的当前状态，改完之后跑一遍确认没有漏项。注意auditpol改的是高级审核策略，和secedit里的传统审核策略是两套机制，1803 上默认走的是高级审核，所以优先用auditpol。
2.3 安全选项里的注册表对应关系
安全选项是基线里条目最多的一块，图形界面里几十个下拉框，每个背后都对应一个注册表键值。做批量下发的时候，直接改注册表比一个个点界面快得多，但前提是你得知道每个选项对应的路径。常见的几个：
| 安全选项名称 | 注册表路径 | 加固建议值 |
|---|---|---|
| 交互式登录: 不显示上次登录的用户名 | HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DontDisplayLastUserName | 1 |
| 交互式登录: 计算机账户锁定阈值 | HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\InactivityTimeoutSecs | 900 |
| Microsoft 网络客户端: 数字签名的通信 | HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters\RequireSecuritySignature | 1 |
| 网络访问: 不允许匿名访问 SAM 账户 | HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymousSAM | 1 |
| 关机: 允许系统在未登录的情况下关闭 | HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ShutdownWithoutLogon | 0 |
这些注册表项改完之后，有些需要重启或者gpupdate /force才生效。InactivityTimeoutSecs这个项在 1803 上有个已知问题：如果设了值但屏幕保护程序没开，锁屏不会触发，所以还得配合屏保策略一起做。
:: 批量写入安全选项注册表值 reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v DontDisplayLastUserName /t REG_DWORD /d 1 /f reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v RestrictAnonymousSAM /t REG_DWORD /d 1 /f :: 强制刷新组策略使部分项生效 gpupdate /force/f是不提示直接覆盖，批量脚本里必须加，否则会卡在确认提示上。reg add写完之后建议用reg query回读一遍确认值写进去了，因为有些项会被组策略在下次刷新时覆盖回去，回读能帮你发现这种冲突。
3. 批量下发：用 GPO 和脚本把基线推下去
3.1 本地 GPO 与域 GPO 的选择
单机或者工作组环境，直接用secedit导入配置模板是最快的。域环境则应该走域 GPO，因为本地策略在域环境下会被域策略覆盖，你在一百台机器上手动改本地策略，域控一推全白干。判断方法很简单：gpresult /r看当前生效的是哪些 GPO，如果列表里有域级别的策略，那就老老实实去域控上做。
域 GPO 的做法是先在域控上创建一个新的 GPO，然后逐项配置计算机配置下的 Windows 设置 → 安全设置。这个过程图形界面操作很繁琐，更高效的方式是用微软的 Security Compliance Toolkit 里的 GPO 备份功能，把配置好的基线导出成 GPO 备份包，再导入到域控。1803 的基线包在微软下载中心有独立版本，注意别下成 1809 的，项目结构不一样。
工作组环境用secedit导入：
:: 基于导出的当前配置修改后重新导入 secedit /configure /db C:\baseline\new_secpol.sdb /cfg C:\baseline\new_secpol.inf /areas SECURITYPOLICY /overwrite :: 导入后刷新策略 gpupdate /force/db指定的是安全数据库文件，如果不存在会自动创建。/overwrite表示覆盖现有数据库里的对应区域，不加的话可能会报冲突。导入完成后一定要用secedit /export再导出一遍，和你的目标配置做 diff，确认每一项都写进去了。
3.2 用 PowerShell 做批量远程下发
域内批量下发最顺手的是 PowerShell 远程。前提是目标机器开了 WinRM，1803 默认是开的，但防火墙规则可能没放行。先在一台机器上测通，再批量推。
# 定义目标机器列表 $computers = Get-Content "C:\baseline\hosts.txt" # 远程执行 secedit 导入 Invoke-Command -ComputerName $computers -ScriptBlock { # 先把配置文件复制到目标机 $infPath = "C:\baseline\new_secpol.inf" secedit /configure /db C:\baseline\new_secpol.sdb /cfg $infPath /areas SECURITYPOLICY /overwrite gpupdate /force # 回读确认 secedit /export /cfg C:\baseline\verify_secpol.inf /areas SECURITYPOLICY } -ThrottleLimit 10-ThrottleLimit 10控制并发数，别设太高，否则目标机的 CPU 和磁盘会被secedit拖满。Invoke-Command要求目标机 WinRM 可达，如果报"无法连接到远程服务器"，先在目标机上跑Enable-PSRemoting -Force。回读的verify_secpol.inf可以收集回来统一比对，这样你能知道哪几台没改成功。
3.3 验证与差异比对
改完不验证等于没改。验证分两层：一层是配置值是否写入，另一层是实际行为是否符合预期。配置值用secedit /export导出后和基线模板做文本比对就行。实际行为验证要麻烦一些，比如账户锁定策略，你得真的用错误密码试几次看会不会锁；审核策略得触发一个事件看日志里有没有记录。
# 比对导出配置与基线模板的差异 $baseline = Get-Content "C:\baseline\baseline_template.inf" $current = Get-Content "C:\baseline\verify_secpol.inf" Compare-Object $baseline $current | Where-Object { $_.SideIndicator -eq "<=" } | Format-TableCompare-Object的<=表示只在基线模板里存在、当前配置里没有的项，这些就是没改成功的。反过来=>是当前配置里多出来的项，可能是系统默认值或者被其他策略覆盖的。这个比对脚本我一般会跑两遍，第一遍改完立刻跑，第二遍隔一天再跑，因为有些策略项会被系统在夜间维护任务里重置。
4. 避坑与排查：那些让你白干一晚上的问题
4.1 策略改了但 gpupdate 后不生效
现象：secedit导入成功，gpupdate /force也跑了，但图形界面里看还是旧值。原因通常是域策略优先级高于本地策略，或者注册表项被 TrustedInstaller 权限保护。解决：先gpresult /r确认生效的 GPO 列表，如果有域策略，去域控改；如果是注册表权限问题，用takeown和icacls拿到所有权再改。
4.2 审核策略开太多导致日志爆盘
现象：开了审核对象访问的成功审核后，Security 日志一天涨到几个 G，系统盘被写满。原因：对象访问的成功事件量极大，尤其是文件服务器场景。解决：只开失败审核，或者用auditpol精确到具体子类别，别用"审核对象访问"这种大颗粒度类别。已经爆盘的用wevtutil cl Security清日志，但清之前先导出备份。
4.3 账户锁定策略把自己锁在门外
现象：把锁定阈值设成 3 次，结果自己输错两次后第三次手抖又错了，直接被锁。原因：本地管理员账户也被锁定策略覆盖了。解决：1803 上本地管理员默认不受锁定策略影响，但如果你手动把 Administrator 加进了受锁定范围，就会锁。加固时保留一个应急账户不受锁定策略约束，或者把锁定阈值设成 5 次留点余量。
4.4 远程下发时 WinRM 超时
现象：Invoke-Command批量推的时候，部分机器报超时，但机器是通的。原因：目标机 WinRM 服务响应慢，或者secedit执行时间超过了默认超时。解决：给Invoke-Command加-SessionOption (New-PSSessionOption -OperationTimeout 300000)把超时拉到 5 分钟，同时把-ThrottleLimit降到 5 以下。
4.5 基线导入后某些服务起不来
现象：导入基线后，打印服务或者远程桌面服务启动失败。原因：用户权限分配里把服务账户的"作为服务登录"权限收掉了。解决：导入前先secedit /export备份原始权限，出问题后用备份回滚。加固脚本里对"作为服务登录"这一项要格外小心，别一刀切。
5. 进阶：把基线做成可回滚、可审计的闭环
做到这一步，基线本身已经推下去了，但真正让这套东西可持续的，是回滚和审计机制。我自己的习惯是每次下发前先跑一遍全量导出，存成带时间戳的文件，比如secpol_20250101_1200.inf，这样任何一次变更都有后悔药。回滚的时候直接secedit /configure指回那个文件就行，比重新配一遍快得多。
审计这块，1803 上可以用wevtutil把 Security 日志定期导出成 evtx 文件，再用 PowerShell 解析关键事件 ID。比如 4625 是登录失败，4740 是账户锁定，4719 是审核策略更改。写个定时任务每天跑一次，把异常事件汇总成 CSV，这样基线有没有被绕过、有没有人试图暴力破解，一目了然。
# 导出最近24小时的登录失败事件 $startTime = (Get-Date).AddHours(-24) Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625; StartTime=$startTime} | Select-Object TimeCreated, @{n='Account';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}} | Export-Csv "C:\baseline\failed_logon_$(Get-Date -Format 'yyyyMMdd').csv" -NoTypeInformation -Encoding UTF8Properties[5]和Properties[19]是 4625 事件里账户名和源 IP 的固定位置，不同版本可能有偏移，跑之前先用Get-WinEvent -MaxEvents 1 | Format-List确认一下索引。导出成 CSV 之后可以丢进 Excel 做透视，看哪个账户被尝试得最多、哪个 IP 最可疑。
还有一个容易被忽略的点：基线不是一次性的。1803 虽然版本老，但微软偶尔还会推安全更新，某些更新会重置部分安全选项。所以我的做法是每月跑一次基线比对，把当前配置和基线模板 diff 一遍，有差异就补。这个习惯是从一次血泪经验来的——有台机器更新完以后审核策略被重置了，结果等保复审的时候拿不出那段时间的审计日志，被扣了分。从那以后我每次做完基线都强制走一遍导出比对，确认没有漂移才收工。
希望这套东西能帮你在 1803 的加固上少走点弯路。
本文还有配套的精品资源，点击获取
