很多刚接触网安的朋友，学完网络基础、装好虚拟机、配好实验环境之后，往往会在Windows这一块卡住。原因很简单：大家平时用Windows都是“用户视角”，点鼠标、装软件、玩游戏，很少去思考系统底层那些账户、权限、进程、日志机制到底在干什么。但到了安全场景，这些恰恰是所有攻防对抗发生的地方——提权打的就是权限模型，横向移动依赖的就是账户体系和网络配置，应急响应翻的就是日志和自启动项。这篇“Windows基础知识（二）”就是从安全视角把Windows核心机制重新捋一遍，重点放在身份认证、访问控制、进程服务、日志审计这几条主线上，适合正在往内网渗透、安全运维、应急响应方向走的初学者，也适合需要补基础的系统管理员。读过之后你会发现，很多安全工具做的事，其实就是把你手动查信息、手动改配置的过程自动化了。
1. Windows安全模型的核心逻辑：从登录那一刻说起
1.1 身份认证链路：用户名、SID与令牌是怎么串起来的
Windows的安全体系不是围绕“用户名”设计的，而是围绕一个更底层的概念：SID（Security Identifier，安全标识符）。用户名只是给人看的，系统内部判断“你是谁”全靠SID。一个新用户创建之后，系统会生成一个唯一的SID，格式类似于S-1-5-21-1820356255-1234567890-9876543210-1001，前面是固定前缀，中间是机器标识，后面是相对标识符RID。普通用户从1000开始编号，内置的管理员账户RID通常是500，Guest是501，Domain Users组是513，本地管理员组是544。这些内建SID在不同机器上几乎一样，所以攻击者在拿到一个系统后，根本不需要猜用户名，直接找SID就能定位特权账户和特权组。
理解了SID，再去看登录过程就顺了。当你在登录界面输入密码，Winlogon进程把凭据交给LSASS进程（Local Security Authority Subsystem Service）验证。LSASS是Windows安全机制的核心进程，它验证通过后，会生成一个包含用户SID、所属组SID、权限列表的访问令牌（Access Token）。这个令牌就是你在系统里的“临时身份证”，你之后每一个操作，系统都会拿这个令牌去和对象的ACL做比对。这也解释了为什么改了用户密码必须重启进程才生效——因为令牌是登录时生成的，只要进程还活着，它就一直用旧令牌访问资源。
安全排查时，很多人习惯用net user看账户列表，但我要提醒一句：net user看不到所有账户。某些隐藏账户、服务账户或者通过注册表特殊方式创建的账户，用net user是列不出来的。更可靠的方式是用PowerShell执行Get-LocalUser，或者直接用wmic useraccount get name,sid,disabled去枚举SID信息。之前我在一个模拟环境里排查后门，就是靠对比net user和wmic的输出差异，发现了一个隐藏的管理员账户，它被创建后从注册表里抹掉了用户管理器里的可见性，但SID信息在WMI里还是留了痕迹。
1.2 UAC机制：别把“管理员”当万能身份
很多初学者有个误区：只要我的账户属于Administrators组，我就拥有系统的全部权限。这个说法在Windows Vista之前基本成立，但在现代Windows上，UAC（用户账户控制）机制把这条路堵了一半。
UAC引入了“筛选令牌”（Filtered Token）的概念。当你用管理员账户登录时，系统其实会生成两个令牌：一个完整令牌（Full Token），包含管理员组的全部权限；一个筛选令牌（Filtered Token），把管理员组的特权全部剔除，只保留普通用户权限。你在桌面上的大部分操作，默认使用的是筛选令牌。只有当操作需要管理员权限时（比如修改系统配置、安装驱动、修改受保护目录），系统才会弹出UAC提示框，经过你确认后临时切换到完整令牌执行。
这中间有一个安全上的经典攻击面：BypassUAC。攻击者已经拿到一个管理员账户的shell，但这个shell运行在筛选令牌下，他们需要想办法“提权”到完整令牌。常见的方式有利用fodhelper、eventvwr这些白名单程序，通过修改注册表当前用户键值来诱导它们以完整令牌启动恶意payload。作为防御方，你要做的就是留意UAC提示是否频繁弹出、检查注册表HKCU\Software\Classes\ms-settings\Shell\Open\command这类敏感位置是否有异常写入。所以我一直强调：UAC不是安全边界，它只是一个用户便利性机制，用来避免恶意软件在管理员会话里静默执行高权限操作，不能因为开了UAC就放松对管理员账户的监控。
Windows安全模型里还有一个容易被忽略的概念：特权（Privilege）和权限（Permission）。特权是操作系统级别的能力，比如“绕过遍历检查”“关闭系统”“调试程序”，这些在本地安全策略里配置；权限是对象级别的访问许可，比如某个文件能不能读，存放在ACL里。whoami /priv查看的是当前令牌拥有的特权，whoami /groups查看的是令牌所属的组和完整性级别。完整性级别（Integrity Level）是UAC之外的另一个隔离维度，分为低、中、高、系统四个档位，低完整性进程不能修改中完整性的对象，这也是为什么IE浏览器和Edge浏览器里跑着的网页代码即使以管理员身份登录也无法直接写系统目录——浏览器进程被降到了低完整性级别。这个机制后来也被杀软和EDR广泛使用，把自己关键进程放到较高的完整性级别，防止被恶意软件注入或篡改。
2. 文件与对象权限：NTFS ACL是内网安全的基石
2.1 NTFS权限基本项与继承规则
如果只能选一个知识点作为Windows安全的基础，我会投给NTFS权限。无论是数据泄露还是勒索软件加密，归根结底都是对象访问控制出了问题。NTFS权限通过ACL（访问控制列表）来实现，每个文件或文件夹的ACL里包含若干ACE（访问控制项），每条ACE说明“某个SID可以做什么”或“某个SID被禁止做什么”。
NTFS权限有六项基本权限：完全控制、修改、读取和执行、列出文件夹目录、读取、写入。它们的含义要记牢：修改权限包含了删除文件的权限，也就是说一个只有“修改”权限的用户虽然不能修改ACL本身，但可以删掉他“能删”的文件。完整控制额外包含了更改权限和取得所有权两项特殊权限。这里有个经典的攻击链：如果某个关键目录的ACL错误地把“更改权限”或“取得所有权”授予了普通用户，攻击者就能先把ACL改掉，然后把自己加进去，再对文件内容动手。我在做一些加固检查时，第一步就是列出高风险目录（比如C:\Program Files、C:\Windows\System32）的ACL，看是否存在非预期的写入或修改ACE。
文件权限还有个继承机制。默认情况下，子文件夹和文件会继承父文件夹的权限，这个继承关系直观地反映在“高级安全设置”里。如果你在某个子目录看到权限显示为“灰色不可修改”，说明它是继承来的，你需要先“禁用继承”才能独立配置。安全加固时，建议对敏感目录（例如TEMP目录、IIS网站目录）显式禁用继承，按最小权限原则重新授权。攻击者经常利用TEMP目录可写、可执行的特点，把恶意载荷放到这里再运行，所以TEMP目录的执行权限能不能去掉、可写范围能不能缩小，直接决定了攻击链能不能走通。
2.2 共享权限与NTFS权限的叠加逻辑
局域网环境里经常出现一个让人困惑的问题：明明共享文件夹开了完全控制，但别人访问时还是提示没有权限。原因在于共享文件夹有两层权限：共享权限（Share Permission）和NTFS权限。系统最终生效的是两者的交集，也就是“取严格的那个”。
举个例子：共享权限设置Everyone完全控制，NTFS权限设置Users只能读取，那最终用户的权限就是读取。反过来，共享权限限制为读取，NTFS权限给完全控制，最终结果还是读取。很多公司内网的数据泄露事故，根因就是共享权限放得太宽而NTFS权限没有跟上。排查共享权限时，用net share只能看到共享名称和路径，看不到权限细节，需要用PowerShell的Get-SmbShareAccess或者打开“计算机管理-共享文件夹-共享”去看。攻击者在拿到一个普通账户后，第一件事就是枚举内网共享资源，用net view批量找开放的共享目录，所以你的共享目录越少、权限越紧，暴露面就越小。
还有一类共享不要忘记：默认的管理共享，比如C$、D$、ADMIN$。这些共享默认只有管理员能访问，但如果某个管理员账户口令被破解，攻击者就能通过管理共享直接连接你的C盘，在C:\Windows\Temp里投放工具。在域环境里，SYSVOL共享更是必查项，很多GPP密码泄露事件都发生在SYSVOL目录里。加固建议是：除非业务必须，否则关闭默认共享的访问，或者严格监控管理共享的建立连接日志（事件ID 5140）。
2.3 用icacls做权限排查与加固
图形界面的权限设置虽然直观，但工作效率太低，而且在应急响应时你往往没有时间点来点去。icacls是Windows自带的ACL运维命令行工具，掌握它是基本功。
查看权限用icacls C:\某目录，输出里会逐一列出每个用户的权限掩码：F是完全控制，M是修改，RX是读取和执行，R是读取，W是写入，D是删除，括号里的OI表示对象继承，CI表示容器继承，IO表示仅继承。这几个标志很重要，比如(OI)(CI)(F)表示这个目录及其所有子对象都完全控制，如果这个条目给了Everyone，基本等于裸奔。
修改权限的核心用法：
# 给某用户授予某个目录的完全控制权限 icacls "C:\某目录" /grant "某用户:(OI)(CI)F" # 移除某用户的权限 icacls "C:\某目录" /remove "某用户" # 禁用继承并复制当前继承的权限为显式权限 icacls "C:\某目录" /inheritance:r # 启用继承 icacls "C:\某目录" /inheritance:e # 将目录所有者设置为管理员组 icacls "C:\某目录" /setowner "Administrators"实际排查时，我经常用/inheritance:r处理那些不该被继承权限的目录。还有一个命令容易被忽略：fsutil behavior query disablelastaccess，它可以查看系统是否记录文件最后访问时间。在一些高版本的Windows里，系统默认关闭了最后访问时间更新，导致你无法判断某个敏感文件是否被读取过。做数据泄露调查时，这项记录价值非常大，必要时需要开启。
3. 进程、服务与自启动：安全排查的入门口径
3.1 进程树视角：怎么快速发现异常进程
安全从业者和普通用户看任务管理器的心态完全不一样。普通用户看CPU占用高不高，我们看的是：这个进程是否存在、父进程是谁、映像路径在哪里、有没有签名、启动时间是否符合预期。
进程排查第一原则：查看全路径。tasklist /v能列出进程的映像名称、PID、会话名、内存占用，但看不到完整路径。用PowerShell的Get-Process | Select-Object ProcessName,Id,Path能获取进程路径。如果某个进程显示路径为空，或者路径落在C:\Users\某用户\AppData\Local\Temp、C:\Users\Public这类非常规位置，基本可以认定有问题。
第二原则：查看父进程。使用wmic process get name,parentprocessid,executablepath,commandline或者PowerShell的Get-CimInstance Win32_Process，重点关注：一个文档进程的父进程是PowerShell？一个服务进程的父进程是WMI？这些都属于异常链条。比如常见的无文件攻击场景：Word进程异常退出，取而代之的是PowerShell进程，PowerShell再拉起一段shellcode去连远端C2。如果不多看一眼父进程，你是发现不了这个链条的。
进程排查还有一个实用技巧：核对数字签名。Get-AuthenticodeSignature可以检查进程文件的签名信息。当然签名不可全信，攻击者也可能通过代码签名证书给恶意程序签名，但至少可以排除绝大部分正常软件的干扰。我习惯先用进程名称和路径筛一遍，再对可疑进程逐一查签名和网络连接。
3.2 服务与计划任务：持久化的常见落脚点
攻击者拿到一台机器的控制权之后，首先要做的是“留后路”，也就是持久化。Windows上最常见的持久化手段就是服务（Service）和计划任务（Scheduled Task），因为它们可以开机自启、以高权限运行、还能在反弹shell断开后自动重新拉起。
服务排查要点：打开services.msc，按“启动类型”排序，重点关注“自动”启动的服务，尤其是那些你从未见过的名字。更细致的做法是用PowerShell执行Get-WmiObject win32_service | Select Name,DisplayName,PathName,StartMode,StartName，查看服务的可执行文件路径。如果路径不是系统目录，而是C:\Users\Public\xxx.exe或者C:\Windows\Temp\xxx.exe，必须重点排查。还要看服务的启动账户：普通第三方服务一般用LocalService或NetworkService，如果某个服务用LocalSystem账户运行且路径在用户目录，这大概率有问题。
计划任务同样重要。攻击者喜欢用计划任务来实现“定时回连”，比如每隔5分钟执行一次恶意脚本，规避长时间无连接带来的风险。查看计划任务用schtasks /query /fo LIST /v，输出内容很多，可以配合schtasks /query /tn "任务名" /v单独看某一个。留意那些以当前用户身份登录后触发的任务、以及执行命令是powershell.exe -enc这类混淆命令的任务。-enc参数后面的Base64字符串是PowerShell混淆命令的典型特征，如果某台机器上有大量-enc的计划任务，基本上可以断定已经被攻击。
3.3 组策略与安全基线
组策略（Group Policy）是Windows集中管理配置的核心机制，对网安从业者而言，它既是加固手段，也是攻击面。攻击者一旦拿下域管权限，只需要在组策略里添加一条“启动脚本”，就能让域内所有机器上线。这就是著名的GPO持久化手法。防御端要留意的事件是组策略的异常修改，域控上gpedit.msc的修改日志会记录在特定事件ID里。
本地组策略也能做很多安全加固。打开gpedit.msc，进入计算机配置-Windows设置-安全设置-本地策略，这里有几个关键项值得注意：
- 账户策略-密码策略：设置最小密码长度（建议不小于12位）、密码复杂度、密码最长有效期（建议90天以内）。
- 账户锁定策略：设置账户锁定阈值为5次失败登录，锁定时间15分钟以上，可以缓解暴力破解。
- 审核策略：开启账户登录事件、账户管理、登录事件的审核，这是日志溯源的基础。
安全基线做得好不好，不取决于你用了多复杂的工具，而是这些基础项有没有落实。我给过一个实验环境的配置建议：先把密码策略改成12位以上、锁定策略打开、审核策略全开，然后配合日志收集，这一个小时的工作量，能挡住七八成脚本小子的自动化攻击。
4. 日志与审计：Windows溯源体系的核心
4.1 Windows事件日志体系与关键事件ID速查
很多初学者在给客户做应急响应时，拿到一台Windows机器不知道从哪里下手，又不敢乱动系统文件。这时候日志就是最安全的切入点。Windows事件日志分为三类：系统日志（System）、应用程序日志（Application）、安全日志（Security）。安全日志里的内容默认情况下只有管理员能看，这也是为什么攻击者拿到管理员权限后会第一时间尝试清理日志。
Windows日志里每个事件都有一个事件ID，做安全分析至少要记住以下几个：
| 事件ID | 含义 | 关注点 |
|---|---|---|
| 4624 | 登录成功 | 哪个账户、从哪台机器、什么类型登录 |
| 4625 | 登录失败 | 暴力破解的直接证据 |
| 4776 | 域控或本机凭据验证成功/失败 | NTLM认证相关 |
| 4720 | 创建用户账户 | 排查新增的后门账户 |
| 4732 | 将成员添加到安全组 | 排查账户被加入了管理员组 |
| 4672 | 授予特殊权限 | 管理员登录都会产生，需要结合时间判断 |
| 4688 | 进程创建 | 需要开启审核才能记录，可查看命令行参数 |
| 7045 | 安装系统服务 | 攻击者安装服务后门的直接证据 |
安全日志默认只记录有限的几类事件，很多关键信息要通过审核策略开启才能拿到。打开gpedit.msc，在计算机配置-Windows设置-安全设置-本地策略-审核策略里，把“审核登录事件”“审核账户登录事件”“审核对象访问”“审核进程创建”都设置为“成功和失败”。这样每次进程创建、每次登录尝试、每次账户操作都会留下痕迹。
4.2 登录事件：4624/4625/4776这些ID意味着什么
登录事件是所有安全分析的基础，但光看事件ID还不够，还要看登录类型（Logon Type）。4624事件里有登录类型字段，常见的有：
- 2：交互式登录，就是你在本机键盘前输密码登录。
- 3：网络登录，访问本机共享、使用
net use连接都是这个类型。 - 4：批处理登录，通常由计划任务触发。
- 5：服务登录，由服务控制管理器启动服务时使用。
- 8：网络明文登录，某些旧版协议会以明文方式传递凭据。
- 10：远程交互式登录，RDP登录就是这个类型。
分析时有一个最简单的判断逻辑：如果一条4624事件的登录类型是3，而且来源IP不是内网已知网段，说明有外部主机连了你的共享；如果登录类型是10且源IP异常，说明有人在远程桌面登录。4625事件同理，大量4625集中在短时间内，且目标账户一致，基本可以判定为暴力破解。
4776事件记录的是本机或域控上的NTLM凭据验证。要注意，4776事件里有一个字段叫“验证包”，如果看到NTLM，说明是传统NTLM认证，这类认证对某些中继攻击是脆弱的，所以现在很多环境会逐渐收紧甚至禁用NTLM认证，强制走Kerberos。另一个细节：4776里的“状态”字段是0xC000006A表示密码错误，0x0表示成功。
4.3 开启更多审计策略
基础审核策略之外，还有两个高级日志值得启用：PowerShell操作日志和Sysmon日志。PowerShell是攻击者使用频率最高的工具，很多攻击脚本都以PowerShell方式运行。默认情况下Windows会记录PowerShell的脚本块日志吗？部分会，但完整度不够。通过开启模块日志和脚本块日志，能把PowerShell执行的内容记录下来。这个机制后来被Sysmon（系统监视工具）大量替代和补充，Sysmon能记录进程创建、网络连接、文件创建、驱动加载等精细事件，是Windows主机安全监控的事实标准。
但Sysmon不是Windows自带的，需要单独部署。对于初学者，我建议先把手动查日志练熟：用eventvwr.msc打开事件查看器，熟练掌握过滤当前日志、查找事件ID、查看事件详情XML。之后再配置Sysmon，你会发现自己瞬间能看懂那些进程树和网络连接记录。很多安全分析师的第一份工作，就是坐在屏幕前一遍遍翻这些事件日志，翻得多了，哪些是正常行为、哪些是异常行为，心里就有谱了。
5. 命令行实操：信息收集与权限管理
5.1 一条命令一条命令地摸底：whoami、net user、systeminfo
网安圈经常说“信息收集决定攻击面”，在Windows上这句话尤其准确。拿到一台机器的命令行shell之后，第一步永远是确认“我是谁、我在哪、我能干什么”。whoami是第一个要执行的命令。whoami输出的只是当前用户名，配合whoami /all才能看完整信息，包括SID、所属组、特权列表和完整性级别。如果输出里包含Mandatory Label\High Mandatory Level说明当前是管理员完整性级别，如果是Medium Mandatory Level说明是普通权限。
net user系列命令排在第二位。net user不带参数列出所有用户，net user 某用户名查看指定用户详细信息，包括所属组、最后登录取时间、密码有效期。net localgroup和net localgroup administrators查看本地组和组内成员。这里有个实际工作中经常遇到的问题：如果你输入的账户名对不上，net user会报错，说明账户不存在或者你拼写错了。域环境用net user /domain和net group "Domain Admins" /domain来查域账户和域组。
systeminfo是侦察类命令的重头戏。它一次性输出操作系统版本、补丁信息、主机名、网卡配置、BIOS版本、安装时间等大量情报。安全人员用它来判断系统是否存在已知漏洞：比如系统版本老旧且长期未打补丁，攻击者手里一堆公开漏洞可以利用。systeminfo的信息还可以配合KB编号去查对应CVE，做加固决策时很实用。
5.2 权限与安全配置：net localgroup、icacls、reg
排查和加固时，命令行的效率远高于图形界面。权限管理方面，除了前面提到的icacls，net localgroup也是常用命令。把用户加到管理员组的关键命令是：
# 将某用户加入管理员组 net localgroup administrators 某用户 /add # 从管理员组移除某用户 net localgroup administrators 某用户 /delete这条命令在应急响应里经常用到：发现一个被攻击者添加到管理员组的可疑账户，第一时间把它移出去。但要注意，修改组成员属于高敏感操作，操作前先记录原始状态，操作后检查日志事件ID 4732确认是否生效。
注册表操作也离不开命令行。reg query查看键值，reg add修改键值。安全排查常用的注册表位置：
# 查看自启动项 reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" # 查看开机启动的服务及映像路径 reg query "HKLM\System\CurrentControlSet\Services" # 查看Winlogon程序，防止登录时被加载恶意DLL reg query "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon"为什么这些位置要重点看？因为攻击者最常把持久化脚本的启动入口放在Run键里。虽然现在攻击手法逐渐转向无文件、服务化、计划任务化，但Run键永远值得先看一遍，因为它最直观、最容易发现。我在模拟项目里做过验证：在Run键下加一个指向C:\Users\Public\download.exe的键值，重启机器后该程序自动运行，而用户完全无感知。这个测试不是为了复现攻击，而是让初学者直观地理解“自启动项是开机后被执行的”。
5.3 网络排查组合拳：netstat、ipconfig、route
Windows网络排查是和内网安全强相关的技能。攻击者在机器上活动时，必然会产生网络连接。用netstat -ano查看所有端口和网络连接，-o参数显示PID，这样能把连接对应到具体进程。学会这一步，你就能回答“这台机器正在连着哪些外部IP”这个灵魂问题。如果发现一条对外连接始终处于ESTABLISHED状态，目的IP是陌生海外地址，而且PID对应的进程路径在临时目录，基本可以认定为中招。
ipconfig /all查看网卡IP、DNS、网关、DHCP、MAC地址。安全场景下，DNS设置值得留意，如果DNS被改成某个内网IP或者陌生公网IP，可能存在DNS劫持风险。配合route print查看路由表，重点看有没有指向异常网段的静态路由——某些高级攻击会在机器上添加静态路由以便跨网段访问。arp -a查看ARP缓存，排查局域网内的ARP欺骗。
net use查看当前机器建立的共享连接，net session查看谁通过网络连接了本机——应急响应时如果有用户报告“机器卡顿、文件打不开”，先用这两个命令看看是不是有人连上了共享。
6. 常见问题与排查技巧实录
6.1 登录与账户问题
问：我用管理员账户登录，为什么修改文件还是提示没有权限？ 答：大概率是UAC筛选令牌在起作用，或者目标文件/文件夹的ACL里根本没有给管理员组授权，或者ACL被显式拒绝（Deny）条目裹挟。排查方法：先看whoami /groups里的完整性级别，再用icacls 路径查ACL。
问：net user能看到的账户和实际系统账户不一致怎么办？ 答：用wmic useraccount get name,sid,disabled列出全部账户并对比，重点查SID为500的账户、最近30天创建的账户、以及启用的Guest账户。
问：有没有一种情况是账户被锁定但日志里没有4625？ 答：有。账户锁定事件通常会伴随4771或4740事件，不是每个失败的登录都会产生4625，因为NTLM认证失败产生的是4776。排查时别只盯着4625，要把4776、4771、4740一起看。
6.2 日志翻不到关键事件的排查思路
很多初学者配置了审核策略后，发现“进程创建”事件还是看不到。这个问题的根源在于Windows有两个层面的审核策略：本地安全策略里的“审核策略”和“高级审核配置”。如果高级审核配置覆盖了基础审核策略，可能导致某些事件被过滤。
正确做法是使用高级审核配置：
# 开启进程创建审核 auditpol /set /subcategory:"Process Creation" /success:enable /failure:enable # 开启登录事件审核 auditpol /set /subcategory:"Logon" /success:enable /failure:enable # 查看当前审核策略 auditpol /get /category:*auditpol修改的是高级审核策略，优先级更高。改完之后建议重启机器或等待策略刷新，再测试一下事件是否正常记录。
还有一类情况是安全日志占满导致新事件写不进去。Windows安全日志默认大小和保留策略需要配置，如果磁盘紧张，日志满了之后系统会停止记录新事件，这对应急响应是致命的。建议在事件查看器里把安全日志的最大大小调大（至少1GB以上），并设置为“按需覆盖事件”，保证关键时刻日志可用。
6.3 加固建议与实操心得
这套Windows基础知识的最终目的是落地到安全加固。我给自己维护的实验环境定了一个最小加固清单，供参考：
- 密码策略：最小长度14位，启用复杂度，最长有效期90天。
- 账户策略：锁定阈值5次，锁定时间30分钟，重置锁定计数器30分钟之后。
- 禁用不必要的账户：Guest账户必须禁用，不用的普通账户及时删除。
- 共享权限：关闭非必要共享，已有共享按最小权限配置。
- NTFS权限：TEMP目录收紧，网站目录禁用继承。
- 日志策略：开启高级审核，日志大小调整，定期归档。
- 服务排查：停用不必要的服务，尤其是远程注册表服务。
- 补丁管理：操作系统和第三方软件补丁保持更新。
最后分享一个我在践行这个方法时总结的小心得：不要等到出现问题再排查日志，而是平时就定期“翻一翻”。每周花半小时看一次安全日志里的4625和4720，看看有没有陌生人名，看看有没有异常的登录尝试，真的很有效。很多安全事件如果早发现，处理成本能降低一个数量级，而晚发现就是应急响应、数据恢复、赔影响了。Windows基础这块，先把命令基础弄扎实，多动手在虚拟机里点一点、敲一敲，每个安全机制你亲手触发过一次，比看十遍文档都记得牢。
