Day-106-Windows 系统安全基础

# Day 92: Windows 系统安全基础

> 系统安全系列第 2 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

**PUA v3 · Sprint 启动** 
```
┌─────────┬────────────────────────────────────┐
│ 清单 任务 │ Windows 系统安全基础 - Day 92      │
├─────────┼────────────────────────────────────┤
│  味道 │  阿里味（自动：安全任务）        │
├─────────┼────────────────────────────────────┤
│  压力 │ L0 · 信任期                        │
└─────────┴────────────────────────────────────┘
```
▎ 收到需求，对齐目标，进入 sprint。Windows 系统安全是企业安全的核心——核心不稳，企业不稳。

---

## 清单 目录

1. [Windows 安全概述](#windows 安全概述)
2. [用户与组管理安全](#用户与组管理安全)
3. [文件与注册表安全](#文件与注册表安全)
4. [进程与服务安全](#进程与服务安全)
5. [网络服务安全](#网络服务安全)
6. [日志与审计](#日志与审计)
7. [安全加固实践](#安全加固实践)
8. [实战案例分析](#实战案例分析)
9. [总结与思考](#总结与思考)
10. [参考资料](#参考资料)

---

## Windows 安全概述

### Windows 安全重要性

> ▎ Windows 是企业桌面的王者。王者不安全，企业就不安全。

**为什么 Windows 安全重要**：
```
1. 企业桌面主导
   - 90%+ 企业桌面运行 Windows
   - 办公应用依赖 Windows
   - 域环境基础

2. 攻击目标价值高
   - 敏感数据存储
   - 办公应用运行
   - 域权限跳板

3. 安全影响范围广
   - 单点沦陷 → 域渗透
   - 权限提升 → 域控
   - 持久化 → 长期威胁
```

**Windows 安全威胁**：
```
1. 恶意软件
   - 勒索软件
   - 木马后门
   - 挖矿木马

2. 漏洞利用
   - 系统漏洞
   - 应用漏洞
   - 零日漏洞

3. 社会工程学
   - 钓鱼邮件
   - 恶意附件
   - 钓鱼网站

4. 内部威胁
   - 权限滥用
   - 数据泄露
   - 恶意操作
```

### Windows 安全模型

> ▎ 安全模型不是摆设——是设计原则。不按模型来，就是瞎搞。

**权限模型**：
```
用户账户控制（UAC）：
- 管理员批准模式
- 安全桌面
- 虚拟化

访问令牌：
- 用户 SID
- 组 SID
- 权限列表

访问控制列表（ACL）：
- DACL：自主访问控制
- SACL：系统审计控制
```

**安全模块**：
```
Windows Defender：
- 实时保护
- 云保护
- 自动扫描

BitLocker：
- 全盘加密
- TPM 集成
- 恢复密钥

AppLocker：
- 应用程序控制
- 规则策略
- 审计模式
```

---

## 用户与组管理安全

### 用户管理

> ▎ 用户管理是安全的第一道防线。防线破了，后面就难了。

**用户创建安全**：
```powershell
# 创建用户
New-LocalUser -Name "username" -Password (ConvertTo-SecureString "P@ssw0rd123!" -AsPlainText -Force)

# 设置密码永不过期
Set-LocalUser -Name "username" -PasswordNeverExpires $true

# 启用用户
Enable-LocalUser -Name "username"
```

**密码策略配置**：
```powershell
# 查看密码策略
net accounts

# 配置密码策略（组策略）
# 计算机配置 → Windows 设置 → 安全设置 → 账户策略 → 密码策略
# 密码长度最小值：14
# 密码必须符合复杂性要求：启用
# 强制密码历史：24
# 最长使用期限：90
# 最短使用期限：7
```

**账户锁定策略**：
```powershell
# 查看锁定策略
net accounts

# 配置锁定策略（组策略）
# 账户锁定阈值：5 次失败登录
# 账户锁定时间：30 分钟
# 重置账户锁定计数器：30 分钟
```

### 组管理

**组创建安全**：
```powershell
# 创建组
New-LocalGroup -Name "GroupName" -Description "Group Description"

# 添加用户到组
Add-LocalGroupMember -Group "GroupName" -Member "username"

# 查看组成员
Get-LocalGroupMember -Group "GroupName"
```

**特权组管理**：
```powershell
# 查看管理员组
Get-LocalGroupMember -Group "Administrators"

# 查看远程桌面组
Get-LocalGroupMember -Group "Remote Desktop Users"

# 限制管理员访问
# 只允许必要用户加入 Administrators 组
```

### RDP 安全

**RDP 配置安全**：
```powershell
# 禁用远程桌面
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name "fDenyTSConnections" -Value 1

# 启用网络级别认证（NLA）
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name "UserAuthentication" -Value 1

# 限制 RDP 访问
# 防火墙只允许特定 IP 访问 3389 端口
```

**RDP 加固**：
```powershell
# 更改 RDP 端口
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name "PortNumber" -Value 3390

# 启用 TLS
# 组策略：计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面会话主机 → 安全
# 要求使用网络级别的身份验证：启用
```

---

## 文件与注册表安全

### 文件权限

> ▎ 文件权限是 Windows 安全的核心。核心不稳，系统不稳。

**权限查看**：
```powershell
# 查看文件权限
icacls C:\path\to\file

# 查看所有者
Get-Acl C:\path\to\file | Select-Object Owner

# 查看完整 ACL
Get-Acl C:\path\to\file | Format-List
```

**权限修改**：
```powershell
# 修改权限
icacls C:\path\to\file /grant username:F

# 移除权限
icacls C:\path\to\file /remove username

# 继承权限
icacls C:\path\to\file /inheritance:e
```

### 敏感文件保护

**关键文件权限**：
```powershell
# SAM 文件
icacls C:\Windows\System32\config\SAM
# 应只有 SYSTEM 和 Administrators 有访问权限

# SYSTEM 文件
icacls C:\Windows\System32\config\SYSTEM

# 安全数据库
icacls C:\Windows\System32\config\SECURITY
```

**敏感目录保护**：
```powershell
# Program Files
icacls "C:\Program Files" /grant Administrators:F Users:RX

# Windows 目录
icacls "C:\Windows" /grant Administrators:F Users:RX

# 用户目录
icacls "C:\Users" /grant Administrators:F Users:RX
```

### 注册表安全

**注册表权限**：
```powershell
# 查看注册表项权限
Get-Acl HKLM:\SOFTWARE | Format-List

# 导出注册表项
reg export HKLM\SOFTWARE C:\backup\software.reg

# 导入注册表项
reg import C:\backup\software.reg
```

**关键注册表项保护**：
```powershell
# 自启动项
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

# 服务配置
HKLM\SYSTEM\CurrentControlSet\Services

# 安全策略
HKLM\SYSTEM\CurrentControlSet\Control\Lsa
```

---

## 进程与服务安全

### 进程监控

> ▎ 进程监控是发现异常的眼睛。没有眼睛，就是瞎子。

**进程查看**：
```powershell
# 查看所有进程
Get-Process

# 查看详细信息
Get-Process | Select-Object Name,Id,CPU,Memory

# 查看特定进程
Get-Process -Name "processname"

# 查看进程树
Get-CimInstance Win32_Process | Select-Object ProcessId,ParentProcessId,Name
```

**异常进程检测**：
```powershell
# 高 CPU 使用
Get-Process | Sort-Object CPU -Descending | Select-Object -First 10

# 高内存使用
Get-Process | Sort-Object WorkingSet -Descending | Select-Object -First 10

# 可疑进程
Get-Process | Where-Object {$_.Path -like "C:\Users\*" -or $_.Path -like "C:\Temp\*"}
```

### 服务管理

**服务安全配置**：
```powershell
# 查看运行服务
Get-Service | Where-Object {$_.Status -eq 'Running'}

# 查看自动启动服务
Get-Service | Where-Object {$_.StartType -eq 'Automatic'}

# 禁用不必要服务
Stop-Service -Name "ServiceName"
Set-Service -Name "ServiceName" -StartupType Disabled
```

**危险服务**：
```powershell
# 建议禁用的服务
# Telnet
Set-Service -Name "TlntSvr" -StartupType Disabled

# Remote Registry
Set-Service -Name "RemoteRegistry" -StartupType Disabled

# FTP
Set-Service -Name "ftpsvc" -StartupType Disabled
```

---

## 网络服务安全

### Windows 防火墙

> ▎ 防火墙是网络安全的城墙。城墙不牢，敌军直入。

**防火墙配置**：
```powershell
# 查看防火墙状态
Get-NetFirewallProfile

# 启用防火墙
Set-NetFirewallProfile -Profile Domain,Public,Private -Enabled True

# 查看规则
Get-NetFirewallRule | Select-Object Name,Direction,Action,Enabled

# 创建规则
New-NetFirewallRule -DisplayName "Allow SSH" -Direction Inbound -Protocol TCP -LocalPort 22 -Action Allow
```

**入站规则**：
```powershell
# 允许 RDP
New-NetFirewallRule -DisplayName "Allow RDP" -Direction Inbound -Protocol TCP -LocalPort 3389 -Action Allow

# 允许 HTTP/HTTPS
New-NetFirewallRule -DisplayName "Allow HTTP" -Direction Inbound -Protocol TCP -LocalPort 80 -Action Allow
New-NetFirewallRule -DisplayName "Allow HTTPS" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow

# 阻止所有其他入站
Set-NetFirewallProfile -Profile Domain,Public,Private -DefaultInboundAction Block
```

### 网络服务加固

**服务监听限制**：
```powershell
# 查看监听端口
netstat -ano | findstr LISTENING

# 限制服务监听
# 在服务配置中指定监听 IP
# 只监听内网 IP
```

**SMB 安全**：
```powershell
# 禁用 SMBv1
Set-SmbServerConfiguration -EnableSMB1Protocol $false

# 启用 SMB 签名
Set-SmbServerConfiguration -RequireSecuritySignature $true

# 禁用 SMBv1 客户端
Set-SmbClientConfiguration -EnableInsecureGuestLogons $false
```

---

## 日志与审计

### 日志管理

> ▎ 日志是安全的眼睛。没有日志，就是瞎子。

**日志位置**：
```powershell
# 查看事件日志
Get-WinEvent -LogName Application
Get-WinEvent -LogName System
Get-WinEvent -LogName Security

# 查看特定事件
Get-WinEvent -FilterHashtable @{LogName='Security';Id=4624}

# 导出日志
Get-WinEvent -LogName Security -MaxEvents 1000 | Export-Csv security.csv
```

**日志策略**：
```powershell
# 配置日志大小
Limit-EventLog -LogName Security -MaximumSize 1GB

# 配置日志覆盖策略
Limit-EventLog -LogName Security -OverflowAction OverwriteAsNeeded
```

### 审计配置

**审计策略**：
```powershell
# 查看审计政策
auditpol /get /category:*

# 启用登录审计
auditpol /set /subcategory:"Logon" /success:enable /failure:enable

# 启用账户管理审计
auditpol /set /subcategory:"Account Management" /success:enable /failure:enable

# 启用特权使用审计
auditpol /set /subcategory:"Privilege Use" /success:enable /failure:enable
```

**关键事件 ID**：
```powershell
# 4624: 成功登录
# 4625: 失败登录
# 4672: 特殊权限分配
# 4720: 创建用户
# 4726: 删除用户
# 4732: 添加到本地组
# 4740: 账户锁定
# 4688: 进程创建
```

---

## 安全加固实践

### 系统加固

> ▎ 加固不是可选——是必须。不加固，就是裸奔。

**组策略加固**：
```powershell
# 密码策略
# 计算机配置 → Windows 设置 → 安全设置 → 账户策略 → 密码策略
# 密码长度最小值：14
# 密码必须符合复杂性要求：启用

# 账户锁定策略
# 账户锁定阈值：5 次
# 账户锁定时间：30 分钟

# 用户权限分配
# 拒绝本地登录：Guest
# 从网络访问此计算机：Administrators, Users
```

**注册表加固**：
```powershell
# 禁用 LLMNR
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient" -Name "EnableMulticast" -Value 0 -PropertyType DWORD -Force

# 禁用 NetBIOS
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\NetBT\Parameters" -Name "NodeType" -Value 2 -PropertyType DWORD -Force

# 禁用 SMBv1
Set-SmbServerConfiguration -EnableSMB1Protocol $false
```

### 入侵检测

**Windows Defender 配置**：
```powershell
# 启用实时保护
Set-MpPreference -DisableRealtimeMonitoring $false

# 启用云保护
Set-MpPreference -MAPSReporting 2

# 启用行为监控
Set-MpPreference -DisableBehaviorMonitoring $false

# 排除扫描路径
Set-MpPreference -ExclusionPath "C:\Excluded"
```

**Sysmon 配置**：
```powershell
# 安装 Sysmon
Sysmon -accepteula -i

# 导入配置
Sysmon -c sysmon-config.xml

# 卸载
Sysmon -u
```

---

## 实战案例分析

### 案例 1: 勒索软件攻击

> ▎ 勒索软件是最常见的威胁。最常见，也最危险。

**攻击描述**：
```
时间：2017 年
攻击：WannaCry
漏洞：EternalBlue (MS17-010)
影响：全球 20 万 + 系统
后果：数十亿美元损失
```

**检测日志**：
```powershell
# 查看 SMB 异常连接
Get-WinEvent -FilterHashtable @{LogName='Security';Id=5140} | Where-Object {$_.Message -like "*445*"}

# 查看异常进程
Get-Process | Where-Object {$_.Name -like "*wcry*" -or $_.Name -like "*wannacry*"}
```

**防护方案**：
```powershell
# 安装补丁
# 安装 MS17-010 补丁

# 禁用 SMBv1
Set-SmbServerConfiguration -EnableSMB1Protocol $false

# 启用防火墙
Set-NetFirewallProfile -Profile Domain,Public,Private -Enabled True

# 阻止 445 端口
New-NetFirewallRule -DisplayName "Block SMB" -Direction Inbound -Protocol TCP -LocalPort 445 -Action Block
```

### 案例 2: 权限提升攻击

> ▎ 权限提升是攻击者的目标。目标守不住，系统就沦陷。

**漏洞描述**：
```
时间：2021 年
漏洞：PrintNightmare (CVE-2021-34527)
影响：远程代码执行
后果：系统完全控制
```

**检测命令**：
```powershell
# 检查 Print Spooler 服务
Get-Service -Name Spooler

# 检查注册表
Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint"
```

**修复方案**：
```powershell
# 禁用 Print Spooler
Stop-Service -Name Spooler
Set-Service -Name Spooler -StartupType Disabled

# 或安装补丁
# 安装最新安全更新
```

---

统计 **Sprint 交付 · 绩效评估**
```
┌───────────────┬────────────────┬────────────────┐
│  主动出击   │ ██████████ 5/5 │ [PUA 生效] 充足 │
├───────────────┼────────────────┼────────────────┤
│ + 验证闭环   │ ██████████ 5/5 │ 案例完整       │
├───────────────┼────────────────┼────────────────┤
│ 设计 代码质量   │ ████████░░ 4/5 │ 有改进空间     │
└───────────────┴────────────────┴────────────────┘
综合：3.75
```
▎ 勉强配得上 P8。别飘——Windows 系统安全这才刚入门。

---

## 总结与思考

### 核心要点回顾

> ▎ 复盘四步法：回顾目标、评估结果、分析原因、总结经验。别跳过——这是闭环。

**用户安全**：
```
1. 强密码策略
   - 最小长度 14
   - 复杂度要求
   - 定期更换

2. RDP 安全
   - NLA 认证
   - 限制访问
   - 更改端口

3. 权限管理
   - 最小权限
   - 组管理
   - 特权审计
```

**系统安全**：
```
1. 服务加固
   - 最小服务
   - 禁用 SMBv1
   - 版本更新

2. 防火墙
   - 默认拒绝
   - 按需开放
   - 规则审计

3. 日志审计
   - 完整日志
   - 审计策略
   - 实时监控
```

**入侵检测**：
```
1. Windows Defender
   - 实时保护
   - 云保护
   - 行为监控

2. Sysmon
   - 进程监控
   - 网络监控
   - 文件监控

3. 日志分析
   - 集中收集
   - 关联分析
   - 异常告警
```

### 深入思考问题

> ▎ 只动手不动脑，那是码农。动手又动脑，才是工程师。

**零信任 Windows**：
```
1. 持续验证
   - 每次访问验证
   - 动态授权
   - 行为分析

2. 微隔离
   - 服务隔离
   - 网络隔离
   - 权限隔离

3. 动态授权
   - 基于风险
   - 实时调整
   - 最小权限
```

**云原生 Windows 安全**：
```
1. Azure AD
   - 云身份
   - 条件访问
   - MFA

2. Windows 365
   - 云桌面
   - 安全访问
   - 数据保护

3. 自动化安全
   - 基础设施即代码
   - 安全即代码
   - 持续合规
```

**AI 辅助安全**：
```
1. 异常检测
   - 行为分析
   - 模式识别
   - 风险评分

2. 自动响应
   - 自动阻断
   - 自动修复
   - 自动告警

3. 威胁情报
   - 漏洞情报
   - 攻击情报
   - 威胁狩猎
```

### 实战建议

> ▎ 我给你指了路，走不走是你的事。机会给了，抓不抓得住看你。

**系统管理员**：
```
1. 安全配置
   - 组策略
   - 防火墙规则
   - 服务加固

2. 持续监控
   - 日志分析
   - 进程监控
   - 网络监控

3. 定期更新
   - Windows Update
   - 补丁管理
   - 漏洞修复
```

**安全人员**：
```
1. 安全审计
   - 配置审计
   - 权限审计
   - 日志审计

2. 渗透测试
   - 漏洞扫描
   - 手工测试
   - 权限提升

3. 事件响应
   - 入侵检测
   - 快速响应
   - 溯源分析
```

**架构师**：
```
1. 安全设计
   - 最小权限
   - 网络隔离
   - 纵深防御

2. 持续改进
   - 安全审计
   - 漏洞管理
   - 安全培训

3. 工具链
   - 安全工具
   - 自动化
   - 监控平台
```

---

## 参考资料

### 学习资源
```
- Microsoft Security
  https://www.microsoft.com/security

- CIS Benchmarks
  https://www.cisecurity.org/benchmark/microsoft_windows

- Windows Security Documentation
  https://docs.microsoft.com/windows/security/
```

### 工具资源
```
- Sysmon
  https://docs.microsoft.com/sysinternals/downloads/sysmon

- Sysinternals Suite
  https://docs.microsoft.com/sysinternals/

- Windows Defender
  https://docs.microsoft.com/windows/security/
```

### 书籍推荐
```
- 《Windows 安全手册》
- 《Windows 系统安全》
- 《Windows Security》
- 《Practical Windows Security》
```

### 在线资源
```
- OWASP Windows Security
  https://owasp.org/www-project-windows-security/

- Windows Hardening Guide
  https://github.com/CenterForInternetSecurity/CIS-Benchmarks

- Awesome Windows Security
  https://github.com/PaulSec/awesome-windows-domain-hardening
```

---

**标记 明日预告**：Day 93 - 容器安全基础

> ▎ 今天的内容消化了吗？消化了就继续——明天还有硬仗。

> 本文内容仅供学习和研究使用，请勿用于非法目的。所有实验请在隔离环境中进行。

---

*本文是 365 天信息安全技术系列的第 92 篇，系统安全部分第 2 篇，精编版本*