Windows系统安全的坑我踩了十年。今天这篇是这个系列的第一篇我只做一件事帮你在脑子里建一张Windows安全的全景图。日常环境里最常见的误区有两类一类是“裸奔用户”——系统补丁不装、默认账户裸密码、防火墙从来没管过出事了才发现连日志都是空的另一类是“焦虑用户”——装一堆安全软件互相打架每一个都弹窗提醒最后哪个都没真正配好。这两类我都见过而且都帮人收拾过残局。“深入学习Windows系统安全”这个系列我不会一上来就扔给你某个工具或漏洞利用命令那不是学习安全的方式。先把地基打牢——理解Windows的账户模型、权限机制、更新策略、网络边界、威胁检测和应急响应你后续再看任何攻击分析、应急溯源、加固文档才能在同一个坐标系里看懂。这篇文章面向的人很明确想系统入门Windows安全的新人、需要做办公网加固的运维、以及对攻防原理感兴趣但觉得“安全”太玄的开发者。看完你能做出一件很实在的事情——照着一份体检清单把你手头这台Windows机器从“能用”调成“比较能打”。1. 先建立全局观Windows安全到底在防什么1.1 威胁模型你真正需要担心的四类敌人Windows安全经常被误解成“装个杀毒软件”。但杀毒软件只是防线里的一环甚至不是最核心的一环。要搞清楚Windows安全在做什么先要定义敌人。我习惯把日常环境里的威胁分成四类。第一类是恶意软件。包括木马、勒索病毒、挖矿程序、流氓软件。这类威胁的特点是“你不理它它就来找你”通过钓鱼邮件附件、破解软件安装包、U盘自动运行、恶意网页下载进入系统。第二类是身份冒用。攻击者猜中或窃取了某个账户的密码然后以你的身份登录系统、读取文件、发钓鱼邮件、改数据。第三类是漏洞利用。系统或第三方软件存在漏洞攻击者用一段精心构造的输入触发漏洞在不需要密码的情况下获得控制权。第四类是内部误操作。包括管理员把Everyone权限分配给敏感文件夹、有人把防火墙直接关掉、私自把配置改成开放共享——这类问题没有“黑客”参与但破坏力一点都不小。理解了这四类威胁Windows安全的所有机制就都能对号入座。反病毒对付第一类账户策略对抗第二类补丁管理消减第三类权限审计和基线管理解决第四类。没有一套机制能同时管这四件事所以Windows安全从来不是单点方案而是一层一层的纵深防御。1.2 纵深防御为什么Windows要有这么多层防线“纵深防御”这个词被说滥了但放在Windows场景里其实非常具体。你可以把每一层理解为一道关卡攻击者想要伤害你的数据得一层一层过。第一层是人。不打开陌生附件、不下载破解软件、不把密码贴在显示器上。这层最便宜也最脆弱。第二层是账户体系。Windows通过账户、口令策略、用户组权限来控制“谁可以进来、进来能干什么”。第三层是系统加固。把默认开放的功能关闭把不必要的服务停掉把权限最小化。第四层是更新管理。通过补丁修复已知漏洞让攻击者手里公开的利用手段失效。第五层是网络防护。防火墙控制了数据进出主机的通道默认阻止所有未经允许的入站连接。第六层是威胁检测。杀毒软件、SmartScreen、攻击面减少规则在恶意代码执行之前拦一道。第七层是响应与恢复。万一前六层都被突破日志审计能帮你定位问题备份能让你把系统拉回来。很多人问Windows不是自带安全中心吗怎么还要学这么多答案是安全中心只覆盖了第六层的一部分。账户策略、补丁管理、防火墙出站规则、日志审计——这些都需要你手动介入。这也是为什么教程必须一套一套写明白而不是只告诉你“把更新打开”。2. 账户与权限管理Windows安全的地基2.1 别再天天用管理员账户了UAC的意义与正确用法我第一次看到同事用Administrator账户跑日常办公时心里咯噔一下。那种状态的实质是任何代码包括网页脚本、文档宏、U盘里的恶意程序运行起来都带着管理员权限。Windows有保护机制也没办法拦因为账户本身就是最高权限。Windows为了解决这个问题引入了UAC用户账户控制。从Vista开始管理员账户的权限令牌被一分为二一个是受限的标准令牌用于日常操作一个是完整的管理员令牌只有当你点击“以管理员身份运行”并确认弹窗时才启用。普通程序、后台进程、恶意软件拿到的默认都是受限令牌很多破坏性操作需要写入系统目录、修改注册表、创建服务——这些行为在这套机制下会被挡住。实操建议非常明确日常登录使用标准账户只有需要安装软件、修改系统设置时才切换到管理员账户或者使用“以管理员身份运行”。如果你的公司电脑是用域账号管理的IT管理员也应当默认给普通员工标准用户权限而不是每个人都是本地管理员。2.2 内置账户与用户组的角色认知Windows系统有几个内置账户需要特别关注。Administrator是系统内置的超级管理员安装系统时如果你创建了别的账户它通常被禁用。有人为了图方便把它启用并设置空密码这是灾难级的操作。我的建议保持禁用除非你在做离线环境下的故障修复并且必须配合强密码和登录审计。Guest账户默认禁用但偶尔会被某些精简版系统或者优化工具误开启。检查方法很简单在命令提示符里执行以下命令net user net user Guest如果Guest账户的状态显示为活动要么禁用掉要么给它设一个强密码别让它空着。网络上针对Windows的攻击扫描特别偏爱这类默认账户因为字典口令里永远有它们的名字。用户组决定了一个账户能做什么。Administrators组拥有系统完全控制权Users组的成员只能操作自己的文件和部分公共目录Guests组权限最弱。经验法则就一条按最小权限分配够用就好。桌面运维岗需要装软件、改网络配置可以给用户加入一个专门的装机账户组而不是直接扔进Administrators。2.3 密码策略与账户锁定把暴力破解挡在门外很多人觉得只要密码够长就安全了这没错但不完整。Windows安全策略里有一套密码策略隐藏在“本地安全策略”中需要以管理员身份运行secpol.msc查看。这里面有三个参数最关键。密码长度最小值建议14位以上密码复杂性要求启用后强制字母、数字、符号混合密码最长使用期限建议90天。很多人抱怨复杂密码记不住我的折中建议是用一句只有你自己知道的短语变形比如某句歌词的首字母加上数字和符号既满足复杂度要求又不会和生日、手机号撞车。账户锁定策略同样容易被忽略。如果账户没有锁定阈值攻击者可以每秒尝试几十个密码而不被阻止。建议设置连续5次失败后锁定15分钟。这样做对暴力破解非常有效但同时要提醒一句如果攻击者故意用这种方式锁定某个管理员账户可能导致人为拒绝服务。所以在真正的高价值环境里一般还会配合智能锁定策略——比如同一来源IP失败多次才锁定这个属于后面系列文章中会展开的内容。3. 补丁管理Windows保持健康的基本功3.1 Windows更新的类型与节奏Windows的更新可以分为几个类型。质量更新也就是平时说的安全补丁用于修复已证实的漏洞通常每个月批量推送一次行业内习惯叫“补丁星期二”。功能更新一年推出几次的大版本包含新功能和安全架构调整。驱动程序更新硬件厂商提供的驱动修复。定义更新主要是反病毒和反间谍软件的病毒库更新。对待补丁我见过两种极端。一种是完全不更新害怕“更新后变卡”“蓝屏”。另一种是每个预览版更新都抢着装结果在自己机器上翻车。正确的节奏是质量更新和定义更新全部自动安装功能更新可以手动推迟到微软官方确认没有大问题后再上推迟时间建议两到三周。生产环境、服务器环境的补丁策略则需要先在测试机验证再批量推送。打开Windows更新设置时注意“更新完成后是否重启”这个设定。补丁装了不重启很多修复不会真正生效。尤其对于安全补丁如果系统一直不重启等于漏洞还在。所以个人环境建议把自动重启安排在空闲时段比如凌晨而不是永远选择“稍后”。3.2 补丁管理实战检查缺失补丁的方法如果你不是IT管理员也有办法自查补丁状态。按下WinR输入winver可以查看当前系统版本在“查看已安装的更新”里能核对补丁号。更专业一点的做法是使用PowerShell查询Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10这条命令会列出最近安装的补丁。如果列表里长期没有新条目而你的网络连接又正常基本可以断定更新通道出了问题。常见原因包括更新服务被禁、第三方优化软件把更新组件停掉、或者处于某种特殊网络环境中。我还遇到过一种情况员工为了禁止系统自动重启用工具把Windows Update服务设成了禁用。结果几个月后系统被勒索病毒打穿溯源日志里只有一个本可以提前修补的漏洞痕迹。这就是典型的“用安全换便利最后赔了本”。3.3 第三方软件比系统本身更容易被盯上的入口Windows系统的漏洞修补得再好也顶不住第三方软件全网喊打。办公电脑上装一堆绿色版、破解版软件更新模块被精简掉了然后运行着旧版本——这种情况在现实中比比皆是。攻击者也清楚这点所以关于第三方软件的几条建议只从官方渠道下载安装包。国内很多下载站会把安装包和推广软件捆绑在一起这不是危言耸听。安装时选择自定义安装去掉附加组件。软件开启自动更新特别要强调浏览器、压缩软件、PDF阅读器、远程控制工具这四类它们暴露在攻击面上的概率最高。卸载不再使用的软件尤其是那种开机自启、常驻右下角的工具每多一个都非常容易变成新的破口。4. 网络边界与Windows防火墙4.1 防火墙在Windows里到底是怎么工作的Windows自带的Windows Defender防火墙是被低估最严重的安全功能。很多人的认知是“防火墙就是弹窗拦截程序”其实完全搞反了。Windows防火墙工作在网络层它检查的是端口级别的流量方向不是某个程序的行为。它包含三类网络配置文件域配置文件用于加入域环境的公司网络专用配置文件用于家庭或可信网络公用配置文件用于咖啡厅、酒店这类公共网络。默认状态下公用配置文件的入站连接是全部阻止的专用网络则根据规则允许部分共享。这里有一件重要的事当你连接一个陌生Wi-Fi时Windows会弹窗问“这是专用还是公用网络”一定要选公用。选错意味着别人在同一局域网里可以尝试访问你的共享文件夹、远程管理端口。4.2 配置入站与出站规则给系统设置门禁防火墙规则大体分两类入站规则和出站规则。入站规则控制的是外部设备能否主动连接到你的电脑攻击者想要利用你某个端口上的服务漏洞就必须有入站流量到达这个端口。Windows默认禁止所有未允许的入站连接普通办公场景下这个默认值就够安全了。出站规则控制的是你电脑上的程序能否向外部发起连接。它的重要性在于恶意软件也好被攻破后的木马也罢控制者让它向外传输数据或者连接命令控制服务器这属于出站流量。Windows默认允许所有出站连接想把出站也管起来需要新建规则并选择“阻止未允许的出站连接”。这一步效果明显但是非常影响日常使用很多软件更新、云同步工具都会出问题。我建议在个人环境里先把入站控制做好出站控制只在应急响应阶段或高安全需求场景使用。命令行的检查方式netsh advfirewall show allprofiles看到三种配置文件的“状态”都应该为启用入站连接默认为阻止这样才能确认防火墙没有拖后腿。如果某天网络共享、打印机发现不了第一反应去查防火墙的入站规则是不是把相关功能服务拦了而不要直接整个关闭防火墙。关闭防火墙解决问题等于为了防一位客人敲门就把大门拆掉。4.3 端口与服务不必要的连接面要及时收紧防火墙之后系统性排查不该对外暴露的端口很重要。用netstat可以查看当前监听端口netstat -ano | findstr LISTENING139、445端口在办公环境里用于文件共享但如果你的电脑不需要被别人访问共享文件夹这两端口完全没必要对外开放。3389是远程桌面端口对着公网暴露就意味着每天被无数扫描器翻来覆去撞库。Windows服务里“Server服务”提供文件与打印机共享不需要时建议把它禁用远程桌面服务不需要时也保持关闭。服务配置用services.msc打开服务管理器找到对应服务设置为禁用。如果有公网映射端口的需求一定配上强密码考虑使用堡垒机跳转这是前提。5. 恶意软件防护Windows安全中心与日常使用习惯5.1 Windows安全中心的完整能力清单很多用户不知道Windows系统自带安全中心具备一套完整防护不需要优先装第三方全家桶。在“Windows安全中心”面板里分别有病毒和威胁防护、账户保护、防火墙和网络保护、应用和浏览器控制、设备安全性、设备性能和运行状况、家庭选项这几块。病毒和威胁防护里有两项容易被忽略。“勒索软件防护”中的“受控文件夹访问”非常实用你指定信任的文件夹只有受信任的应用才能修改里面的文件勒索病毒想加密你的重要资料就会被拦下来。建议把“文档”“图片”“桌面”这类目录加进去首次打开时某些旧软件可能写入异常需要手动允许。“利用保护”提供了一组微软研究总结出的缓解措施能阻止很多常见漏洞利用手法建议保持默认开启。“应用和浏览器控制”中的SmartScreen会在你运行下载来的未知程序或访问可疑网站时给出拦截提示。很多老用户嫌它烦关掉了这是非常不明智的。它的离线与云端信誉检查已经帮无数人挡过加密勒索。5.2 日常使用习惯哪些操作最容易被植入恶意代码杀毒软件只能提供防线真正决定系统生死的还是习惯。我见过最频繁的出事情景有三个下载破解软件。很多人对破解版软件没有抵抗力但破解补丁本身就是恶意代码的绝佳载体。攻击者往里面塞一个木马杀毒软件能查出来的概率并不算高因为补丁程序的运行原理就包含修改系统文件这恰好也是木马的行为特征。弹出的那个“软件安装完成点击领取激活码”或者网页上的“极速下载”按钮前几年大量传播的推广软件和广告程序都靠这种套路。下载软件一定要认准官方域名不要用搜索引擎旁边带“广告”标识的链接。U盘与移动硬盘的交叉使用。在别人电脑上插过的U盘回来插入自己电脑时Windows默认是自动播放。建议在“自动播放”设置里把所有可移动驱动器都设为“不执行操作”。尤其是同事之间互相拷文件谁的电脑中毒都不知道U盘一旦插进去恶意代码就可能借助自动播放感染当前机器。5.3 定期扫描与全盘检查的节奏Windows安全中心的“快速扫描”很快但覆盖范围有限。我的建议周期是每周做一次快速扫描每月做一次全盘扫描。全盘扫描时间较长可以放在睡前进行。每月另外做一次带Defender脱机扫描的操作这种扫描在Windows恢复环境里执行比正常系统里扫描更能发现顽固恶意程序。操作路径Windows安全中心→病毒和威胁防护→扫描选项→Microsoft Defender脱机扫描。如果你的电脑已经表现出异常比如风扇狂转、CPU占用高、出现陌生弹窗可以先从“启动应用”里禁用可疑自启动项再运行脱机扫描。脱机扫描会把待修复项自动清理掉这也是最接近“一键杀毒”的官方操作。6. 日志审计与应急准备为翻车做的最后保险6.1 读懂事件查看器Windows安全日志的真正价值Windows把系统的每一次关键动作都记录在“事件查看器”里。日常没人看它出事时它是第一手证据。按WinX选择“事件查看器”展开“Windows日志”下的“安全”节点你能看到大量登录事件、账户管理事件。这里面最值得关注的事件ID有这些4624代表成功登录审计人员需要看它的登录类型和源IP。登录类型有网络登录、交互式登录、服务等类型10是远程桌面登录。4625代表失败登录如果短时间内大量4625事件说明正有人在暴力破解。4720代表创建了新用户出现这条要警惕正常环境很少有人去创建新账户突然出现说明可能有攻击者在使用后门种下隐藏账户。4672代表特殊权限被调用管理员在执行敏感操作时会记录。开启更详细的审核策略可以在“本地安全策略”的“审核策略”中对“登录事件”“账户管理”“对象访问”“进程创建”这几个类别启用“成功”和“失败”审核。进阶环境里还能开启进程创建的事件ID 4688这样记录每个进程的启动命令行“后面讲攻防溯源时不会缺数据”。6.2 备份与恢复你最后一条退路安全做得再好也要准备“推倒重来”。Windows自带的文件历史记录、备份和还原等工具配合第三方网盘的同步能满足个人用户的数据保护需求。重点讲一下个人环境的基本原则即3-2-1原则数据保留三份两种不同存储介质至少一份放在异地。对我来说本地一个移动硬盘再加一档云同步已经能覆盖大多数场景。系统级备份同样必要。用Windows的“创建恢复驱动器”功能能做一个启动U盘出问题时可以进入恢复界面进行系统还原、镜像恢复、命令行修复。另外定期创建系统还原点虽然不能替代完整备份但至少能回滚最近的软件安装和驱动变更。Windows的备份是把系统整盘镜像保存到另一块硬盘恢复时不用重新装系统能节省大量时间。我还遇到过一次相当有代表性的勒索病毒感染事件某开发者的开发电脑中了蠕虫勒索把本地磁盘的工程文件全部加密了。因为做了一周一次的全盘镜像备份损失始终控制在一个备份周期内。整个过程只花了一个小时重做系统恢复镜像所有代码都回来了。备份不是万能的没有备份是万万不能的这已经是行业内经过无数次验证的教训。7. 安全体检清单给Windows做一次全面排查7.1 30分钟快速体检流程以下是我在面对任何一台陌生Windows电脑时会先做的一套基础体检完整跑一遍大约需要30分钟。第一部分是账户检查。运行net user列出所有账户激活状态里只能看到自己日常用的账户Administrator应处于禁用状态Guest应处于禁用状态。接着打开“计算机管理→本地用户和组→组→Administrators”确认里面只有必要人员。最后确认自己日常登录用的是标准账户而不是管理员账户。第二部分是更新检查。打开Windows更新确认“最近更新检查时间”就在几天之内并且所有可用更新已安装。同时用PowerShell跑一遍Get-HotFix命令确认补丁列表频率正常。第三部分是网络检查。运行cmd输入netstat -ano | findstr LISTENING看到端口清单后逐一核对是否有不认识的端口在监听。如果某个端口对应着陌生进程用任务管理器查该进程路径对应可执行文件不在Program Files里需要重点关注。第四部分是安全中心检查。打开Windows安全中心确认这四个开关都处于开启状态实时保护、云提供的保护、防火墙、SmartScreen。接着把受控文件夹访问设置为开启并把常用文件夹纳入保护范围。第五部分是计划任务与自启动项检查。在任务管理器的启动应用里看是否有未知程序随系统启动。如果发现可疑项右键打开文件位置确认路径后进行禁用或删除。计划任务这个位置也经常被攻击者利用建议用taskschd.msc把计划任务库里的项目过一遍。7.2 常见问题排查速查表我在处理Windows安全问题时最常落入的坑也有几个整理成速查表方便你对照排查现象可能原因优先排查思路开机后风扇高速运转CPU占用高后台有挖矿程序或伪装进程任务管理器查看CPU占用最高的进程查路径和签名运行Defender脱机扫描禁用可疑自启动软件安装后出现大量广告弹窗安装时捆绑了推广软件或程序本身带广告模块在“已安装的应用”中查看近期新增软件卸载未知项重置浏览器主页和默认搜索引擎网络共享文件夹被莫名其妙加密勒索病毒通过局域网或U盘传播断网隔离先查病毒再评估备份最后才考虑付款与否强烈建议不付款远程桌面无法连接但服务已启用防火墙入站规则放行不畅或端口变更确认服务状态“服务”中开启Remote Desktop Services防火墙中允许远程桌面确认公网端口映射和账号强密码频繁弹窗“以管理员身份运行”标准账户日常使用触碰到管理员操作的弹窗确认当前账户确实是标准用户确认UAC设置为默认不要为了省事把标准账户提权7.3 我自己实际体检过后的一些经验总结这套流程跑过很多次后我发现几个反复出现的问题。第一大多数Windows机器的问题根源都是“账户权限过大”和“更新停更”。这两项修好差不多能解决一半问题。在给朋友处理电脑时我甚至不太先动杀毒软件因为杀毒软件已经自带的就很够用了反而是关闭的更新和超管账户最要命。第二很多人把防火墙的“关闭弹窗提醒”理解成“关闭防火墙”。系统在检测到危险行为时弹出的提示不要无脑点忽略至少花一分钟看看这是哪个程序在哪个路径下的动作。我见过不少感染途径就是用户把Windows安全中心数条严重警报一条条忽略过去的。第三不要在关键生产设备上测试新软件、新驱动。先在一台闲置电脑上跑一周确认没有异常再部署到主力机器。很多蓝屏、系统崩溃罪魁祸首不是Windows本身而是一个来源不明的驱动或优化工具。给Windows做了十年的安全“体检”这条放在最后系统维护里最小的事情在关键时刻往往能救你一次。今天这篇文章先到这里下一篇开始进入具体的安全配置实操我会从账户策略和UAC细节讲起——这些东西值得一直深挖。
Windows系统安全的坑我踩了十年。今天这篇是这个系列的第一篇我只做一件事帮你在脑子里建一张Windows安全的全景图。日常环境里最常见的误区有两类一类是“裸奔用户”——系统补丁不装、默认账户裸密码、防火墙从来没管过出事了才发现连日志都是空的另一类是“焦虑用户”——装一堆安全软件互相打架每一个都弹窗提醒最后哪个都没真正配好。这两类我都见过而且都帮人收拾过残局。“深入学习Windows系统安全”这个系列我不会一上来就扔给你某个工具或漏洞利用命令那不是学习安全的方式。先把地基打牢——理解Windows的账户模型、权限机制、更新策略、网络边界、威胁检测和应急响应你后续再看任何攻击分析、应急溯源、加固文档才能在同一个坐标系里看懂。这篇文章面向的人很明确想系统入门Windows安全的新人、需要做办公网加固的运维、以及对攻防原理感兴趣但觉得“安全”太玄的开发者。看完你能做出一件很实在的事情——照着一份体检清单把你手头这台Windows机器从“能用”调成“比较能打”。1. 先建立全局观Windows安全到底在防什么1.1 威胁模型你真正需要担心的四类敌人Windows安全经常被误解成“装个杀毒软件”。但杀毒软件只是防线里的一环甚至不是最核心的一环。要搞清楚Windows安全在做什么先要定义敌人。我习惯把日常环境里的威胁分成四类。第一类是恶意软件。包括木马、勒索病毒、挖矿程序、流氓软件。这类威胁的特点是“你不理它它就来找你”通过钓鱼邮件附件、破解软件安装包、U盘自动运行、恶意网页下载进入系统。第二类是身份冒用。攻击者猜中或窃取了某个账户的密码然后以你的身份登录系统、读取文件、发钓鱼邮件、改数据。第三类是漏洞利用。系统或第三方软件存在漏洞攻击者用一段精心构造的输入触发漏洞在不需要密码的情况下获得控制权。第四类是内部误操作。包括管理员把Everyone权限分配给敏感文件夹、有人把防火墙直接关掉、私自把配置改成开放共享——这类问题没有“黑客”参与但破坏力一点都不小。理解了这四类威胁Windows安全的所有机制就都能对号入座。反病毒对付第一类账户策略对抗第二类补丁管理消减第三类权限审计和基线管理解决第四类。没有一套机制能同时管这四件事所以Windows安全从来不是单点方案而是一层一层的纵深防御。1.2 纵深防御为什么Windows要有这么多层防线“纵深防御”这个词被说滥了但放在Windows场景里其实非常具体。你可以把每一层理解为一道关卡攻击者想要伤害你的数据得一层一层过。第一层是人。不打开陌生附件、不下载破解软件、不把密码贴在显示器上。这层最便宜也最脆弱。第二层是账户体系。Windows通过账户、口令策略、用户组权限来控制“谁可以进来、进来能干什么”。第三层是系统加固。把默认开放的功能关闭把不必要的服务停掉把权限最小化。第四层是更新管理。通过补丁修复已知漏洞让攻击者手里公开的利用手段失效。第五层是网络防护。防火墙控制了数据进出主机的通道默认阻止所有未经允许的入站连接。第六层是威胁检测。杀毒软件、SmartScreen、攻击面减少规则在恶意代码执行之前拦一道。第七层是响应与恢复。万一前六层都被突破日志审计能帮你定位问题备份能让你把系统拉回来。很多人问Windows不是自带安全中心吗怎么还要学这么多答案是安全中心只覆盖了第六层的一部分。账户策略、补丁管理、防火墙出站规则、日志审计——这些都需要你手动介入。这也是为什么教程必须一套一套写明白而不是只告诉你“把更新打开”。2. 账户与权限管理Windows安全的地基2.1 别再天天用管理员账户了UAC的意义与正确用法我第一次看到同事用Administrator账户跑日常办公时心里咯噔一下。那种状态的实质是任何代码包括网页脚本、文档宏、U盘里的恶意程序运行起来都带着管理员权限。Windows有保护机制也没办法拦因为账户本身就是最高权限。Windows为了解决这个问题引入了UAC用户账户控制。从Vista开始管理员账户的权限令牌被一分为二一个是受限的标准令牌用于日常操作一个是完整的管理员令牌只有当你点击“以管理员身份运行”并确认弹窗时才启用。普通程序、后台进程、恶意软件拿到的默认都是受限令牌很多破坏性操作需要写入系统目录、修改注册表、创建服务——这些行为在这套机制下会被挡住。实操建议非常明确日常登录使用标准账户只有需要安装软件、修改系统设置时才切换到管理员账户或者使用“以管理员身份运行”。如果你的公司电脑是用域账号管理的IT管理员也应当默认给普通员工标准用户权限而不是每个人都是本地管理员。2.2 内置账户与用户组的角色认知Windows系统有几个内置账户需要特别关注。Administrator是系统内置的超级管理员安装系统时如果你创建了别的账户它通常被禁用。有人为了图方便把它启用并设置空密码这是灾难级的操作。我的建议保持禁用除非你在做离线环境下的故障修复并且必须配合强密码和登录审计。Guest账户默认禁用但偶尔会被某些精简版系统或者优化工具误开启。检查方法很简单在命令提示符里执行以下命令net user net user Guest如果Guest账户的状态显示为活动要么禁用掉要么给它设一个强密码别让它空着。网络上针对Windows的攻击扫描特别偏爱这类默认账户因为字典口令里永远有它们的名字。用户组决定了一个账户能做什么。Administrators组拥有系统完全控制权Users组的成员只能操作自己的文件和部分公共目录Guests组权限最弱。经验法则就一条按最小权限分配够用就好。桌面运维岗需要装软件、改网络配置可以给用户加入一个专门的装机账户组而不是直接扔进Administrators。2.3 密码策略与账户锁定把暴力破解挡在门外很多人觉得只要密码够长就安全了这没错但不完整。Windows安全策略里有一套密码策略隐藏在“本地安全策略”中需要以管理员身份运行secpol.msc查看。这里面有三个参数最关键。密码长度最小值建议14位以上密码复杂性要求启用后强制字母、数字、符号混合密码最长使用期限建议90天。很多人抱怨复杂密码记不住我的折中建议是用一句只有你自己知道的短语变形比如某句歌词的首字母加上数字和符号既满足复杂度要求又不会和生日、手机号撞车。账户锁定策略同样容易被忽略。如果账户没有锁定阈值攻击者可以每秒尝试几十个密码而不被阻止。建议设置连续5次失败后锁定15分钟。这样做对暴力破解非常有效但同时要提醒一句如果攻击者故意用这种方式锁定某个管理员账户可能导致人为拒绝服务。所以在真正的高价值环境里一般还会配合智能锁定策略——比如同一来源IP失败多次才锁定这个属于后面系列文章中会展开的内容。3. 补丁管理Windows保持健康的基本功3.1 Windows更新的类型与节奏Windows的更新可以分为几个类型。质量更新也就是平时说的安全补丁用于修复已证实的漏洞通常每个月批量推送一次行业内习惯叫“补丁星期二”。功能更新一年推出几次的大版本包含新功能和安全架构调整。驱动程序更新硬件厂商提供的驱动修复。定义更新主要是反病毒和反间谍软件的病毒库更新。对待补丁我见过两种极端。一种是完全不更新害怕“更新后变卡”“蓝屏”。另一种是每个预览版更新都抢着装结果在自己机器上翻车。正确的节奏是质量更新和定义更新全部自动安装功能更新可以手动推迟到微软官方确认没有大问题后再上推迟时间建议两到三周。生产环境、服务器环境的补丁策略则需要先在测试机验证再批量推送。打开Windows更新设置时注意“更新完成后是否重启”这个设定。补丁装了不重启很多修复不会真正生效。尤其对于安全补丁如果系统一直不重启等于漏洞还在。所以个人环境建议把自动重启安排在空闲时段比如凌晨而不是永远选择“稍后”。3.2 补丁管理实战检查缺失补丁的方法如果你不是IT管理员也有办法自查补丁状态。按下WinR输入winver可以查看当前系统版本在“查看已安装的更新”里能核对补丁号。更专业一点的做法是使用PowerShell查询Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10这条命令会列出最近安装的补丁。如果列表里长期没有新条目而你的网络连接又正常基本可以断定更新通道出了问题。常见原因包括更新服务被禁、第三方优化软件把更新组件停掉、或者处于某种特殊网络环境中。我还遇到过一种情况员工为了禁止系统自动重启用工具把Windows Update服务设成了禁用。结果几个月后系统被勒索病毒打穿溯源日志里只有一个本可以提前修补的漏洞痕迹。这就是典型的“用安全换便利最后赔了本”。3.3 第三方软件比系统本身更容易被盯上的入口Windows系统的漏洞修补得再好也顶不住第三方软件全网喊打。办公电脑上装一堆绿色版、破解版软件更新模块被精简掉了然后运行着旧版本——这种情况在现实中比比皆是。攻击者也清楚这点所以关于第三方软件的几条建议只从官方渠道下载安装包。国内很多下载站会把安装包和推广软件捆绑在一起这不是危言耸听。安装时选择自定义安装去掉附加组件。软件开启自动更新特别要强调浏览器、压缩软件、PDF阅读器、远程控制工具这四类它们暴露在攻击面上的概率最高。卸载不再使用的软件尤其是那种开机自启、常驻右下角的工具每多一个都非常容易变成新的破口。4. 网络边界与Windows防火墙4.1 防火墙在Windows里到底是怎么工作的Windows自带的Windows Defender防火墙是被低估最严重的安全功能。很多人的认知是“防火墙就是弹窗拦截程序”其实完全搞反了。Windows防火墙工作在网络层它检查的是端口级别的流量方向不是某个程序的行为。它包含三类网络配置文件域配置文件用于加入域环境的公司网络专用配置文件用于家庭或可信网络公用配置文件用于咖啡厅、酒店这类公共网络。默认状态下公用配置文件的入站连接是全部阻止的专用网络则根据规则允许部分共享。这里有一件重要的事当你连接一个陌生Wi-Fi时Windows会弹窗问“这是专用还是公用网络”一定要选公用。选错意味着别人在同一局域网里可以尝试访问你的共享文件夹、远程管理端口。4.2 配置入站与出站规则给系统设置门禁防火墙规则大体分两类入站规则和出站规则。入站规则控制的是外部设备能否主动连接到你的电脑攻击者想要利用你某个端口上的服务漏洞就必须有入站流量到达这个端口。Windows默认禁止所有未允许的入站连接普通办公场景下这个默认值就够安全了。出站规则控制的是你电脑上的程序能否向外部发起连接。它的重要性在于恶意软件也好被攻破后的木马也罢控制者让它向外传输数据或者连接命令控制服务器这属于出站流量。Windows默认允许所有出站连接想把出站也管起来需要新建规则并选择“阻止未允许的出站连接”。这一步效果明显但是非常影响日常使用很多软件更新、云同步工具都会出问题。我建议在个人环境里先把入站控制做好出站控制只在应急响应阶段或高安全需求场景使用。命令行的检查方式netsh advfirewall show allprofiles看到三种配置文件的“状态”都应该为启用入站连接默认为阻止这样才能确认防火墙没有拖后腿。如果某天网络共享、打印机发现不了第一反应去查防火墙的入站规则是不是把相关功能服务拦了而不要直接整个关闭防火墙。关闭防火墙解决问题等于为了防一位客人敲门就把大门拆掉。4.3 端口与服务不必要的连接面要及时收紧防火墙之后系统性排查不该对外暴露的端口很重要。用netstat可以查看当前监听端口netstat -ano | findstr LISTENING139、445端口在办公环境里用于文件共享但如果你的电脑不需要被别人访问共享文件夹这两端口完全没必要对外开放。3389是远程桌面端口对着公网暴露就意味着每天被无数扫描器翻来覆去撞库。Windows服务里“Server服务”提供文件与打印机共享不需要时建议把它禁用远程桌面服务不需要时也保持关闭。服务配置用services.msc打开服务管理器找到对应服务设置为禁用。如果有公网映射端口的需求一定配上强密码考虑使用堡垒机跳转这是前提。5. 恶意软件防护Windows安全中心与日常使用习惯5.1 Windows安全中心的完整能力清单很多用户不知道Windows系统自带安全中心具备一套完整防护不需要优先装第三方全家桶。在“Windows安全中心”面板里分别有病毒和威胁防护、账户保护、防火墙和网络保护、应用和浏览器控制、设备安全性、设备性能和运行状况、家庭选项这几块。病毒和威胁防护里有两项容易被忽略。“勒索软件防护”中的“受控文件夹访问”非常实用你指定信任的文件夹只有受信任的应用才能修改里面的文件勒索病毒想加密你的重要资料就会被拦下来。建议把“文档”“图片”“桌面”这类目录加进去首次打开时某些旧软件可能写入异常需要手动允许。“利用保护”提供了一组微软研究总结出的缓解措施能阻止很多常见漏洞利用手法建议保持默认开启。“应用和浏览器控制”中的SmartScreen会在你运行下载来的未知程序或访问可疑网站时给出拦截提示。很多老用户嫌它烦关掉了这是非常不明智的。它的离线与云端信誉检查已经帮无数人挡过加密勒索。5.2 日常使用习惯哪些操作最容易被植入恶意代码杀毒软件只能提供防线真正决定系统生死的还是习惯。我见过最频繁的出事情景有三个下载破解软件。很多人对破解版软件没有抵抗力但破解补丁本身就是恶意代码的绝佳载体。攻击者往里面塞一个木马杀毒软件能查出来的概率并不算高因为补丁程序的运行原理就包含修改系统文件这恰好也是木马的行为特征。弹出的那个“软件安装完成点击领取激活码”或者网页上的“极速下载”按钮前几年大量传播的推广软件和广告程序都靠这种套路。下载软件一定要认准官方域名不要用搜索引擎旁边带“广告”标识的链接。U盘与移动硬盘的交叉使用。在别人电脑上插过的U盘回来插入自己电脑时Windows默认是自动播放。建议在“自动播放”设置里把所有可移动驱动器都设为“不执行操作”。尤其是同事之间互相拷文件谁的电脑中毒都不知道U盘一旦插进去恶意代码就可能借助自动播放感染当前机器。5.3 定期扫描与全盘检查的节奏Windows安全中心的“快速扫描”很快但覆盖范围有限。我的建议周期是每周做一次快速扫描每月做一次全盘扫描。全盘扫描时间较长可以放在睡前进行。每月另外做一次带Defender脱机扫描的操作这种扫描在Windows恢复环境里执行比正常系统里扫描更能发现顽固恶意程序。操作路径Windows安全中心→病毒和威胁防护→扫描选项→Microsoft Defender脱机扫描。如果你的电脑已经表现出异常比如风扇狂转、CPU占用高、出现陌生弹窗可以先从“启动应用”里禁用可疑自启动项再运行脱机扫描。脱机扫描会把待修复项自动清理掉这也是最接近“一键杀毒”的官方操作。6. 日志审计与应急准备为翻车做的最后保险6.1 读懂事件查看器Windows安全日志的真正价值Windows把系统的每一次关键动作都记录在“事件查看器”里。日常没人看它出事时它是第一手证据。按WinX选择“事件查看器”展开“Windows日志”下的“安全”节点你能看到大量登录事件、账户管理事件。这里面最值得关注的事件ID有这些4624代表成功登录审计人员需要看它的登录类型和源IP。登录类型有网络登录、交互式登录、服务等类型10是远程桌面登录。4625代表失败登录如果短时间内大量4625事件说明正有人在暴力破解。4720代表创建了新用户出现这条要警惕正常环境很少有人去创建新账户突然出现说明可能有攻击者在使用后门种下隐藏账户。4672代表特殊权限被调用管理员在执行敏感操作时会记录。开启更详细的审核策略可以在“本地安全策略”的“审核策略”中对“登录事件”“账户管理”“对象访问”“进程创建”这几个类别启用“成功”和“失败”审核。进阶环境里还能开启进程创建的事件ID 4688这样记录每个进程的启动命令行“后面讲攻防溯源时不会缺数据”。6.2 备份与恢复你最后一条退路安全做得再好也要准备“推倒重来”。Windows自带的文件历史记录、备份和还原等工具配合第三方网盘的同步能满足个人用户的数据保护需求。重点讲一下个人环境的基本原则即3-2-1原则数据保留三份两种不同存储介质至少一份放在异地。对我来说本地一个移动硬盘再加一档云同步已经能覆盖大多数场景。系统级备份同样必要。用Windows的“创建恢复驱动器”功能能做一个启动U盘出问题时可以进入恢复界面进行系统还原、镜像恢复、命令行修复。另外定期创建系统还原点虽然不能替代完整备份但至少能回滚最近的软件安装和驱动变更。Windows的备份是把系统整盘镜像保存到另一块硬盘恢复时不用重新装系统能节省大量时间。我还遇到过一次相当有代表性的勒索病毒感染事件某开发者的开发电脑中了蠕虫勒索把本地磁盘的工程文件全部加密了。因为做了一周一次的全盘镜像备份损失始终控制在一个备份周期内。整个过程只花了一个小时重做系统恢复镜像所有代码都回来了。备份不是万能的没有备份是万万不能的这已经是行业内经过无数次验证的教训。7. 安全体检清单给Windows做一次全面排查7.1 30分钟快速体检流程以下是我在面对任何一台陌生Windows电脑时会先做的一套基础体检完整跑一遍大约需要30分钟。第一部分是账户检查。运行net user列出所有账户激活状态里只能看到自己日常用的账户Administrator应处于禁用状态Guest应处于禁用状态。接着打开“计算机管理→本地用户和组→组→Administrators”确认里面只有必要人员。最后确认自己日常登录用的是标准账户而不是管理员账户。第二部分是更新检查。打开Windows更新确认“最近更新检查时间”就在几天之内并且所有可用更新已安装。同时用PowerShell跑一遍Get-HotFix命令确认补丁列表频率正常。第三部分是网络检查。运行cmd输入netstat -ano | findstr LISTENING看到端口清单后逐一核对是否有不认识的端口在监听。如果某个端口对应着陌生进程用任务管理器查该进程路径对应可执行文件不在Program Files里需要重点关注。第四部分是安全中心检查。打开Windows安全中心确认这四个开关都处于开启状态实时保护、云提供的保护、防火墙、SmartScreen。接着把受控文件夹访问设置为开启并把常用文件夹纳入保护范围。第五部分是计划任务与自启动项检查。在任务管理器的启动应用里看是否有未知程序随系统启动。如果发现可疑项右键打开文件位置确认路径后进行禁用或删除。计划任务这个位置也经常被攻击者利用建议用taskschd.msc把计划任务库里的项目过一遍。7.2 常见问题排查速查表我在处理Windows安全问题时最常落入的坑也有几个整理成速查表方便你对照排查现象可能原因优先排查思路开机后风扇高速运转CPU占用高后台有挖矿程序或伪装进程任务管理器查看CPU占用最高的进程查路径和签名运行Defender脱机扫描禁用可疑自启动软件安装后出现大量广告弹窗安装时捆绑了推广软件或程序本身带广告模块在“已安装的应用”中查看近期新增软件卸载未知项重置浏览器主页和默认搜索引擎网络共享文件夹被莫名其妙加密勒索病毒通过局域网或U盘传播断网隔离先查病毒再评估备份最后才考虑付款与否强烈建议不付款远程桌面无法连接但服务已启用防火墙入站规则放行不畅或端口变更确认服务状态“服务”中开启Remote Desktop Services防火墙中允许远程桌面确认公网端口映射和账号强密码频繁弹窗“以管理员身份运行”标准账户日常使用触碰到管理员操作的弹窗确认当前账户确实是标准用户确认UAC设置为默认不要为了省事把标准账户提权7.3 我自己实际体检过后的一些经验总结这套流程跑过很多次后我发现几个反复出现的问题。第一大多数Windows机器的问题根源都是“账户权限过大”和“更新停更”。这两项修好差不多能解决一半问题。在给朋友处理电脑时我甚至不太先动杀毒软件因为杀毒软件已经自带的就很够用了反而是关闭的更新和超管账户最要命。第二很多人把防火墙的“关闭弹窗提醒”理解成“关闭防火墙”。系统在检测到危险行为时弹出的提示不要无脑点忽略至少花一分钟看看这是哪个程序在哪个路径下的动作。我见过不少感染途径就是用户把Windows安全中心数条严重警报一条条忽略过去的。第三不要在关键生产设备上测试新软件、新驱动。先在一台闲置电脑上跑一周确认没有异常再部署到主力机器。很多蓝屏、系统崩溃罪魁祸首不是Windows本身而是一个来源不明的驱动或优化工具。给Windows做了十年的安全“体检”这条放在最后系统维护里最小的事情在关键时刻往往能救你一次。今天这篇文章先到这里下一篇开始进入具体的安全配置实操我会从账户策略和UAC细节讲起——这些东西值得一直深挖。
平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测)
