使用组策略统一管理Windows服务器安全设置

管理Windows服务器，最忌讳的就是“手动操作一时爽，审计排障火葬场”。很多运维人员习惯在本地安全策略（secpol.msc）里逐台修改，服务器少时还能应付，一旦上了规模，面对几十上百台服务器，这种碎片化的管理方式会直接导致安全基线失控。要解决这个痛点，必须将安全策略的部署从“单机模式”切换到“域控模式”。通过组策略（Group Policy）统一分发安全设置，不仅能确保每一台加入域的Windows Server都强制执行完全一致的安全锁死规则，还能利用组策略的强制刷新机制，自动修复被篡改的配置。

在深入具体配置前，必须理解Windows的安全架构层级。在域环境下，安全设置的生效顺序是：本地策略先应用，然后是站点、域、组织单位（OU）的组策略依次叠加。关键在于，除非你启用了“强制”策略，否则后应用的策略会覆盖先应用的策略。这意味着，域级别的组策略对象（GPO）天然具备覆盖本地管理员随意修改的能力。我们的目标是创建一套专门针对服务器操作系统的GPO，利用安全筛选或OU划分，精准地将这些高强度的安全策略只应用到服务器群组，避免影响客户端用户的正常办公体验。

账户策略是服务器安全的地基，必须在GPO的“计算机配置” -> “策略” -> “Windows设置” -> “安全设置” -> “账户策略”下进行硬性规定。密码策略方面，绝不能只满足于“复杂度要求”，必须启用“用可还原的加密来储存密码”为“已禁用”。更硬核的做法是设置最小密码长度为14位以上，并强制密码最长使用期限为42天。但这里有一个容易被忽视的隐患：过于频繁的密码更换会导致用户使用弱口令或规律性密码。因此，建议配合“强制密码历史”设置为24次，防止用户循环使用旧密码。

账户锁定策略是防暴力破解的关键。建议将“账户锁定阈值”设为5次无效登录，“账户锁定时间”设为30分钟，“重置账户锁定计数器”设为30分钟。这种配置既能有效阻断在线爆破，又不至于因为用户误触导致大量工单。对于特权账户，还可以通过“受保护的用户”组进行额外加固，这部分配置虽然不在传统账户策略里，但可以通过组策略首选项将其强制加入。

没有审计的安全是空中楼阁。在高级审核策略配置中，需要摒弃传统的9项基本审计，转而启用基于类别的细化审计。登录事件是重中之重，必须开启“审核登录”和“审核特殊登录”的成功与失败。特别是“审核特殊登录”，它能记录下管理员使用RunAs或通过远程桌面提升权限的行为。对象访问审计则要结合文件服务器的敏感目录，开启“审核文件系统”和“审核注册表”的全局对象访问。这里有个性能调优技巧：不要无差别开启所有审计，否则安全日志会瞬间被淹没。建议只针对“Everyone”组的写入、修改、删除权限进行审计，忽略只读操作。

这是组策略安全设置中最硬核的部分，直接决定了攻击者即便拿到了本地管理员密码，还能做什么。核心原则是“最小权限”。在“用户权限分配”中，必须严格配置“从网络访问此计算机”。默认情况下，该权限包含了“Everyone”和“Administrators”等组，建议将其严格限定为“Authenticated Users”或特定的管理组，直接删除“Everyone”和“Guest”。

更关键的是“允许通过远程桌面服务登录”，这里绝对不能包含“Domain Users”，必须手动指定一个专门的安全组，比如“Server-RDP-Users”。同样，“拒绝从网络访问这台计算机”和“拒绝通过远程桌面服务登录”应显式加入“Local Account”和“Guest”。对于极其敏感的“调试程序”和“取得文件或其他对象的所有权”权限，必须从默认的“Administrators”组中剥离，仅在需要时通过临时组成员身份赋予。这能有效阻断攻击者在拿到系统权限后植入内核级后门或篡改文件权限。

安全选项中的注册表键值修改是服务器加固的灵魂。首先，必须修改“网络访问: 本地账户的共享和安全模型”，从“经典”改为“仅来宾”。但对于服务器而言，更推荐保持“经典”模式，因为服务器需要严格的用户身份验证，改为“仅来宾”会导致UAC提权异常。真正需要修改的是“账户: 来宾账户状态”为“已禁用”，以及“账户: 使用空密码的本地账户只允许进行控制台登录”为“已启用”。

针对内网横向移动攻击，必须配置“Microsoft网络服务器: 对通信进行数字签名(始终)”为“已启用”。这能强制SMB协议签名，彻底阻断SMB中继攻击。同时，禁用“Microsoft网络服务器: 在挂起会话之前所需的空闲时间”为15分钟以下，防止会话被劫持。对于UAC（用户账户控制），服务器端不能像客户端那样直接关闭，必须将“用户账户控制: 以管理员批准模式运行所有管理员”和“用于内置管理员账户的管理员批准模式”全部设为“已启用”，确保即使是默认的Administrator账户也受UAC约束。

利用组策略管理防火墙规则，是实现零信任微隔离最廉价且高效的手段。不要依赖本地防火墙规则，那些在组策略刷新后会被覆盖。在“高级安全Windows Defender防火墙”中，建议采用“拒绝所有入站，允许例外”的策略。对于Web服务器，仅开放TCP 443和80；对于数据库服务器，仅向应用服务器的特定IP段开放TCP 1433。这里有个高级用法：通过组策略的“连接安全规则”强制要求入站连接必须进行IPsec身份验证，这样即使在同一网段，未加入域的恶意设备也无法与服务器建立TCP连接。

组策略编辑器虽然强大，但并非万能。例如，想要统一禁用服务器上的TLS 1.0和TLS 1.1，或者配置.NET Framework的加密强度，在组策略模板中并没有直接对应的管理模板。这时必须借助组策略的“启动脚本”或“关机脚本”功能，通过PowerShell来修改注册表。以下是一个通过组策略脚本强制启用TLS 1.2并禁用旧版协议的示例：

# 设置服务器端启用TLS 1.2
New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Force | Out-Null
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Name 'Enabled' -Value 1 -Type DWord
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Name 'DisabledByDefault' -Value 0 -Type DWord

# 禁用TLS 1.0服务器端
New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server' -Force | Out-Null
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server' -Name 'Enabled' -Value 0 -Type DWord
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server' -Name 'DisabledByDefault' -Value 1 -Type DWord

将此脚本保存为.ps1文件，在GPO的“计算机配置” -> “策略” -> “Windows设置” -> “脚本(启动/关机)”中双击“启动”，添加此PowerShell脚本。注意，脚本的执行策略需要在同一GPO的管理模板中设置为“允许本地PowerShell脚本运行”或通过“以Bypass模式运行”。

微软会定期发布安全合规性工具包（SCT），其中包含针对不同Windows Server版本的安全基线。这些基线以GPO备份的形式存在，同时提供了大量的ADMX/ADML管理模板文件。务必下载并更新域控中央存储库中的这些模板文件。特别是“MS Security Guide”和“Windows Defender防病毒”相关的模板，它们提供了比默认安装更细粒度的控制项，例如“启用结构化的异常处理覆盖保护”、“阻止从互联网下载的Office宏”等。将这些新模板导入后，直接在GPO的“管理模板”部分配置，比手改注册表更规范且不易出错。

策略配置完成后，千万不要以为只要在域控上点了确定就万事大吉。服务器端的组策略刷新间隔默认为90分钟，加上随机偏移量最长可达120分钟。对于紧急的安全修复，必须使用命令强制刷新。在域控上，可以针对特定OU内的服务器使用Invoke-Command进行批量远程刷新：

$servers = Get-ADComputer -Filter * -SearchBase "OU=Servers,DC=contoso,DC=com" | Select-Object -ExpandProperty Name
Invoke-Command -ComputerName $servers -ScriptBlock { gpupdate /force /target:computer }

验证是最后一道保险。不能只看gpresult /r，那只是看策略是否应用。必须使用RSOP（策略的结果集）或安全合规性管理器进行深度扫描，确认注册表键值确实被修改。例如，验证TLS 1.0是否真的被禁用，可以直接查询对应的注册表路径。只有经过这种闭环验证，才能确保你的安全设置不仅仅是“已配置”，而是“已生效”。

一个成熟的安全架构必须考虑“谁来管理管理员”。为了防止具有域管理员权限的人随意修改服务器安全GPO或将其链接删除，需要对此GPO进行严格的权限委派。在GPO的“委派”选项卡中，移除“Authenticated Users”的“应用组策略”权限，只保留“读取”权限。将“应用组策略”权限显式赋予“Domain Computers”或你专门划分的服务器安全组。同时，在“高级”权限设置中，限制非核心管理员对GPO本身的“编辑”、“删除”和“修改安全”权限。这能防止攻击者通过提权后解绑组策略来解除安全限制。