装好Windows之后我一般不会马上把软件装齐而是先把系统安全相关的东西过一遍。这个习惯是几年前帮人处理一台被勒索病毒加密的电脑之后养成的那台机器所有文档都变成了奇怪后缀系统里还开着默认的管理员共享、防火墙几乎等于没开、UAC也被关掉了。把数据恢复出来之后我花了很长时间琢磨到底哪些操作和认知能真正降低类似风险。今天这篇就把这套Windows系统基础安全和操作认知的东西完整写出来适合刚接触Windows的小白也适合需要管几台Windows机器的运维新人看。这不是一篇教你装某个安全软件的文章而是帮你重新理解Windows这台系统本身的安全边界在哪里。1. 新装系统阶段安全认知的第一道分水岭1.1 先搞清楚这台机器要承担什么角色拿到一台新电脑或者新装好的Windows系统第一件要做的事不是急着联网装软件而是先想清楚一个问题这台机器将来是干什么用的个人上网、写代码、做文件服务器、还是当域内的工作站这个问题的答案直接决定了后面所有安全配置的松紧程度。比如家里和公司办公用的Windows日常使用场景相对固定但对外接收文件、浏览网页的频率很高那么重点就放在浏览器隔离、受控文件夹访问、备份策略这些方面。如果是要做服务器比如Windows Server 2016那思路就完全不同了——默认情况下服务器系统装好后远程桌面、端口访问、账号密码策略这些都得按最小化原则来卡能不开的服务一个都不要开多开一个端口就意味着多一个被攻击面。还有一点容易被忽略系统版本的选择本身也是一种安全决策。Windows 11家庭版和专业版的安全功能并不完全一样专业版多了BitLocker设备加密、Hyper-V、Windows Sandbox、本地安全策略这些工具。如果你只是追剧聊天家庭版问题不大但如果你平时会拷贝一些重要资料在电脑上或者偶尔想开个沙箱试试来路不明的程序那我建议宁可多花点预算上专业版。版本选错后面想用组策略和BitLocker发现用不了再折腾升级就很被动。系统更新也是一样的道理。很多人觉得Windows更新烦总是弹重启于是干脆把自动更新关了。这个操作我劝你不要做或者至少不要彻底关。Windows更新补丁里很大一部分是安全修复不是功能更新那些被修复的漏洞在补丁发布之后很快会被研究透不更新的机器就像小区大门一直敞着。你可以把补丁时间安排到深夜但不要关掉更新服务。我自己的习惯是让系统自动下载补丁重启时间安排在凌晨基本不影响白天工作。1.2 账户权限别让自己的日常操作永远挂着管理员身份接下来是账户体系。很长一段时间里我自己也图省事直接用一个管理员账户当日常主力UAC弹窗就点是感觉效率很高。后来在Windows安全日志里看到不少4625类型的失败登录尝试才意识到问题有多严重——如果日常使用的账户本身就拥有管理员权限那么任何恶意软件跑到当前用户上下文里也就自动继承了管理员权限连提权这一步都省了。建议你从现在开始做一件事新建一个标准用户账户日常工作、娱乐都用它再单独保留一个管理员账户最好改个名字用来做系统级更改比如装驱动、改安全策略。这样哪怕你浏览了一个带漏洞的网页恶意脚本在标准账户下也只能破坏当前用户的数据没办法直接改写系统目录或者注册表关键项。实际操作很简单在设置 - 账户 - 家庭和其他用户里添加一个新用户然后把这个用户设置为标准用户即可。很多人在这一步会感觉麻烦因为标准账户下装软件经常要输入管理员密码。这个密码输得越多其实越说明系统在保护你。UAC弹窗并不是烦人它是Windows的权限边界提醒你现在运行的这个程序要申请管理员权限了它想做的不只是普通用户层面的事你确认这是你自己操作的吗如果连这个弹窗都懒得看长期关闭UAC那等于把最后一道权限检查拆掉了。建议UAC级别保持默认或者调高到始终通知永远不要拖到最下面从不通知。1.3 BitLocker 与 TPM硬盘丢了不等于数据一定泄露提到数据安全很多人第一时间想到的是设置Windows登录密码。但登录密码只能挡住别人开机后直接进系统拦不住另一种场景对方把你的硬盘拆下来挂到另一台机器上直接读文件。这种情况就需要加密整个磁盘。Windows自带的BitLocker就是干这个事的。它利用现代主板上几乎都有的TPM安全芯片把整个系统盘加密开机时TPM校验系统启动环境的完整性确认没问题后再解锁磁盘。这样即使硬盘被拆走拿到的也是一堆密文。启用BitLocker其实不复杂在设置 - 隐私和安全性 - 设备加密部分版本在控制面板 - BitLocker驱动器加密中打开按提示设置即可。关键是把恢复密钥保存好最好打印一份放安全的地方一旦忘了PIN或者换硬件恢复密钥就是你最后一把钥匙。我在实际工作中见过不少人嫌BitLocker输PIN码麻烦就关掉了结果后来电脑被偷才来后悔。说实话对大多数人而言日常使用中加密带来的那几秒开销完全值得它买的是数据只属于自己的确定性。如果是企业环境IT管理员应该在域策略里直接强制启用设备加密而不是给用户留选择空间。2. 基础防线里的三层防御Defender、防火墙、UAC2.1 Windows Defender不是摆设但要学会喂规则Windows自带的Microsoft Defender现在的查杀能力已经比前几年强很多它不是那种装了就再也不用管的软件也不是什么都能查出来的神器。正确心态是把它当一个需要持续维护的看门狗。Defender有几个能力容易被忽略实时保护、云提供的保护、受控文件夹访问、勒索软件防护。受控文件夹访问特别值得开启它允许你指定受保护的文件夹比如桌面、文档一旦有程序试图对这些文件夹做未授权的修改Defender会直接阻止。这对勒索病毒尤其有效勒索病毒的特征就是把文件加密然后要赎金受控文件夹访问相当于给重要目录加了一把只允许白名单程序触碰的锁。在管理员PowerShell窗口里可以快速检查Defender运行状态Get-MpComputerStatus这个命令会返回实时保护是否开启、病毒库版本、上次扫描时间等信息。我建议每周扫一次快速扫描同时记得确保Windows更新正常推送病毒库。如果发现实时保护被莫名其妙关闭那就要小心了可能是恶意程序做了手脚也可能是安全软件冲突把Defender接管了需要立刻排查。Defender不是万能的。对于无文件攻击、宏病毒或者经过深度混淆的样本单靠特征库不一定拦得住。所以我的原则是Defender作为底座配合上UAC、账户权限、软件来源控制形成纵深防御而不是把宝全押在一层上。2.2 防火墙与端口别让自己家的门开着都不知道Windows防火墙默认是开启的正常情况下会阻止绝大部分入站连接。但很多人为了局域网共享、远程调试、跑一些服务会手动添加入站规则或者干脆关闭防火墙这里面的风险往往被低估。想看一下本机当前哪些端口在监听可以在管理员PowerShell里执行Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess这个命令会把所有处于监听状态的TCP端口列出来并附上对应的进程ID。如果你看到一个不认识的进程在监听一个不常用端口那就值得警惕。拿前面的OwningProcess去查进程名Get-Process -Id 1234 | Select-Object ProcessName, Path路径如果落在临时目录、下载目录这些可疑位置就要立刻断网排查。这套组合拳是我做Windows主机信息收集时最常用的方法也是排查后门和恶意程序的第一步。端口不是不能开而是要问自己这个端口有必要对外开放吗比如远程桌面默认端口3389如果只是在家用那倒无所谓但如果这台机器能通过公网访问那我强烈建议关闭远程桌面功能。很多攻击者会自动扫描公网上的3389端口然后尝试弱口令爆破。如果确实需要远程管理宁可走系统自带的安全远程访问方案也不要简单粗暴地把端口映射出去。记住每开一个不必要的端口就是给攻击面多留一扇窗。2.3 UAC弹窗的真正含义提权开关不能随便关UAC用户账户控制从Windows Vista开始存在到现在多年了依然有很多人第一反应就是把它关掉。我能理解那种每次装软件都弹两次确认窗口的烦躁但如果我们理解UAC背后的逻辑就会觉得这个设计其实是Windows安全模型里非常重要的一道闸门。Windows里进程运行有两种令牌标准用户令牌和管理员令牌。当你登录的是管理员账户时默认情况下所有程序都还是以标准权限运行的只有当你请求需要管理员权限的操作时系统才会弹出UAC提示经过确认后提升到管理员令牌。换句话说UAC把拥有管理员身份和使用管理员权限这两件事拆开了。如果你把UAC关掉那么任何进程在管理员账户下一启动就是管理员权限浏览器里一个漏洞利用链就直接打通了。这个代价远大于那几次弹窗消耗的时间。正确做法是把UAC保持默认同时日常使用标准账户登录这样大部分恶意软件根本拿不到管理员权限连系统目录都碰不到。我自己在测试一些可疑工具时都是先用Windows Sandbox跑一遍再决定是否在真实系统里执行。3. 动手加固一次系统从配置到日志审计3.1 先做一次安全基线检查摸清系统现状很多人觉得系统加固就是装个软件、点两下优化但实际上第一步应该是摸底。你连自己系统当前开了什么端口、有哪些用户、装了哪些更新、Defender是否正常都不知道谈何安全我之前给几台Windows机器做安全巡检时第一步永远是收集系统信息。管理员PowerShell里可以快速拉出一批关键信息systeminfo Get-LocalUser Get-LocalGroupMember -Group Administrators Get-Service | Where-Object {$_.Status -eq Running} Get-MpComputerStatussysteminfo可以看到系统版本、补丁情况、网卡信息Get-LocalUser查看本地账户列表排查是否有陌生账户是最基本的账户安全检查。Administrators组成员这个更要重点看因为多一个管理员就等于多一对可以翻牌的钥匙。如果是域环境还要关注本地管理员密码是否统一管理尽量用受保护的管理员方案去限制域内机器的本地管理员权限。做完这些你才算对自己管理的Windows主机有了底。3.2 关闭用不上的服务和远程管理入口Windows系统默认开启的服务里有不少在普通场景下根本用不到但每一个运行中的服务都是潜在的攻击入口。比如Print Spooler服务打印后台处理程序在不需要共享打印机的机器上可以直接禁用这个服务历史上出现过多次严重的远程代码执行漏洞。如果一台机器没有接打印机、也不需要打印留着它的意义不大。检查当前运行的服务可以用Get-Service | Where-Object {$_.Status -eq Running}然后对不熟悉的服务名逐个核对自己的需求。具体禁用建议Set-Service -Name Spooler -StartupType Disabled -Status Stopped同样的思路也适用于Windows可选功能。用不到的功能不要开启比如Hyper-V如果你不用虚拟化就没必要打开因为多一个组件就多一分暴露面。远程管理入口方面最典型的三个是远程桌面、远程协助和远程服务管理。如果确实需要远程管理建议把远程桌面用户权限限定到指定账户并且组策略里设置账户锁定阈值防止被爆破。但如果你根本不需要远程桌面建议直接关闭。在设置 - 系统 - 远程桌面里关掉或者在PowerShell执行Set-ItemProperty -Path HKLM:\System\CurrentControlSet\Control\Terminal Server -Name fDenyTSConnections -Value 1服务器系统如Windows Server 2016也一样装好后第一步应该是在服务器管理器里确认角色和服务不需要的哪怕一个都不要装。3.3 安全日志与事件ID让攻击者留下痕迹很多Windows用户直到出了问题才想起来看事件查看器平时根本不知道里面记录了哪些东西。其实Windows安全日志是整个系统安全能力里最被低估的一环。无论是正常登录、失败密码尝试、创建新用户、系统启动重启都会被记录在安全日志里。在运行里输入eventvwr.msc打开事件查看器在Windows日志 - 安全里可以看到大量事件。B站也好、搜索引擎也好经常有Windows安全日志怎么看的问题但核心其实就是几个事件ID是否出现事件ID含义建议关注原因4624本地登录或远程登录成功特别是类型3网络登录、类型10远程交互登录要重点关注4625登录失败大量出现说明可能有人在猜密码4720创建了新用户攻击者常通过创建账户留后门4732用户被添加到安全组如果加入了Administrators组更需要警觉1074系统计划性重启或关机有时也对应恶意软件安装后的重启行为单看一次事件没什么意义异常特征往往是短期内出现大量相同的失败登录、非工作时间的成功登录、不认识的新用户等。为了让日志更完整建议在组策略中设置审核策略把审核登录事件、审核账户管理等关键类别开启Windows Server默认有一些但客户端Windows通常需要自己配置。日志留存周期也要注意。默认安全日志达到一定上限后可能会覆盖建议把日志大小上限调大并设置保留策略。如果机子足够重要可以配置集中日志收集系统把Windows日志实时送往远端这样即使本机日志被清理远端也保留着一份证据。我之前管理的机器里有一台就是靠日志版发现凌晨三点有来自陌生IP的登录尝试提前堵住了漏洞。4. 日常高频操作里那些看着没事的坑4.1 作死三件套关UAC、开共享、用空密码这些年处理过不少中招的电脑回头看几乎都能找到人为原因最常见的就是三个操作叠加。第一是关UAC这个前面已经说过了。第二是在Windows公共网络下开启文件和打印机共享而且共享目录权限给的是Everyone完全控制。这个操作方便是方便但如果你是公共WiFi环境别人理论上可以扫描到你的共享目录甚至直接往里面塞东西。如果确实要在局域网里共享文件我建议至少做到三点把共享权限设置为指定的Windows账户而不是Everyone把共享目录只读写需要的子目录而不是整个盘不要用简单共享的概念直接在NTFS权限和共享权限两层都做限制。记住专用网络比如家庭可信任网络和公用网络要分开对待Windows默认针对公用网络开启防火墙这就对了别手动关。第三是用空密码或者简单密码。Windows确实允许本地账户设置空密码但默认对空密码的远程调用是受限的可这并不代表安全。更普遍的问题是密码设置得太简单比如admin、123456这种在内网里非常容易被爆破。哪怕只是个人电脑也不要拿生日、纯数字当密码。Windows还支持设置密码策略建议通过gpedit.msc或secpol.msc把最小密码长度设为不少于12位。4.2 下载和执行程序之前先花十秒看这三个地方恶意软件最常见的传播方式不是漏洞攻击而是诱导你下载并运行一个程序。所以我下载软件时有个习惯不管软件从哪个网站来都要先过三道工序第一看文件签名。右键exe文件 - 属性 - 数字签名签名者是不是软件官方公司如果一个声称是某知名软件的文件没有数字签名基本可以直接删除。第二核对哈希值。很多官方软件在下载页面会提供SHA-256值下载后用PowerShell算一下对比Get-FileHash .\setup.exe -Algorithm SHA256第三看来源。搜索引擎结果里排在前面、域名伪装得特别像官网的网站可能是推广广告下回来的一般是捆绑全家桶。建议尽量从软件官网或自带的应用商店获取。PowerShell还有一个执行策略概念默认情况下禁止运行脚本也阻止不了exe双击运行但对脚本类攻击有一点防护。用Set-ExecutionPolicy Restricted或AllSigned可以限制哪些脚本可以执行能拦掉一部分恶意的.ps1文件。如果要临时跑一个脚本可以在命令行直接输入脚本内容或者放到当前用户级别下执行不必全局放开执行策略。4.3 Windows Sandbox试毒的正确姿势面对来路不明的文件或者想测试一下某个软件的安装行为很多人会选择装一个虚拟机然后快照、装完不爽再回滚。这个思路没问题但对个人来说稍微有点重尤其在硬件一般的老机器上开虚拟机还挺吃资源。这时候Windows专业版自带的Windows Sandbox就特别好用。Windows Sandbox是一个轻量级沙箱环境每一次启动都是全新状态关掉之后一切内容全部丢弃。它跟虚拟机最大的区别是不需要单独下载镜像直接复用宿主机的Windows启动也快干净利落。启用方式是在启用或关闭Windows功能里勾选Windows Sandbox重启后用开始菜单搜索Windows Sandbox打开。它在隔离环境里运行你可以在里面放心地双击可疑文件、安装未知软件观察系统变化反正关了窗口就没了。不过要提醒一句Windows Sandbox不是万无一失的有些恶意程序可能会检测沙箱环境从而隐藏行为。它适合日常试用不确定的程序但如果你真的要分析高级恶意样本还是得靠正规的隔离虚拟机加监控工具不能把Windows Sandbox当成绝对安全区。5. 主机安全信息收集像排查故障一样看Windows5.1 快速收集系统状态的一串命令不管你是帮别人修电脑还是管理几台Windows服务器掌握一套快速收集系统状态的方法非常有用。与其漫无目的地翻设置界面不如直接用命令行和PowerShell把关键信息一次性拉出来。下面是我每次巡检都会跑的几个命令# 系统与补丁信息 systeminfo # 系统安装日期、启动时间 Get-CimInstance Win32_OperatingSystem | Select-Object LastBootUpTime, InstallDate # 当前运行的进程 Get-Process | Sort-Object -Property CPU -Descending | Select-Object -First 20 Name, Id, CPU # 正在监听的端口 Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess # 计划任务列表 Get-ScheduledTask | Where-Object {$_.State -ne Disabled} # 自启动程序 Get-CimInstance Win32_StartupCommand | Select-Object Name, Command, Location这些数据能让你在几分钟内知道系统处于什么状态是不是好久没重启、哪个进程在疯狂吃CPU、哪些端口对外开着、有没有可疑的计划任务或自启动项。攻击者经常会用计划任务来做持久化所以查看计划任务很重要。5.2 找异常把进程、网络、启动项串起来看单独看一个指标其实很难发现异常真正有效的是把进程、网络连接和启动项串起来一起看。比如我在一次排查中看到某个进程占用了大量内存然后去查它的网络连接发现它与一个陌生IP保持长连接再回头查启动项发现它注册在HKCU\Software\Microsoft\Windows\CurrentVersion\Run下面。三条线索拼在一起结论立刻就出来了。用PowerShell可以结合进程ID去查网络连接Get-NetTCPConnection -State Established | ForEach-Object { $proc Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue [PSCustomObject]{ LocalAddress $_.LocalAddress LocalPort $_.LocalPort RemoteAddress $_.RemoteAddress RemotePort $_.RemotePort ProcessName $proc.ProcessName ProcessPath $proc.Path } } | Format-Table -AutoSize如果RemoteAddress指向的是公网IP而进程路径又在小目录下那就要立刻警惕。对于Windows系统来说进程注入、DLL劫持这类攻击很多时候不会直接创建新进程而是藏在已有进程里。所以看到类似svchost.exe加载了不常用DLL的报错或者某些系统进程的路径不在C:\Windows\System32下都要打一个问号。5.3 日常安全巡检的节奏建议主机安全不是一次性操作而是一个持续的过程。我的习惯是每周花十几分钟做一轮基础巡检节奏如下查看Windows安全日志里本周的4625失败登录数量如果莫名暴涨立刻排查来源IP和账户。运行一次Get-NetTCPConnection检查监听端口和上周的端口列表做对比多出来的端口要能说清是什么程序。查看启动项和计划任务确认没有新增陌生项。确认Defender病毒库是当天或最近两天更新。看一下系统有没有待重启的更新补丁尽快安排重启。如果是Windows Server建议用系统自带的评估工具或安全基线模板定期做评估。Microsoft有免费的Security Compliance Toolkit里面包含基于组策略的安全基线配置可以直接导入到AD域中统一管理也可以本地导入到单机。这个工具对Server系统很有参考价值能帮你把很多容易忽略的配置项快速对齐。最后补一段我个人的体会说了这么多其实Windows系统安全归结起来只有一句话时刻知道自己的系统上正在发生什么。你不需要成为安全专家但至少要对账户权限、开放端口、运行进程、日志记录这些基础操作有认知知道什么该开、什么该关、什么该看。我之前给一台Windows Server 2016做加固花了一个下午把默认多余的共享关闭、远程桌面限制到指定IP、开启日志审核、禁用Print Spooler之后几个月再去看安全日志里干干净净系统也很稳定。这种底数清楚、边界明确、记录完整的状态就是Windows系统基础安全和操作认知最好的实践结果。无论你用Windows用来做什么都值得从现在开始把这套认知建立起来。