windows安全加固
进行安全加固是为了保护计算机系统和用户数据的安全，windows是广泛使用的操作系统，因此成为了黑客攻击的目标，通过加固windows系统，可以减少系统受到恶意软件，病毒，网络攻击和数据泄露等威胁的风险。
windows加固方向
账号管理与认证授权
1，按用户类型分配账号
目的：根据不同需求，设定特定权限账号，设定不同账户和组，管理员，数据库sa,来宾用户等等
实施方法：打开win+r,输入lusrmgr.msc
根据用户要求将账户假如功能组
2，重命名administrator,禁用guest
目的：减少账户被爆破的可能性。
实施方法：打开win+r，输入lusrmgr.msc
为管理员administrator账户改名
禁用来宾guest
3,设置密码策略
目的：防止弱口令出现，降低被爆破的可能。
实施方法：打开win+r,输入secpol.msc
设置密码策略
4，配置账户锁定策略
目的：有效降低administrator意外的账户被爆破的几率
实施方法：打开win+r,输入secpol.msc
5,本地关闭系统设置
目的：防止管理员以外账号非法关机
实施方法：打开win+r,输入secpol.msc
只需保留administrator组
6，设置从本地登录此计算机
目的：防止用户非法登录主机
实施方法：打开win+r,输入secpol.msc
7,设置从网络访问此计算机
目的：防止非法用户通过网络访问计算机资源
实施方法：打开win+r,输入secpol.msc
8,取得文件或对象的所有权设置
目的：防止用户非法绕过NETS权限，获取文件内容
实施方法：打开win+r，输入secpol.msc
日志配置
1,审核策略设置
目的：通过审核策略，记录系统登录事件，对象访问事件，软件安装事件，安全事件等
实施方法：打开win+r,输入secpol.msc
2,日志记录策略设置
目的：优化系统日志记录，防止日志溢出
实施方法：打开win+r,输入eventvwr.msc
找到windows日志下的设置，右击设置，点击属性。
补丁和漏洞管理
1，打开cmd输入systeminfo
见这些修补程序复制到提权辅助网页 Windows提权辅助 (hacking8.com)
查看是否有未修补的漏洞
可以打开win+i,进入更新
也可以利用杀毒软件更新，火绒，360都可以，都有漏洞修复
也可以自己手动更新，访问微软更新官网Microsoft Update Catalog
搜索需要安装的补丁，注意位数，版本，下载下来，双击直接安装
2，安全系统补丁
目的：修复系统漏洞，安装最新的service pack补丁集
实施方法：部署wsus服务器，从microsoft update下载补丁
在测试机上安装补丁后测试业务运行情况
使用wsus服务器内网分发补丁
插一条，什么是wsus呢？
wsus是windows server update services的简称，wsus支持微软公司全部产品的更新。
wsus有什么用
通过wsus这个内部网络中的windows升级服务器，所有windows更新都集中下载到内部网的wsus服务器上，而内网中的其它电脑都通过wsus服务器来得到更新，特别在大型网络环境中，很大程度上节省了网络资源，避免了外部网络流量的浪费并且提高了内部网络中计算机更新的效率。
3，安装和更新杀毒软件
目的：提高系统防御力，保护关键信息不被破坏
实施方法：在服务器上安装最新版企业防病毒软件的服务端
使用C/S结构部署企业版防病毒软件
制定同一安全查杀规则
服务进程与启动
1，关闭windows自动播放功能
目的：防止从移动存储设备感染自运行病毒
实施方法：打开控制面板，选择硬件和声音，选择自动播放，修改内容。
2，关闭无用自启动项
目的：减少开机自启动服务和软件，提高性能和安全性
实施方法：打开win+r,输入msconfig
在启动选项卡中去掉多余的启动项
IP协议安全
1，启用TCP/IP筛选
目的：为了过滤掉不必要的端口，提高网络安全性。
实施方法：运维人员列出业务所需端口
打开控制面板->网络连接->本地连接
找到高级TCP/IP设置
右击本地连接->internet协议属性->高级TCP/IP设置
在选项的属性中启用网络连接的TCP/IP属性，是开放业务协议的端口。
win10之后就把该功能纳入防火墙了
2，开启系统防火墙
目的：多角度封堵业务以外的端口连接
实施方法：运维人员列出业务所需端口
设置防火墙策略，只允许业务端口接入网络
3，设置空闲超时锁定系统
目的：防止由疏忽导致的系统被非法使用
实施方法：进入控制面板->显示->屏幕保护程序
启用屏幕保护程序，设置等待时间为5分钟，启用恢复时有密码保护功能。
win10是在个性化设置中
4，设置网络服务挂起时间
目的：防止远程登录时由于疏忽导致的系统被非法使用
实施方法：打开win+r,输入secpol.msc
本地策略->安全选项
"microsoft网络服务器"设置"在挂起会话之前所需空闲时间"为5分钟
5，关闭默认共享
目的：windows默认共享分区，关闭后提高信息安全性。
实施方法：打开注册表编辑器，编辑和新建键值
运行注册表win+r，输入regedit
展开Lsa目录
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
调整restrictanonymous键值为1
建两个DWORD值分别命名为AutoShareWks和AutoShareServer
6,设置共享文件夹权限
目的：只允许授权账户访问共享文件夹
实施方法：进入控制面板->管理工具->计算机管理->共享文件夹
查看每个文件夹的共享权限并按需求更改
