Windows Server 安全加固极简指南

适用系统：Server 2008 R2 / 2012 R2

一、密码安全（关键！）

1. 修改默认密码

   # 首次登录后立即执行  
   [System.Windows.Forms.SendKeys]::SendWait("%{PAUSE}")  # 模拟Ctrl+Alt+Del  

   → 选择“更改密码” → 12位以上（含大小写/数字/符号）

2. 定期更新：每3个月强制更换密码

   二、系统更新（堵住漏洞）

   # 启用自动更新  
   2008：ServerManagerCmd -install Update-Services  
   2012：Set-WindowsUpdate -AcceptAll -AutoDownload  

   验证：Get-WindowsUpdateStatus 显示 Enabled

   三、防火墙配置（精准控制）

   核心原则：

   • 仅开放必要端口（如80/443）

   • 禁用云平台防火墙 → 避免冲突

     # 开启系统防火墙（公用网络）  
     netsh advfirewall set currentprofile state on  
     
     # 放行远程桌面（限制IP）  
     New-NetFirewallRule -DisplayName "RDP_Whitelist" -Protocol TCP -LocalPort 3389 -RemoteAddress 192.168.1.0/24 -Action Allow  

     四、IE加固（防钓鱼）

     # 强制开启增强安全配置  
     2008：ServerManagerCmd -install IE-ESC  
     2012：Set-ItemProperty "HKLM:\SOFTWARE\Microsoft\Active Setup\Installed Components\{A509B1A8-37EF-4b3f-8CFC-4F3A74704073}" -Name IsInstalled -Value 1  

     五、杀毒软件（免费方案）

     系统版本	推荐软件	安装命令
     2008 R2	ClamWin (开源)	choco install clamwin
     2012 R2	Microsoft Defender	Install-WindowsFeature Windows-Defender

     实时防护：每日全盘扫描 clamscan -r / --remove

     ---

     六、架构安全黄金法则

     1. 单一服务原则：

        • Web、DB、APP 分离部署

        • 数据库服务器 禁用公网IP

     2. 最小化暴露：

        # 关闭无用服务（示例）  
        Stop-Service Telnet -Force  
        Set-Service Telnet -StartupType Disabled  

        紧急风险提示

        • 远程桌面漏洞防御

          # 立即更改RDP默认端口  
          reg add "HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 3390 /f