Windows 10已停更，需构建多层防护：启用ESU（仅限22H2专业版等）、禁用SMBv1/RDP、固化Defender签名、激活TPM/Secure Boot并启用BitLocker、改用WSUS Offline或DISM离线打补丁。
2026年5月31日，Windows 10已停止支持超过7个月，系统不再接收任何官方安全更新，但你仍需保障日常办公、数据存储与网络访问的基本安全——这要求你主动构建多层防护体系，而非依赖自动更新机制。
启用扩展安全更新（ESU）并验证生效
该方案仅适用于仍在运行 Windows 10 22H2 的 Pro、Enterprise、Education 或 Workstations 版本；【家庭版无法参与ESU计划】。
第一步：确认当前系统版本与账户状态。按 Win+R 输入 winver，核对是否为“版本 22H2（OS 内部版本 19045.xxxx）”；同时确保使用 Microsoft 账户登录且具备管理员权限。
第二步：打开“设置 → 更新和安全 → Windows 更新”，若满足全部条件，界面右上角将出现蓝色“注册扩展安全更新”按钮；点击后选择“使用 Microsoft Rewards 积分兑换”（需账户已有满1000分），或输入已购得的 ESU 密钥完成注册。
第三步：以管理员身份运行命令提示符，执行 slmgr /dlv，检查输出中“描述”字段是否含“Extended Security Updates”字样；再运行 wuauclt /detectnow 触发检测，随后进入“查看更新历史记录”确认最近安装的补丁名称含“ESU”标识。
禁用高危协议与远程服务
停止支持后，SMBv1 和 RDP 已成最常被利用的攻击入口，必须手动关闭。
方法一：在 PowerShell（管理员）中运行 Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol -NoRestart，立即禁用 SMBv1 协议。
方法二：进入“控制面板 → 系统和安全 → Windows Defender 防火墙 → 高级设置”，新建入站规则→选择“端口”→TCP→特定本地端口 3389→操作设为“阻止”→配置所有配置文件→命名为“Block RDP”。【此操作不可逆，关闭后将无法通过远程桌面连接本机】
方法三：直接关闭远程桌面功能。右键“此电脑”→属性→远程设置→取消勾选“允许远程连接到此计算机”。
强制加载最后可用的 Defender 签名库
微软已于2025年10月13日发布最终版病毒定义包，此后不再推送新签名；必须手动固化该版本并建立离线扫描机制。
下载 mpam-fe.exe 文件（发布日期为2025-10-13，SHA256校验值需与微软存档页面一致），保存至 D:\defender\mpam-fe.exe。
以管理员身份运行命令提示符，执行：cd /d D:\defender & mpcmdrun -SignatureUpdate -MMPC，强制载入本地签名包。
使用任务计划程序创建每日扫描任务：触发器设为每天凌晨2:00，操作为启动程序 mpcmdrun，参数填 -Scan -ScanType 2，起始于路径 %ProgramFiles%\Windows Defender。
启用硬件级启动保护
TPM 2.0 与 Secure Boot 是唯一不依赖操作系统更新的安全锚点，必须激活并绑定 BitLocker。
重启进入 UEFI 设置（开机时反复按 F2/F10/Del），确认“TPM Device”为 Enabled，“Secure Boot”为 Enabled 且模式为 Standard。
在 Windows 中以管理员身份运行 PowerShell，执行 Confirm-SecureBootUEFI，返回 True 即表示固件层可信链完整。
运行 tpm.msc 打开 TPM 管理控制台，点击“操作 → 准备 TPM”，勾选“清除 TPM 并重新启动”，完成后立即启用 BitLocker 加密系统驱动器（C:），密钥保存至 Microsoft 账户或 USB 设备。
替换 Windows Update 为本地补丁分发代理
方法一：部署 WSUS Offline Update 工具。从官网下载最新版（支持 Windows 10 22H2），运行 update-generator.exe，勾选“Windows 10 22H2”与“Security Updates”，生成离线更新包；再用 update-installer.exe 在目标设备上静默安装。
方法二：使用 DISM 手动注入补丁。将 .cab 格式补丁（如 KB5001234~2025-10）复制到 C:\patches，执行：DISM /Online /Add-Package /PackagePath:C:\patches\KB5001234.cab /NoRestart。
这一步不能跳过：每次注入前必须先运行 sfc /scannow 确保系统文件未损坏，否则补丁可能安装失败或引发蓝屏。
