组策略安全加固围绕权限最小化、数据不留痕、行为可追溯展开：凭据不缓存（设“交互式登录：之前登录到缓存的次数”为0）、内存不留痕（启用“关机：清除虚拟内存页面文件”）、密码不还原（禁用“用可还原的加密来存储密码”）。
组策略（gpo）在windows server安全加固中不是简单地“开几个开关”，而是围绕“权限最小化、数据不留痕、行为可追溯”三个核心逻辑展开。配置是否有效，关键看它是否真正切断了攻击者利用系统默认行为获取敏感信息的路径。
凭据不缓存：从可用性妥协转向主动防御
Windows默认缓存10次登录凭据，本意是保障域控制器不可用时的业务连续性，但代价是把加密后的哈希值长期留在本地磁盘。攻击者一旦获得管理员权限，就能提取这些缓存并离线暴力破解。
- 策略位置：计算机配置 > Windows设置 > 安全设置 > 本地策略 > 安全选项
- 关键项：交互式登录：之前登录到缓存的次数，设为0
- 域环境必须通过GPO统一推送，避免个别服务器遗漏
- 禁用后不影响正常域登录，仅取消“断网仍可登录”的能力
内存不留痕：关机时清空页面文件是硬性要求
虚拟内存页面文件（pagefile.sys）本质是物理内存的延伸，运行中的程序、认证令牌、甚至明文密码片段都可能被写入其中。硬盘若被物理获取或送修，页面文件就是现成的数据源。
- 策略位置：同上路径，找到关机：清除虚拟内存页面文件
- 启用该策略后，每次正常关机都会强制擦除整个pagefile.sys内容
- 注意：此操作会略微延长关机时间，但属于等保2.0明确要求的“剩余信息保护”动作
- 不依赖杀毒软件或第三方工具，是操作系统原生支持的安全机制
密码不还原：禁用可还原加密是认证体系底线
当策略“用可还原的加密来存储密码”被启用时，系统会以一种能被逆向解密的方式保存某些服务账户或应用凭证——这等于把钥匙藏在门垫下。等保2.0直接将其列为高风险项。
- 策略位置：同一安全选项路径下，用可还原的加密来存储密码
- 必须设为已禁用，而非“未配置”
- 影响范围包括LDAP绑定、计划任务使用的账户凭据等典型场景
- 启用后需重启生效，建议配合审计策略检查事件ID 4697（计划任务创建）确认无异常凭据调用
这三个策略看似独立，实则构成一条闭环：不缓存凭据→减少本地落盘机会；不清空页面文件→让已落盘的敏感数据无法残留；不使用可还原加密→确保即使数据被读取也无法还原原始密码。它们共同支撑起等保2.0中“剩余信息保护”的技术落地。
