Windows企业终端安全加固需定期校验，核心是“可验证、可追溯、可闭环”：通过gpresult生成策略报告核对密码策略参数，net user检查账户唯一性与空口令，本地安全策略验证权限分配，net start/net share确认服务与共享关闭，事件查看器和auditpol确保日志审计生效。
windows 企业终端安全加固的基准校验，不是一次性配置完就结束的事，而是要定期验证策略是否生效、是否被绕过、是否随系统更新或用户操作发生偏移。核心在于“可验证、可追溯、可闭环”——每项加固措施都必须有明确的检查路径和判定标准。
账号与口令策略校验
重点确认密码强度、生命周期和账户唯一性是否真正落地。
- 运行
gpresult /h report.html生成组策略结果报告，查看“计算机配置 → Windows 设置 → 安全设置 → 账户策略 → 密码策略”中各项是否启用且参数匹配基线（如最小长度≥8、最长使用期≤90天、强制历史≥5）。 - 执行
net user <用户名>检查具体账户：确认“密码最后设置时间”未超期、“密码永不过期”为否、“帐户已禁用”状态符合预期（如 Guest 必须禁用）。 - 使用
net user列出全部账户，人工核对无重复用户名、无空口令账户（输出中若含“密码为空”字样即为风险）。
权限与访问控制校验
验证关键权限是否收缩至最小必要范围。
- 在“本地安全策略 → 本地策略 → 用户权限分配”中逐项比对：
- “关机系统”仅含 Administrator 或指定运维账号；
- “从网络访问此计算机”不包含 Everyone 或 Guests；
- “允许通过远程桌面服务登录”严格限定授权人员。
- 检查远程桌面端口是否已变更：运行
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber，返回值应≠3389。
服务与共享状态校验
确认非必要功能已关闭，避免暴露攻击面。
- 执行
net start查看当前运行服务，对照基线清单（如 SSDP Discovery、UPnP Device Host、Print Spooler 等非必需服务）确认是否停止。 - 运行
net share检查默认共享（C$、D$、ADMIN$）是否已被清除；若存在，说明批处理脚本未持久生效或未执行。 - 使用
wmic service where "startmode='Auto' and state!='Running'" get name,pathname辅助识别“设为自动但实际未运行”的潜在隐患服务。
日志与审计能力校验
确保安全事件能被真实捕获并保留足够时长。
- 打开“事件查看器 → Windows 日志 → 安全”，右键“属性”：确认“最大日志大小”≥1GB，“当达到最大日志大小时”设置为“覆盖久于7天的事件”。
- 查看最近24小时日志，筛选ID 4625（登录失败）和4688（新进程创建），确认条目存在且来源IP、账户名、时间戳等字段完整——若长期无4625记录，可能说明登录失败策略未启用或日志未开启审核。
- 运行
auditpol /get /category:*，重点核对“登录/注销”“对象访问”“特权使用”三类是否至少启用“成功和失败”。
校验不是走过场，每次结果差异都要归因：是策略未下发？是用户手动改回？还是系统更新重置了配置？把校验动作嵌入补丁更新后、季度巡检中、新终端入网时，才能让加固真正稳得住。
