核心思路是限制权限而非堵漏洞，即通过最小权限原则分配用户与程序权限：普通用户禁用管理员权限；UAC设为“始终通知”并关闭静默提权路径；用组策略封堵提权入口；监控4670/4688/4624等关键事件实现快速响应。
核心思路是：不让恶意代码拿到它不该有的权限，也就断了它运行、写入、提权和扩散的路。关键不在“堵所有漏洞”，而在“收窄执行边界”。
基于最小权限原则分配用户与程序权限
普通用户账户不应拥有管理员权限，这是第一道防线。系统默认创建的管理员组（Administrators）应仅保留必要账号；日常办公、浏览、办公软件全部在标准用户下运行。安装软件、修改系统设置等操作必须显式触发UAC提示，而非默认绕过。
对程序也需分类管控：
- 浏览器、邮件客户端、PDF阅读器等高风险入口类程序，建议以“受限用户”身份运行（可通过应用兼容性设置或第三方沙盒工具实现）
- 开发或运维工具（如PowerShell、CMD、远程桌面）启用前需二次确认，可配合AppLocker策略禁止未签名脚本执行
- 禁用Guest账户，删除或禁用所有长期不用的测试/临时账户
强化UAC配置并关闭静默提权路径
UAC不是摆设，而是权限提升的“闸门”。默认级别（仅当程序更改计算机时通知）虽平衡体验与安全，但易被伪造UI或快捷方式绕过。实战中建议调至第二级——“始终通知”，尤其在终端设备或服务器管理节点上。
还需同步关闭几个危险开关：
- 禁用“管理员批准模式”下的自动提升（通过组策略：Computer Configuration → Windows Settings → Security Settings → Local Policies → Security Options → “User Account Control: Behavior of the elevation prompt for administrators in Admin Approval Mode” 设为“Prompt for consent”）
- 关闭Windows Installer服务的静默安装能力（策略项：“Always install with elevated privileges” 必须设为Disabled）
- 禁用计划任务中以最高权限运行且无需交互的旧任务（检查Task Scheduler中“Run with highest privileges”勾选项，清理可疑项）
用组策略封堵常见提权入口
攻击者常借配置缺陷完成纵向提权，组策略（GPO）是最有效的集中管控手段：
- 限制本地管理员组成员：通过“Restricted Groups”策略锁定Administrators组，只允许明确指定的SID加入
- 禁用危险注册表路径写入：例如禁止向HKLM\Software\Microsoft\Windows\CurrentVersion\Run写入（使用“Prevent access to registry paths”策略）
- 关闭WMI远程调用权限：禁用Win32_Process.Create等高危WMI方法（通过WMI Control → Security → Root\CIMV2权限设置）
- 阻止PowerShell无约束执行：启用“Turn on Script Execution”并设为AllSigned或RemoteSigned，同时记录所有脚本执行日志（Enable-PSRemoting + $LogPipelineExecutionDetails = $true）
监控异常权限行为并快速响应
权限策略生效后，必须配套可观测性。重点盯住三类事件：
- 4670事件（权限变更）：谁修改了关键文件夹（如System32、Program Files）的ACL？
- 4688事件（进程创建）：是否出现cmd.exe /c、powershell -ep bypass、certutil -decode等典型恶意载荷启动痕迹？
- 4624事件（登录）+ 4672（特权登录）：是否存在非交互式登录后立即获得SeDebugPrivilege等高危特权？
建议启用Windows事件转发（WEF）集中收集，或用Sysmon配置规则（如Rule 1、3、7、13）捕获可疑进程链与权限继承行为。发现异常后，立即隔离主机、冻结账户、回滚组策略变更。
