组策略配置Windows安全基线核心是构建可批量部署、验证与维护的GPO体系，须避免直接修改Default Domain Policy，应按设备类型建OU、分策命名、执行测试-验证-推广流程，并重点配置密码策略、审核策略、用户权限分配、安全选项四类基础项。
用组策略配置 windows 安全基线，核心是把零散的安全要求变成可批量部署、可验证、可持续维护的 gpo。关键不在“能不能配”，而在“怎么配得稳、管得住、不翻车”。
先搭好策略管理框架
别一上来就改 Default Domain Policy——这是最常见也最危险的操作。应该：
- 按设备类型建独立 OU，比如 Workstations、Servers、Finance-Terminals
- 为每类安全需求创建专用 GPO，例如 Baseline-PasswordPolicy、Baseline-BitLocker-ADBackup
- 启用“测试-验证-推广”流程：先链接到测试 OU → 观察 48 小时事件日志和用户反馈 → 再扩展到生产 OU
重点配好四类基础策略
这四类覆盖 80% 以上的终端风险，且全部可通过计算机配置或用户配置下的“安全设置”直接生效：
- 密码与帐户策略：在“计算机配置 > 策略 > Windows 设置 > 安全设置 > 帐户策略”中设最小密码长度、最长使用期限、帐户锁定阈值
- 审核策略：启用“登录事件”“对象访问”“特权使用”的成功与失败审计，确保行为可追溯
- 用户权限分配：限制“从网络访问此计算机”“允许本地登录”的组成员，避免 Everyone 或 Users 组被默认授权
- 安全选项：关闭“网络访问：可匿名访问的共享”、启用“交互式登录：不显示最后的用户名”、禁用“未签名驱动程序的安装”
BitLocker 加密必须走 AD 集成路径
单独启用 BitLocker 不等于完成基线——密钥没进 AD 就等于没备份。务必同步做三件事：
- 在域控制器上运行：Install-WindowsFeature -Name RSAT-Feature-Tools-BitLocker -IncludeManagementTools
- 在 GPO 中启用：计算机配置 > 管理模板 > Windows 组件 > BitLocker 驱动器加密 > 操作系统驱动器加密 + AD DS 备份恢复信息
- 确认客户端已启用 TPM 并处于“已激活”状态（用 tpm.msc 查看），否则需额外开启“启动时附加身份验证”兼容模式
外设与软件执行要堵得准
防勒索和恶意软件传播，重点不是“全禁”，而是“控面+留口”：
- 禁用高风险接口：在“计算机配置 > 管理模板 > 系统 > 可移动存储访问”中，设“所有可移动存储类”为“拒绝读取/写入”
- 限制非签名软件：启用“设备安装 > 设备驱动程序安装”下的“禁止安装未由其他策略设置签名的设备驱动程序”
- 但保留应急通道：对 IT 工具机或维修终端，用 WMI 筛选器或安全组筛选，让策略不生效，避免锁死运维能力
