配置系统访问策略防范特权账号渗透，核心是“收敛入口、收紧权限、强化凭证、全程可溯”，围绕账号生命周期构建防御闭环，涵盖登录控制、凭证保护、权限最小化及实时监控响应。
配置系统访问策略防范针对特权账号认证机制的高级渗透，核心在于“收敛入口、收紧权限、强化凭证、全程可溯”。这不是堆砌功能，而是围绕特权账号生命周期构建防御闭环——从谁可以登录、用什么登录、登录后能做什么，到每一次操作是否被记录和审计。
严格限制特权账号的登录方式与位置
攻击者常利用远程协议（如RDP、WinRM、PSRemoting）或横向移动工具（如WMI、SMB）劫持特权会话。必须从源头切断非必要通道：
- 禁用默认管理员账户（Administrator），改用命名明确、权限最小化的专用特权账号
- 在“本地安全策略”→“本地策略”→“用户权限分配”中，移除特权账号对“从网络访问此计算机”“允许本地登录”的泛授权；仅保留必要组（如Domain Admins）在指定管理终端上登录
- 通过组策略（GPO）强制启用“仅允许使用网络级别身份验证（NLA）连接到远程桌面”，并配合防火墙规则限制RDP端口（如3389）仅对跳板机IP段开放
- 禁用NTLMv1、LM哈希，强制域内使用Kerberos AES加密；在域控制器上启用LDAP签名和通道绑定（Channel Binding），阻断中继攻击
实施凭证与会话强管控
特权账号一旦泄露，凭据即成万能钥匙。需让凭证“不可导出、不可复用、不可静默使用”：
- 启用Windows Credential Guard（Win10 1607+/Server 2016+），隔离LSASS进程，防止Mimikatz类工具提取明文密码、NT哈希和Kerberos TGT
- 为特权账号启用条件访问策略（需Azure AD Premium）：要求登录时满足设备合规性、MFA验证、可信网络位置等多因子组合，拒绝无MFA的旧式认证（如Basic Auth）
- 禁用所有自动保存凭据的功能（如Windows凭据管理器中的Web凭据、Windows Hello for Business的备用密钥），避免凭据缓存成为横向移动跳板
- 对PowerShell、PsExec、WMI等高危远程执行通道，启用模块级日志（Module Logging）和脚本块日志（Script Block Logging），并在SIEM中设置告警规则（如连续失败后成功调用Invoke-Mimikatz）
精细化服务与进程权限控制
大量提权攻击依赖滥用服务配置权限或低权限进程的令牌操纵。需压缩攻击面：
- 使用AccessChk或Icacls定期扫描系统服务ACL，重点排查ImagePath可写、且低权限用户拥有SERVICE_CHANGE_CONFIG权限的服务；修复方式为重置服务权限或替换为更安全的启动方式（如计划任务+高完整性级别）
- 在“本地安全策略”→“本地策略”→“安全选项”中，启用“用户账户控制：以管理员批准模式运行所有管理员”并设为最高级别（始终通知），同时禁用AutoElevate机制（注册表项EnableLUA=1 + FilterAdministratorToken=1）
- 对关键系统进程（如lsass.exe、svchost.exe）启用Protected Process Light（PPL）保护，阻止未签名代码注入；结合Windows Defender Application Control（WDAC）白名单策略，禁止非授权驱动和脚本加载
建立特权行为实时监控与响应闭环
再严密的预防也难保万全，关键是要让异常行为“露头就打”：
- 开启Windows事件日志中的4662（对象访问）、4670（权限变更）、4688（进程创建）、4624/4625（登录/失败）等关键事件，并将日志转发至集中SIEM平台
- 配置EDR策略：对特权账号启动的cmd/powershell/wmic进程进行行为沙箱分析；对访问SAM、LSA Secrets、注册表敏感路径（如HKLM\SECURITY）的操作实时拦截并上报
- 部署基于证书的JEA（Just Enough Administration）方案，使运维人员仅能执行预定义的、带参数约束的PowerShell函数，而非获得完整管理员Shell
- 定期执行特权账号使用审计：比对DC上的Kerberos票据请求日志（事件ID 4769）与实际业务需求，识别长期未用、高频异地登录、非工作时间活跃的异常账号
