终端安全性评估需将安全要求转化为GPO中可验证、可审计、可量化的具体策略项，覆盖密码策略、账户锁定、BitLocker加密、审核策略（登录/账户管理/策略更改/对象访问）、用户权限分配最小化、Microsoft Defender实时保护与高级功能联动等核心指标。
终端安全性评估指标不能只靠“开了没开”来判断，得用组策略配置可验证、可审计、可量化的具体指标。核心是把安全要求转化为gpo中明确启用/禁用的策略项，并确保其作用范围、生效状态和实际效果可被持续跟踪。
关键指标必须对应到具体GPO路径与值
每项评估指标需锁定到组策略管理控制台（GPMC）中的精确位置，避免模糊描述。例如：
- 密码复杂度达标：对应路径为计算机配置 → Windows 设置 → 安全设置 → 账户策略 → 密码策略 → 密码必须符合复杂性要求，值必须为“已启用”；
- 账户锁定防御暴力破解：路径为账户锁定阈值（建议设为5）、账户锁定时间（建议≥30分钟），二者缺一不可；
- BitLocker全盘加密强制启用：路径为计算机配置 → 管理模板 → Windows 组件 → BitLocker 驱动器加密 → 操作系统驱动器 → 启用 BitLocker，且需同步配置配置加密方法和选择启动时要求额外身份验证等配套策略。
审核策略必须覆盖高风险行为并记录失败事件
仅开启审核不等于有效评估，关键在于日志能否支撑溯源分析。以下策略项应全部启用并设为“失败”或“成功和失败”：
- 审核登录事件：捕获本地及远程登录尝试，失败记录直接反映爆破行为；
- 审核账户管理：监控用户创建、删除、组成员变更，防止提权操作逃逸；
- 审核策略更改：任何GPO修改都必须留痕，避免策略被恶意篡改；
- 审核对象访问（针对敏感文件/注册表）：结合SACL设置，对财务目录、SAM数据库等启用失败审核。
权限分配类指标需体现最小权限原则
组策略中“用户权限分配”节点是权限风险高发区，评估时须逐项核查是否过度授权：
- 检查从网络访问此计算机是否剔除了Authenticated Users、Everyone等宽泛组；
- 确认允许通过远程桌面服务登录仅包含RDP管理员组，而非Domain Users；
- 验证拒绝本地登录是否已应用于Guest、IUSR等非必要账户；
- 特别关注将计算机加入域和管理审核和安全日志这两项，普通用户绝不可拥有。
防病毒与端点防护策略须启用且可验证更新状态
Microsoft Defender防病毒不能只“开着”，评估指标要能反映其真实防护能力：
- 启用实时保护、云交付保护、自动提交样本（如合规允许）；
- 配置扫描计划并确保其在非业务高峰执行；
- 通过Microsoft Defender for Endpoint策略联动，将“网络保护”“攻击面减少规则”等高级功能纳入GPO统一部署；
- 所有策略必须基于最新ADMX模板部署，否则部分新选项（如基于信誉的保护开关）将不可见、不可配。
