必须通过tpm.msc、设备管理器、PowerShell的Get-Tpm命令、Windows安全中心及UEFI/BIOS设置五步交叉验证：tpm.msc显示“TPM已就绪”且“规范版本”为2.0；设备管理器中“安全设备”下存在无异常的“受信任的平台模块 2.0”；PowerShell中TpmPresent与TpmReady均为True且SpecificationVersion为2.0；Windows安全中心“安全处理器”显示版本2.0；UEFI中启用TPM Device/PTT/fTPM并保存。
要对Windows系统执行全面的安全合规检测，必须覆盖固件层、操作系统基线、日志审计能力、威胁检测配置及云/终端联动策略五个不可跳过的维度，缺一即导致攻击面盲区。
验证TPM2.0与Secure Boot硬件安全底座
Win+R → 输入tpm.msc → 回车打开TPM管理控制台 → 查看状态栏是否显示「已就绪、已启用、无错误」；若显示“未初始化”或“被禁用”，【必须重启进入BIOS/UEFI界面手动开启TPM 2.0并启用Secure Boot】。
右键“此电脑”→属性→滚动到底部查看“设备加密”状态：仅当显示“使用设备加密”且下方注明“使用TPM”时，才代表硬件级密钥保护链已生效。
运行CIS基线扫描并修复高危项
方法一：使用Microsoft Defender for Endpoint内置评估
登录Microsoft Intune管理中心 → 终结点安全性 → 安全基线 → 选择“CIS Windows 11 Enterprise v3.0” → 点击“部署” → 等待2小时后在“合规性报表”中查看失败项。重点关注“密码策略最小长度≥14位”“本地管理员账户已重命名”“远程注册表服务已禁用”三项，任一未达标即触发等保2.0高风险判定。
方法二：离线执行osquery合规包
以管理员身份运行PowerShell → 执行：osqueryi --config_path "C:\Program Files\osquery\cis_win11.conf" → 观察输出中suid_bins、listening_ports、user_accounts三张表的异常记录。若发现非标准路径下的可执行文件拥有SUID权限，【立即隔离该文件并溯源启动进程，切勿直接删除】。
检查日志记录完整性与集中化能力
第一步：确认四大日志源全部启用
打开事件查看器 → 依次展开“Windows日志” → 验证“安全”“系统”“应用程序”“DNS Server”四项日志属性中“启用日志”已勾选；右键“安全”日志→属性→最大日志大小设为≥1024MB，覆盖方式选“按需要覆盖事件”。
第二步：验证网络层日志捕获能力
PowerShell中执行：Get-NetFirewallProfile | fl Name,LogAllowed,LogBlocked → 输出中LogBlocked必须为True；若为False，运行：Set-NetFirewallProfile -Profile Domain,Private,Public -LogBlocked True。
第三步：测试SIEM连通性
若企业已部署Azure Sentinel或Splunk，运行：Test-NetConnection -ComputerName your-siem-server -Port 514 → 显示TcpTestSucceeded为True才代表日志可外发。
激活并校验Defender实时防护与ASR规则
打开Windows安全中心 → 病毒和威胁防护 → 管理设置 → 确认“实时保护”“云提供的保护”“自动提交样本”三项全部开启；点击“攻击面减少规则”→ 检查以下六条默认规则状态：
• 阻止Office应用生成子进程（启用）
• 阻止来自电子邮件客户端和Web浏览器的不信任字体（启用）
• 基于信誉阻止不知名和潜在有害应用（启用）
• 阻止通过脚本下载和执行恶意代码（启用）
• 阻止攻击者利用PowerShell进行攻击（启用）
• 阻止从电子邮件客户端和Web浏览器中执行不受信任的宏（启用）
任意一条为“已禁用”或“监视模式”，【将直接导致勒索软件初始访问阶段无法拦截】。
载入Microsoft 365并启用端点DLP策略
以管理员身份运行PowerShell → 执行：Install-Module -Name Microsoft.Intune.PowerShell -Force → 连接Intune：Connect-MSGraph -Scopes "DeviceManagementManagedDevices.ReadWrite.All" → 运行载入命令：Invoke-DeviceEnrollment -EnrollmentType User。
载入成功后，登录Microsoft Purview门户 → 数据丢失防护 → 创建新策略 → 选择“Windows 10/11设备”作为适用范围 → 启用“监控敏感信息处理行为”并绑定信用卡号、身份证号等敏感类型模板。
