Windows系统在安装完成后，默认的安全配置往往偏宽松，目的是保证兼容性和易用性，这同时也给攻击者留下了可乘之机。比如默认允许Guest账户存在痕迹、密码策略要求过低、审核日志几乎没有开启等。其实系统自带了一个非常实用的管理单元——本地安全策略编辑器，通过运行secpol.msc即可打开，它把分散在注册表各处的安全设置集中到了一个图形化界面中，管理员不需要手动改注册表就能完成系统加固。本文将围绕这个工具，从账户策略、审核策略、用户权限、安全选项四个方面讲解具体的强化方法。
一、secpol.msc的打开方式与整体结构
打开本地安全策略编辑器的方式有几种，最直接的是按Win+R组合键调出运行窗口，输入secpol.msc后回车。也可以在命令提示符或PowerShell中执行相同的命令，还能通过控制面板进入管理工具再找到本地安全策略。需要注意的是，家庭版Windows默认不包含这个管理单元，如果确实需要，通常建议升级到专业版或使用组策略的其他替代方式。
打开后可以看到界面分为两大块：左侧是策略树，右侧是具体策略项。策略树主要包含四类内容：账户策略（下设密码策略和账户锁定策略）、本地策略（下设审核策略、用户权限分配、安全选项）、公钥策略和软件限制策略。大部分日常加固工作集中在账户策略和本地策略这两个节点上。
每一项策略双击后都会弹出属性窗口，通常提供已启用、已禁用、未定义三个选项。其中未定义表示不做强制配置，沿用系统默认行为。在做加固时建议逐项明确设置为已启用或已禁用，而不是留空，这样后续用安全模板导出时配置才能完整保留。
二、通过账户策略提升密码强度并抵御暴力破解
账户策略分为密码策略和账户锁定策略两块，这是加固的第一道关口。密码策略中重点配置五个项目：密码必须符合复杂性要求、密码长度最小值、密码最长使用期限、密码最短使用期限、强制密码历史。推荐的配置是启用复杂性要求，将最小长度设为12位以上，最长使用期限设为90天，强制密码历史设为5次以上，防止用户在几个旧密码之间来回切换。
账户锁定策略是抵御暴力破解的核心手段。默认情况下系统不锁定任何账户，攻击者可以无限次尝试密码。建议这样配置：账户锁定阈值设为5次无效登录，锁定时间设为15分钟，重置账户锁定计数器设为15分钟之后。这样当有人连续输错5次密码时账户会被暂时锁住，大幅增加在线暴力破解的成本。
需要注意锁定策略对本地管理员账户的影响。在某些版本的Windows中，内置Administrator账户默认不受锁定策略约束，这一点可以通过安全选项中的账户:管理员账户锁定相关策略来调整，或者在注册表中启用对内置管理员的锁定豁免开关。如果是域环境，账户策略必须在域级别设置，本地策略会被域策略覆盖，这一点在排查问题时容易踩坑。
三、配置审核策略让异常行为有迹可循
很多系统被入侵后管理员才发现日志一片空白，根本无从追溯攻击路径，原因就是审核策略没有开启。在本地策略的审核策略节点中，可以针对登录事件、账户管理、策略更改、对象访问、进程创建等九类操作配置成功或失败的审核。最小化建议是至少开启审核登录事件（成功和失败都记）、审核账户登录事件、审核账户管理和审核策略更改四项。
配置完成后，所有被审核的事件都会写入事件查看器的安全日志。例如登录失败事件ID为4625，可以用来统计是否有IP在短时间内大量尝试登录；账户创建事件ID为4720则能帮助发现攻击者新建后门账户的行为。配合任务计划程序对特定事件ID触发告警脚本，可以做到近实时的入侵提醒。
审核策略会带来一定的性能开销，尤其是对象访问审核如果对整个磁盘开启，日志量会非常庞大。建议只对敏感目录（如存放凭据的文件夹）针对性配置文件系统审核，在资源管理器中对具体文件夹的属性里添加审核条目，而不是全局开启。此外要注意安全日志默认大小只有约20MB，建议在事件查看器中将日志上限调大到256MB以上，避免旧日志被快速覆盖。
四、收紧用户权限分配与关键安全选项
用户权限分配节点列出了诸如从网络访问此计算机、拒绝本地登录、作为服务登录、调试程序等权限。加固思路是遵循最小权限原则：把不需要的账户从敏感权限列表中移除。例如调试程序（SeDebugPrivilege）权限非常危险，拥有它的进程几乎可以读写任意其他进程的内存，默认只应保留给Administrators组，任何额外的软件账户都不应出现在列表中。
安全选项节点包含上百项设置，重点推荐以下几个：交互式登录中启用不显示最后的用户名，避免登录界面泄露账户名；启用登录时不显示用户名相关的隐私选项；关闭不安全的SAM枚举，即启用网络访问:不允许SAM账户的匿名枚举；将网络访问:可远程访问的注册表路径清空；启用关机:允许系统在未登录的情况下关闭设为禁用，防止物理接触者直接关机绕过检查。
另外还有一些经典加固项，比如重命名管理员账户和来宾账户。在安全选项的最底部可以找到重命名系统管理员账户和重命名来宾账户两项，把默认的Administrator和Guest改成不显眼的名字，能显著降低自动化攻击脚本命中的概率，因为大量恶意脚本仍以固定账户名作为首选目标。
五、导出安全模板实现批量部署
单台机器逐项点配置虽然直观，但服务器数量一多就难以维护，而且人工操作容易遗漏。更规范的做法是使用安全模板。打开管理工具中的安全模板管理单元，新建一个模板文件（扩展名为.inf），把上述各项策略逐一配置进去，保存后的模板本质是一个结构化的文本文件，可以用记事本打开检查内容。
[System Access] MinimumPasswordLength = 12 PasswordComplexity = 1 LockoutBadCount = 5 ResetLockoutCount = 15 LockoutDuration = 15 [Event Audit] AuditLogonEvents = 3 AuditAccountLogon = 3 AuditAccountManage = 3 AuditPolicyChange = 3
上面的片段就是一个简化版安全模板的示例，System Access段控制账户策略，Event Audit段控制审核策略，数字3表示同时审核成功和失败事件。应用到目标机器时，可以使用命令行工具secedit：
secedit /configure /db C:\Windows\security\local.sdb /cfg C:\hardening.inf /log C:\apply.log
执行完毕后查看apply.log可以确认每一项策略是否应用成功，失败项会有具体原因说明。这种模板化的方式好处很明显：配置可版本化管理、可代码审查、可批量下发，配合域环境的组策略或自动化运维工具还能定时校验策略是否被篡改，实现持续合规。
最后提醒一点，安全加固不是配置得越严越好，收紧权限前务必先在测试环境验证业务兼容性，特别是那些依赖共享访问、远程注册表或服务账户特殊权限的老应用。建议每次调整前用secedit /export导出当前配置做备份，出问题时可以快速回滚，这样既能提升安全性，又不会影响正常业务的运转。
secpol.msc安全模板本地安全策略修改时间：2026-09-15 11:40:41