Windows Server 2025如何做系统安全加固

Windows Server 2025作为微软全新一代服务器系统，已于近期正式全面登场。护卫神安全团队第一时间对其进行安装测试，研究系统安全加固方法。经研究发现，Windows Server 2025和以前的Windows Server操作系统一样，为了兼容性，微软默认安装了很多模块、开放了很多功能。大部分服务器只用于存放网站、数据库、ERP/OA/生产等系统， 均用不到Windows默认开放的大部分功能模块，这些功能模块往往可能出现漏洞，因此要保障Windows Server系统的安全，务必做系统安全加固。

那么Windows Server 2025如何加固系统安全呢，下面就由护卫神为你详细讲解！

1、 更新系统补丁至最新

这个算是Windows系统用户的福利，微软每个月都会定期发布系统补丁，只需要更新一下就可以了。如果你觉得麻烦，可以使用《护卫神.防入侵系统》的“补丁更新”功能，自动更新系统补丁至最新（如下图一），并发送结果通知给你（如下图二）。

（图一：自动更新系统补丁）

（图二：补丁更新通知）

2、 禁用危险的服务

服务器一般用不到的几个危险服务：Server、Remote Registry、Computer Browser、Print Spooler、Routing and Remote Access、Telnet 、TCP/IP NetBIOS Helper，请务必在“服务”中禁用。其中Print Spooler是打印机服务，如果需要使用打印机请开启。

快捷禁用脚本：

sc config   lanmanserver start= DISABLED
net stop lanmanserver

sc config   RemoteRegistry start= DISABLED
net stop RemoteRegistry

sc config   Browser start= DISABLED
net stop Browser

sc config   Spooler start= DISABLED
net stop Spooler

sc config   RemoteAccess start= DISABLED
net stop RemoteAccess

sc config   tlntsvr start= DISABLED
net stop tlntsvr

sc config LmHosts start= DISABLED
net stop LmHosts

3、 更改默认远程桌面端口

远程桌面端口默认3389，有很多扫描工具会对其进行撞库和暴力破解，改成一个不常用的端口虽然不能从根本解决问题，但相对3389端口还是会好一些。如果要从根本解决问题，可以使用《护卫神.防入侵系统》的“远程防护”模块，只有授权用户才能连接远程桌面（例如只对你所在城市开放远程桌面），彻底阻止黑客撞库和暴力破解，拦截效果如下图三。

（图三：拦截非法远程登录）

4、 启用防火墙，只开放必要端口

防火墙是必须开启的，一般只开放网站端口（默认80、443）、远程端口（默认3389）。如果需要FTP，也可以开放一下（默认21）。

以下端口请务必禁止访问：135,137,138,139,445

如果网站只对国内开放，可以使用《护卫神.防入侵系统》的“防火墙”模块，设置80端口和443端口只对国内开放（如下图四），这样安全性会提升很多，因为绝大部分扫描肉鸡都在国外。

（图四：网站只对国内用户开放）

5、 删除危险ACL权限

这一块非常复杂，需要对操作系统的每一个文件做颗粒度ALC优化。由于篇幅原因，无法逐个说明，我们就挑选重点的一些文件来设置。

黑客入侵提权用到的命令工具（cmd.exe、net.exe），务必设置ACL权限，只允许Administrators和System访问。

快捷设置脚本：

Echo y|Cacls "C:\Windows\regedit.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\System32\cmd.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\System32\net.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\System32\at.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\System32\attrib.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\System32\cacls.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\System32\cscript.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\System32\net.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\System32\net1.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\System32\sc.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\System32\wscript.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\SysWOW64\cmd.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\SysWOW64\net.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\SysWOW64\at.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\SysWOW64\attrib.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\SysWOW64\cacls.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\SysWOW64\cscript.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\SysWOW64\net.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\SysWOW64\net1.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\SysWOW64\sc.exe" /C /G Administrators:f SYSTEM:f
Echo y|Cacls "C:\Windows\SysWOW64\wscript.exe" /C /G Administrators:f SYSTEM:f

由于篇幅原因，无法对系统加固方法做全面的介绍，如果你需要全面的系统加固，请使用《护卫神.防入侵系统》的“系统加固”模块解决，加固项目如下图五。

（图五：系统安全加固）

原文地址：如何加固Windows Server 2025系统安全