Windows服务器基础安全加固方法
大家可能都有过这样的经历：一台刚装好系统的Windows服务器，开开心心把网站、数据库部署上去，没过几天就发现服务器越来越慢，或者后台莫名其妙多出几个账户，再或者CPU长期100%。这时候才想起来查，往往已经晚了。
为什么会这样？因为一台“裸奔”的Windows服务器，从联网的那一刻起，就在被互联网上的扫描器、蠕虫、爆破脚本反复试探。不是别人专门盯着你，而是这类攻击是批量、自动、无差别的。你只要开着常见的端口和服务，密码又简单，就很可能成为“肉鸡”。
所以Windows服务器上线之前，先做一轮基础加固，比事后补救重要得多。下面把最基础、最有效的几个方面讲清楚。
一、先把账户和密码管住
绝大多数Windows服务器被入侵，第一入口就是弱密码爆破。尤其是远程桌面3389，几乎每天都有大量IP在尝试admin/administrator加简单密码。
要做这几件事：
- 给所有账户设置强密码：长度至少10位以上，包含大小写字母、数字、特殊符号，不要用123456、admin888、公司名+年份这类。
- 禁用或删除Guest账户：默认的Guest访客账户没有用，直接禁用。
- 重命名Administrator账户：把默认的Administrator改成一个不常见的名字。攻击脚本大多默认尝试Administrator，改掉名字能挡掉一大半自动爆破。
- 不要创建多个管理员：管理员账户越少越好，日常维护尽量用普通账户，需要时再提权。
- 设置账户锁定策略：在“本地安全策略”里设置，比如连续5次密码错误就锁定账户30分钟。这样爆破基本就废了。
很多朋友觉得改密码麻烦，但你要知道：对方爆破你的密码，是24小时不停机的。只要密码够强、账户会锁定，单纯的爆破就很难成功。
二、把不需要的端口和功能关掉
Windows服务器默认会开放不少端口，每一个都可能成为入口。最典型的是：
- 445端口（SMB文件共享）：这是过去几年最出名的漏洞入口之一，当年“永恒之蓝”和WannaCry勒索病毒就是打这个端口。如果服务器不需要文件共享，务必关闭。
- 135、139端口（RPC、NetBIOS）：多数情况下用不到，容易被扫描和利用。
- 3389端口（远程桌面）：远程管理要用，但必须重点保护，后面单独讲。
关闭方法：
- 打开“Windows防火墙高级设置”，针对不需要的端口创建阻止规则，或者只放行必需的端口，其余全部阻止。
- 关闭不需要的服务。比如不打印就关闭Print Spooler（打印服务，历史上漏洞很多），不做文件共享就关闭Server服务。
- 原则很简单：默认全部关闭，用到哪个再开哪个，而不是反过来。
三、远程桌面3389是重灾区
远程桌面好用，但也最危险。因为它一旦被登录成功，攻击者就相当于坐在你电脑前。
基础加固建议：
- 开启网络级别身份验证（NLA）：让客户端先验证身份再建立连接，能挡掉一部分旧式攻击。
- 限制能远程登录的账户：只允许指定管理员账户远程登录，其他账户一律禁止。
- 改端口不是万能的：把3389改成别的端口，能减少大量自动扫描，但不要以为改了端口就安全，还是得配合强密码、白名单。
- 最好做IP白名单：如果公司出口IP固定，在防火墙里只允许这个IP访问远程桌面端口。这是最有效的办法之一。
- 限制登录失败次数：配合账户锁定策略，让爆破无法持续。
如果你必须长期开远程桌面，那么“强密码 + 账户锁定 + IP白名单”这三样，一个都不能少。
四、系统补丁一定要及时打
很多服务器被入侵，不是因为攻击者多厉害，而是因为服务器几个月没打补丁，漏洞就摆在那里。
Windows会自动下载补丁，但服务器上有时被关闭了自动更新，或者怕重启影响业务就长期不更新。结果就是：漏洞公布后，攻击脚本几天内就会在全网扫描，你的服务器正好没打补丁，就中招了。
建议：
- 打开Windows Update，设置成自动下载并定时重启（比如半夜业务低峰）。
- 重要业务服务器，可以先在测试机验证补丁再上生产。
- 至少每月检查一次补丁情况，不要拖。
五、开启并配置防火墙和杀毒软件
Windows自带的防火墙（Windows Defender防火墙）和杀毒（Microsoft Defender）现在已经足够好用了，很多人却把它们关掉，理由是“麻烦”或者“误报”。这是很危险的做法。
建议：
- 防火墙保持开启，入站规则里只放行需要的端口（80、443、远程桌面端口等），其余默认阻止。
- 杀毒软件保持开启和更新，定期全盘扫描。就算有别的专业防护软件，也建议保留系统自带的基础防护。
- 不轻易关闭实时保护，尤其是服务器上。确实需要排除的目录，只排除特定文件或目录，不要整个关闭。
六、文件权限和网站目录要管好
Windows是NTFS文件系统，权限管理是它的强项，但很多服务器装好后从不调整权限。
基础做法：
- 网站目录、数据库目录只给必要的账户权限，不要给“Everyone完全控制”。
- 运行网站的程序（比如IIS的应用池账户）只给读取和执行权限，上传目录单独设置写入权限。
- 不要用Administrator账户去跑网站服务。IIS默认用低权限账户运行，这是对的，别为了方便改回高权限。
- 定期检查关键目录里有没有多出可疑文件，尤其是脚本文件。
七、打开日志，学会看异常
很多服务器出事后查不出原因，是因为日志根本没开，或者开了但从来不看。
建议开启：
- 本地安全策略里的审核策略：审核登录成功、登录失败、账户管理等。
- 关键账户的登录日志。
- 防火墙日志。
平时不一定要天天看，但一旦发现异常，先去看：
- 有没有大量登录失败的记录
- 有没有陌生账户登录成功
- 有没有在凌晨等奇怪时间的登录
- 有没有异常的进程、计划任务、自启动项
日志就是服务器出问题后的“监控录像”，平时就要开好。
八、养成备份的习惯
最后这条最“没技术含量”，但最关键：再好的防护也不能100%保证安全，但备份可以保证你出事后能恢复。
建议：
- 数据库至少每天自动备份一次，保留多份历史版本。
- 网站程序和配置定期备份。
- 备份文件要放在另一台机器或异地，不要只放在被攻击的服务器本机上。
- 定期测试恢复流程，确保备份真的能用。很多人是出事后才发现备份文件早就坏了。
常见的安全隐患症状
如果你发现下面这些现象，就要当心服务器可能已经被盯上或已经中招：
- 事件查看器里出现大量登录失败记录：安全日志里短时间内有成百上千条“审核失败”，说明有人在爆破密码。
- 服务器突然变慢，CPU或网络占用异常：可能被用来挖矿或对外发起攻击。
- 出现陌生账户，或账户密码被改：账户被入侵的明显信号。
- 计划任务、启动项里多了不认识的项目：可能被植入后门。
- 杀毒软件被莫名关闭，或无法更新：很可能是恶意程序在干扰防护。
- 远程桌面出现陌生IP登录成功：几乎可以确定被入侵了。
小结
Windows服务器的基础加固，说白了就是八个字：最小权限、最小暴露。
- 账户越少越强越好
- 端口和服务越少越好
- 补丁和防护越新越好
- 权限给得越精准越好
- 日志开得越全越好
- 备份做得越勤越好
这些都不需要什么高深技术，难的是坚持做、提前做。等服务器出了事再来补，代价就大了。