使用微软安全合规工具包保护Windows系统

繁忙的微软管理员需要所有可能的帮助，特别是在安全相关领域。不当配置可能导致安全漏洞，对企业造成难以估量的损害，或者在合规审计失败时使组织面临严格审查。微软提供安全合规工具包来识别基础设施设置问题，帮助管理员填补这些漏洞，保持一致的安全状态并避免中断。

什么是微软安全合规工具包？

微软安全合规工具包是一组工具，管理员可以使用它将现有的组策略对象（GPO）与微软推荐的安全基线进行比较。管理员可以查看其组织的策略是否与微软的建议不同，并在必要时应用更安全的策略设置。这些工具适用于本地GPO和Active Directory。安全合规工具包还包括一个工具，可以重置几乎任何对象的安全描述符。

该工具包使管理员能够编辑GPO，将其以GPO备份格式存储，并通过域控制器或测试环境应用它们以检查问题。

如何使用微软安全合规工具包

管理员可以从微软网站下载安全合规工具包，该网站提供与Windows Server、Windows 10、Windows 11、Microsoft 365企业应用和Microsoft Edge的安全基线包对应的zip文件。其他文件包括策略分析器、本地组策略对象实用程序和设置对象安全应用程序。

策略分析器工具

策略分析器比较GPO集（例如微软提供的安全基线），并检查系统的本地安全策略和注册表设置。策略分析器检查不一致和冗余设置，并通过比较不同时间采取的基线来跟踪更改。

首先使用组织当前策略设置创建策略规则文件。最简单的方法是打开组策略管理控制台（GPMC），右键单击GPO并从快捷菜单中选择"备份"。

接下来启动策略分析器。单击"添加"按钮，从文件菜单中选择"从GPO添加文件"命令。选择与GPO备份对应的文件夹，然后单击"导入"按钮加载它。

接下来在提示输入策略规则文件时输入名称并单击"保存"。主策略分析器屏幕将打开。控制台包含用于查看或比较策略设置以及将策略设置与有效状态进行比较的按钮。

微软最近将GPO2PolicyRules实用程序与策略分析器打包在一起。GPO2PolicyRules自动将GPO备份转换为策略分析器规则文件。

通过在命令提示符下运行GPO2PolicyRules.exe，然后输入所需的GPO备份和要创建的输出文件来使用它。

本地组策略对象工具

本地组策略对象（LGPO）工具从命令行运行并管理系统的本地安全策略。该工具提供与本地策略设置相关的多项功能：

导入和应用设置：该工具适用于多个来源，包括注册表策略文件、安全模板、审核备份和LGPO文本文件
策略备份：将本地策略导出到GPO备份以进行安全保存并部署到其他系统
验证：在广泛部署前运行组策略设置检查
非域系统管理：自动化未连接到域的多个系统的配置和部署

LGPO工具的语法相对复杂，因为它支持许多参数。您可以通过从命令提示符运行LGPO.exe来查看完整语法。

例如，要创建本地GPO的备份，请输入以下命令：

1

LGPO.exe /b <路径> /n <组策略名称>

设置对象安全工具

设置对象安全将安全描述符应用于文件、文件夹、SMB共享或几乎任何其他类型的对象。一个常见用途是将默认安全描述符恢复到系统的根文件夹。

要使用该工具，运行SetObjectSecurity.exe命令，后跟几个参数：

ObjType：要保护的对象类型，例如FILE、KEY、eventlog、printer、share或kobject等。对象类型区分大小写
ObjName：要保护的对象的名称，例如文件、文件夹或注册表项
SDDL：要应用的安全描述符，以安全描述符定义语言编写。使用AccessChk等工具从对象获取SDDL

以下示例显示设置对象安全工具执行一组从GPO备份转换的策略规则：

1

SetObjectSecurity.exe FILE C:\ "O:S-1-5-80-956008885-3418522649-1831038044-1853292631-2271478464D:PAI(A;OICI;FA;;;BA)(A;OICI;FA;;;SY)(A;OICI;0x1200a9;;;BU)(A;OICIIO;SDGXGWGR;;;AU)(A;;LC;;;AU)S:P(ML;OINPIO;NW;;;HI)"

如何将安全基线应用于Windows Server

在对生产系统执行任何更改之前，管理员应遵循最佳实践，并在非生产环境中测试将安全基线部署到Windows Server系统。

要使用微软推荐的Windows Server 2025之前版本的Windows Server安全配置基线，请下载用于配置组策略设置的微软安全合规工具包文件。这些文件包含文档、组策略报告、不同设置的GPO、协助部署的PowerShell脚本，以及ADMX和ADML格式的GPO模板。

首先，打开GPMC并打开组策略管理。

接下来，右键单击域和林中的组策略对象以创建GPO，然后重命名GPO，根据基线名称为其指定描述性名称。

右键单击GPO并选择"导入设置"，然后从提取的安全基线文件所在的文件夹中选择服务器角色的基线GPO。

将GPO链接到域或组织单位，然后启用GPO设置。运行以下命令强制在测试系统上更新组策略：

1

gpupdate /force

检查事件日志中是否有与组策略相关的任何错误。

Windows Server 2025的新安全基线方法

随着Windows Server 2025的发布，微软引入了OSConfig平台来应用安全基线的期望状态配置。

微软通过OSConfig PowerShell模块将安全基线集成到操作系统中，无需下载文件。本机PowerShell工具使用一个命令更新设置，而不是需要多个工具。OSConfig还具有自动化方法，通过漂移控制机制保持系统符合合规要求。

使用微软安全合规工具包强化Windows安全防护

本文详细介绍微软安全合规工具包的使用方法，包括策略分析器、本地组策略对象工具和对象安全设置工具的操作步骤，帮助管理员通过安全基线配置强化Windows服务器和工作站的安全防护。