用途：按 Microsoft 安全基线与 CIS 基准加固 Windows 服务器，适用于新部署加固、合规审计准备（SOC2、PCI-DSS、HIPAA）、安全事件后的配置整改，以及为域环境建立组策略安全标准。
主要能力：账户策略（密码长度/有效期/历史、锁定阈值，net accounts 与 SecurityPolicyDsc）；账户加固（重命名 Administrator、禁用 Guest/DefaultAccount、LAPS 权限配置）；组策略与注册表安全选项（限制匿名 SAM/共享枚举、禁用 SMBv1、要求 SMB 签名、禁用 LLMNR/NetBIOS/WDigest、启用 LSA 保护与 UAC）；Windows 防火墙（三配置文件默认阻止入站、按管理网段放行 RDP/WinRM、日志与规则导出审计）；高级审计策略（auditpol 各子类别、PowerShell 脚本块/模块/转录日志、WEF）；Windows Defender（实时保护、云保护、扫描计划、ASR 规则 ID 与排除项审查）。
使用方式：需 Windows Server 2019+（推荐 2022）、本地管理员或域管理员权限、PowerShell 5.1+，域环境需组策略管理控制台，建议配合 Microsoft Security Compliance Toolkit。示例命令包括 Install-Module -Name SecurityPolicyDsc -Force、net accounts /minpwlen:14 /maxpwage:90、Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force、auditpol /set /subcategory:"Logon" /success:enable /failure:enable、Add-MpPreference -AttackSurfaceReductionRules_Ids 等。
限制：仅在授权范围内应用，破坏性步骤须先在非生产环境测试；本条目为文档导入，上游脚本与模板未随附；BitLocker、Credential Guard、AppLocker 等章节仅列出标题，具体内容暂未提供。