SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场windows-11-security-baseline

windows-11-security-baseline

安全与审计

查看项目

更新于 10-16 02:23

技能介绍

用途

Windows 11 安全基线是微软精选的推荐安全设置集合，包含数百项经过安全价值与兼容性验证的策略。该基线以 Intune 安全基线（设置目录版）或 Microsoft Security Compliance Toolkit 中的 GPO 模板形式交付。本技能覆盖应启用哪些控制项、Windows 11 特有的控制能力（LAPS、VBS/HVCI、Credential Guard、Smart App Control、PDE）以及推广模式。

适用场景：使用 Intune（或面向旧环境的 GPO）对 Windows 11 设备群进行加固，重点关注现代 Windows 特有的硬件级与身份保护能力。

不适用场景：MDE 策略编写（defender-for-endpoint）、通用 Intune 设备管理（intune-device-mgmt）、仅 BitLocker 设计（bitlocker-design）。

主要能力：核心控制项及启用顺序

按以下顺序开启：

  1. 篡改防护（Tamper Protection，MDE）——没有它，其他控制都只是建议性的。
  2. 安全启动 + TPM 2.0——VBS/HVCI/Credential Guard 的基础，Windows 11 的必需项。
  3. VBS / HVCI / 内存完整性——在虚拟机监控程序隔离容器中实现内核模式代码完整性。
  4. Credential Guard——LSASS 隔离，可抵御大多数凭据窃取工具。
  5. LSA 保护——阻止非受保护进程注入 LSASS。
  6. BitLocker——绑定 TPM 的启动磁盘加密。
  7. 个人数据加密（PDE）——与用户登录绑定的逐文件加密（首次登录后生效）。
  8. Windows Hello for Business——替代基于密码的本地登录。
  9. Windows LAPS（现代版）——本地管理员密码轮换，由 Entra 支持。
  10. Smart App Control——在全新安装的 Windows 11 上默认拒绝代码执行。
  11. WDAC / App Control for Business——受管设备群上的成熟应用控制。
  12. 受控文件夹访问 + 漏洞利用防护——与 ASR 相邻的主机加固。
  13. 可移动存储策略——USB 外泄控制。

使用方式

在设备级别通过 Intune 应用微软安全基线。使用设置目录版本（较新）或名为“Windows 11 security baseline”的版本——设置目录是面向未来的选项。

分环试点方法：

  • Ring 0（50 台 IT 设备）：全部基线 + 新控制项。
  • Ring 1（5% 代表性设备）：同上。
  • Ring 2（其余设备）：兼容性验证后。

不要将基线视为一次性部署；某些控制项（Smart App Control、WDAC、PDE）需要分阶段推广。

硬件级身份栈：

  • 在预配时验证 TPM 2.0 + 安全启动（Autopilot 前置条件）。
  • 通过基线启用 VBS + HVCI / 内存完整性；预期旧驱动会出问题——使用驱动程序兼容性工具在推广前发现阻碍项。
  • 启用 Credential Guard + LSA 保护——二者结合可终结大多数针对受管设备的 Mimikatz 式攻击。

Windows LAPS（新的内置产品，区别于旧版 LAPS）：

  • Entra 加入：密码存储在 Entra ID，通过 Intune 策略轮换。
  • 混合 / AD 加入：密码存储在 AD，需要架构扩展。
  • 从旧版 LAPS（已弃用）迁移。密码有效期上限 30 天。

Smart App Control 仅在全新安装的 Windows 11 上可用（经过学习阶段后生效）。对于现有设备，使用 WDAC / App Control for Business——投入更大，但适用于升级而来的设备群。阶段：仅审核策略 → 按设备组强制执行 → 扩展。

个人数据加密（PDE）需要 Windows Hello for Business 和现代身份验证。与 WHfB 一起推广；它不是 BitLocker 的替代品——是叠加在其上的逐文件加密。

Windows Hello for Business 作为本地登录方式（证书信任或云 Kerberos 信任）。与 passkeys-fido2 配合，形成更广泛的反钓鱼策略。

受控文件夹访问 + 漏洞利用防护。CFA 先以审核模式运行 14 天；然后仅在用户工作站上强制执行（不要在服务器上——会破坏应用文件写入）。漏洞利用防护配置文件来自微软基线，租户范围应用。

可移动存储控制。对一般员工默认阻止可写 USB；对合法用例（设计师、AV 团队）按硬件 ID 加入允许列表。结合 Defender for Endpoint 设备控制实现细粒度策略。

合规 + 条件访问。仅在以下条件满足时将设备标记为合规：

  • BitLocker 开启、TPM 健康、安全启动开启、Defender 实时防护开启。
  • 设备风险 = 低（MDE）。
  • 基线已应用 = 是（通过 Intune 合规）。 将合规绑定到条件访问以控制资源访问。

防护栏

  • 未做驱动兼容性检查前，不要启用内存完整性 / HVCI。旧打印机 / VPN / 端点驱动会导致启动失败。
  • Smart App Control 无法在升级的 Windows 11 上启用。对这些设备使用 WDAC。
  • WDAC 价值高但运维繁重。需要规划策略管理职能；这不是“设置后不管”。
  • 旧版 LAPS 已弃用；新的 Windows LAPS 是方向。不要在全新 Windows 11 上部署旧版 LAPS。
  • Credential Guard 会破坏某些旧身份验证场景（特定 TPM 配置下的 Wi-Fi 802.1x、第三方凭据提供程序）。需验证。
  • 不要在内存完整性旁边运行不受支持的驱动 / 内核模式软件。
  • PDE 需要 WHfB。没有 Hello，PDE 不会生效；数据在文件级别不受保护。
  • Intune 设置目录与经典基线：面向未来的是设置目录。不要对同一设置同时运行两者——会冲突。
  • 服务器上的 CFA 会破坏工作负载。仅限工作站。
  • 无允许列表的全量阻止可移动存储会破坏合法用户；需有申请工作流。

常见反模式

  • “应用了一次基线，从不更新”——基线更新每季度发布；新攻击会带来新设置。每年重新基线化。
  • “因为一个驱动报错就关闭内存完整性”——保持开启，替换该驱动。
  • “Windows 11 上仍在运行旧版 LAPS”——已弃用；迁移到 Windows LAPS。
  • “WDAC 永远处于审核模式”——从未强制执行；没有保护任何东西。
  • “在升级设备上启用 Smart App Control”——静默无效。
  • “因为 2018 年的第三方 VPN 而关闭 Credential Guard”——替换该 VPN。
  • “USB 全阻止，无例外”——工程部门会反抗并寻找绕过方法。允许合法使用。
  • “合规信号未接入条件访问”——设备“合规”但访问时无强制执行。
  • “设置目录和经典基线同时针对同一组”——策略冲突；执行不可预测。

示例提示

  • 使用 3 环试点将 Windows 11 安全基线推广到 30,000 台 Intune 管理的设备群。
  • 为混合（Entra 加入 + AD 加入）设备群从旧版 LAPS 迁移到 Windows LAPS。
  • 为 VBS / HVCI / 内存完整性推广做驱动兼容性准备。
  • WDAC 策略编写策略：托管安装程序 vs 显式允许列表；分阶段强制执行。
  • 与 Windows Hello for Business 和 passkey 策略对齐的个人数据加密推广。
  • 可移动存储策略：租户范围阻止 USB 写入，按硬件 ID 为指定组加入允许列表，申请工作流。
  • 合规策略 + 条件访问：将安全基线绑定到 Microsoft 365 和 Azure 门户的访问。
  • 审计整个设备群的 Smart App Control 资格，识别 WDAC 是唯一可行路径的设备。

参考资料（Microsoft Learn）

  • Windows 11 安全手册：https://learn.microsoft.com/windows/security/book/
  • Windows 11 安全基线：https://learn.microsoft.com/windows/security/operating-system-security/device-management/windows-security-configuration-framework/windows-security-baselines
  • Intune 安全基线：https://learn.microsoft.com/intune/intune-service/protect/security-baselines
  • VBS / HVCI / 内存完整性：https://learn.microsoft.com/windows/security/hardware-security/enable-virtualization-based-protection-of-code-integrity
  • Credential Guard：https://learn.microsoft.com/windows/security/identity-protection/credential-guard/
  • LSA 保护：https://learn.microsoft.com/windows-server/security/credentials-protection-and-management/configuring-additional-lsa-protection
  • Windows LAPS：https://learn.microsoft.com/windows-server/identity/laps/laps-overview
  • Smart App Control：https://learn.microsoft.com/windows/security/application-security/application-control/app-control-for-business/
  • WDAC / App Control for Business：https://learn.microsoft.com/windows/security/application-security/application-control/app-control-for-business/
  • 个人数据加密：https://learn.microsoft.com/windows/security/operating-system-security/data-protection/personal-data-encryption/
  • 受控文件夹访问：https://learn.microsoft.com/defender-endpoint/controlled-folders
  • Microsoft Security Compliance Toolkit（GPO 基线）：https://www.microsoft.com/download/details.aspx?id=55319