凌晨 2:10，荃湾机房。冷气把风声吹成一条细线，机柜里是熟悉的风扇低鸣。我刚坐下，北向业务线的同事在 IM 里一句话把我从困意里拽回：“今天白天跨境访问断续，RDP 明显卡顿，有几台服务器提示‘需要重启完成更新’但没人动，担心有漏洞窗口。”

那一刻我心里“咯噔”一下：跨境链路敏感期、零星补丁未完成、权限没完全收口，是最容易被捅的组合拳。我给自己倒了杯热水，打开工单系统，开始把这套“安全基线 + 补丁管理”的流程从头到尾跑一遍。下面就是那一夜我在香港机房的完整操作与复盘，希望既能让新手照着做，也能给老手一些细节与坑点参考。

1. 场景与目标

环境画像（真实落地样例）

机房/地区：香港（荃湾），跨境链路（HK ↔ Mainland）走双线 BGP，延迟 20–45ms 波动。

服务器角色与版本：

• AD DS（Windows Server 2022 Datacenter）×2（PDC/ADC）
• 文件服务器（WS 2019/2022 混部）×3（含重删、VSS）
• 应用服务器（IIS + .NET 6/4.8）×6
• SQL Server 2019/2022 Always On ×2
• 管理节点：WSUS/WEF/Jump Server ×1

硬件（典型一台）：

• Dell PowerEdge R7525，2×AMD EPYC 7452（32c），256GB RAM
• 系统盘：2×480GB SATA SSD（RAID1）
• 数据盘：6×1.92TB NVMe（RAID10，cachecade）
• 网卡：2×10GbE（Bond/Teaming，LACP）
• 带外：iDRAC9，双电源

主要目标：

• 用“可审计、可回滚”的方式落地 安全基线；
• 设计 分环补丁策略，降低跨境时延与变更风险；
• 建立 持续合规与监控，把“修一次”变成“长期免疫”。

2. 网络拓扑与隔离（最容易被忽略的前置）

逻辑拓扑（简述）

Internet ↔ 边界防火墙/WAF ↔ DMZ（IIS 反向代理） ↔ 内网应用区（App） ↔ 数据区（DB）

旁挂：Jump Server（含 MFA）、WSUS、WEF（日志收集）、备份库。

子网与访问矩阵（节选）

经验注释：先把流量白名单和带外管理（iDRAC/iLO）打通，比安装任何安全软件都关键。很多“补丁失败”“更新卡顿”是出口不通或代理不支持 TLS/证书链导致。

3. 基线框架与工具选型

基线参考：

• Microsoft Security Baselines（按 OS/Edge/Office 版本）
• CIS Benchmarks（Windows Server Level 1/2，依据业务分级选取）

落地工具：

• GPO + LGPO.exe（域/本地策略批量施策）
• Windows Admin Center（WAC）（可视化基线评估与更新）
• WSUS（离线/分环补丁）或 Windows Update for Business（若接入 AAD/Intune）
• WEF + Sysmon（日志与溯源）
• Defender/Exploit Guard/ASR/WDAC（或 AppLocker）

4. 安全基线落地（逐项开刀 + 可复制命令）

4.1 账户与口令策略

• 重命名内置 Administrator，禁用 Guest。
• 口令策略：长度 ≥14、复杂度开启、最短使用期 1 天、历史 24。
• 启用 Windows LAPS（域内本地管理员密码轮换）。

PowerShell（域 GPO 模板与 LAPS）

# 安装 LAPS、扩展架构（在 Schema Master）
Add-WindowsCapability -Online -Name "Windows.LAPS~~~~0.0.1.0"
Update-LapsADSchema

# 创建并链接 LAPS GPO
$gpo = New-GPO -Name "Baseline-LAPS"
Set-GPRegistryValue -Name $gpo.DisplayName -Key "HKLM\Software\Microsoft\Windows\CurrentVersion\LAPS\Config" -ValueName "BackupDirectory" -Type String -Value "AAD"
Set-GPRegistryValue -Name $gpo.DisplayName -Key "HKLM\Software\Microsoft\Windows\CurrentVersion\LAPS\Config" -ValueName "PasswordLength" -Type DWord -Value 16
New-GPLink -Name $gpo.DisplayName -Target "OU=Servers,DC=corp,DC=hk"

4.2 远程访问与 RDP

• 仅允许 Jump Server 入站 RDP，强制 NLA，闲置断开 15 分钟。
• 引入 MFA（Duo/其他）到 RDP 或使用 Bastion 网关。
• 审计 RDP 登录失败（Event ID 4625/4624）。

命令（NLA 与会话限制）

# 强制 NLA
Set-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name "UserAuthentication" -Value 1
# 会话超时
Set-ItemProperty "HKLM:\Software\Policies\Microsoft\Windows NT\Terminal Services" -Name "MaxDisconnectionTime" -Value 900000 -Type DWord

4.3 协议与加密

• 禁 SMBv1，启用 SMB 签名（文件服务器、域控）。
• 仅启用 TLS 1.2/1.3（如适用），禁用 RC4/3DES。
• 关闭不必要的旧版协议（LLMNR、NetBIOS，按业务评估）。

命令（禁 SMBv1）

Disable-WindowsOptionalFeature -Online -FeatureName "SMB1Protocol" -NoRestart
Set-SmbServerConfiguration -EnableSMB1Protocol $false -EncryptData $true -RequireSecuritySignature $true -Force

命令（SChannel 仅 TLS 1.2，需重启）

$base="HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols"
New-Item -Path "$base\TLS 1.0\Server" -Force | Out-Null
New-ItemProperty "$base\TLS 1.0\Server" -Name "Enabled" -PropertyType DWord -Value 0 -Force | Out-Null
New-Item -Path "$base\TLS 1.1\Server" -Force | Out-Null
New-ItemProperty "$base\TLS 1.1\Server" -Name "Enabled" -PropertyType DWord -Value 0 -Force | Out-Null
New-Item -Path "$base\TLS 1.2\Server" -Force | Out-Null
New-ItemProperty "$base\TLS 1.2\Server" -Name "Enabled" -PropertyType DWord -Value 1 -Force | Out-Null

4.4 防火墙与最小权限

• 默认拒绝入站，仅放行业务端口与管理端口（来源受限）。
• 分区间启用 IPsec（高价值段）。
• 出站白名单：WSUS、CRL、时间服务、日志汇聚。

命令（快速设规则）

# 仅允许 Jump 服务器 RDP 入站
New-NetFirewallRule -DisplayName "Allow RDP from Jump" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress 10.10.99.10 -Action Allow
# 默认阻止所有入站（先确认已有必需放行）
Set-NetFirewallProfile -Profile Domain,Public,Private -DefaultInboundAction Block

4.5 终端防护（Defender + ASR + Exploit Guard）

• 开启 云交付保护、实时保护、PUA 保护。
• 启用 ASR 规则（分阶段：Audit→Enforce），对老系统与旧应用先灰度。
• 打开 Exploit Guard 网络保护。

命令（ASR 典型启用）

# 示例：阻止可疑宏、阻止 Office 启动子进程等（GUID 取自官方文档）
$rules = @(
    "D4F940AB-401B-4EFC-AADC-AD5F3C50688A", # 阻止 Office 启动子进程
    "75668C1F-73B5-4CF0-BB93-3ECF5CB7CC84", # 阻止可疑行为
    "BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550"  # 阻止 Office 从互联网下载可执行内容
)
foreach($r in $rules){ Add-MpPreference -AttackSurfaceReductionRules_Ids $r -AttackSurfaceReductionRules_Actions Enabled }
Set-MpPreference -PUAProtection Enabled -CloudBlockLevel High

4.6 应用控制（WDAC/AppLocker）

高安全业务建议用 WDAC（基于签名/策略）；通用场景可先用 AppLocker 做“只允许运营签名的可执行”。

先审计再强制，防止“全网黑屏”。

5. 补丁管理设计（跨境友好型）

分环策略（减少一次性全网风险）

WSUS 架构与带宽优化

• WSUS 部署在香港管理网，只开 8530/8531；下游服务器全部从 WSUS 拉取。
• 只同步 需要的产品与分类（Windows Server 2019/2022 + .NET + SQL），仅中英文；
• 开启 Express Updates（磁盘消耗↑，带宽效率↑，按环境取舍）；
• 配合 Delivery Optimization/BranchCache 降低跨境/跨机柜流量。

6. 从零到一：WSUS 实施步骤（含命令）

6.1 安装与初始化

# 安装 WSUS 角色（WID 方案；中小规模足够，>10k 节点建议 SQL 后端）
Install-WindowsFeature -Name UpdateServices,UpdateServices-WidDB,UpdateServices-Services -IncludeManagementTools
& "C:\Program Files\Update Services\Tools\wsusutil.exe" postinstall CONTENT_DIR=D:\WSUS

容量建议：CONTENT_DIR 预留 500GB–1TB；Express 开启时尽量≥1TB。WSUS 所在卷建议 单独磁盘。

6.2 初始配置与同步策略

在 WSUS 控制台：取消所有不需要的产品与语言；只勾选 Windows Server 2019/2022、.NET、SQL Server、英语/中文（简体/繁体按需）、分类仅限 Security Updates/Definition Updates/Servicing Stack Updates/Updates。

同步计划：每日 01:00，失败重试 3 次。

配置代理（如有）：保证 microsoft.com、windowsupdate.com、msedge.net、CRL 域名白名单可达。

6.3 计算机分组与自动审批

• 组：Canary、Pilot、Broad、Critical。
• GPO 绑定 OU，使用“客户端侧目标设定”。
• 自动批准：仅对 Definition Updates（Defender）与 非关键安全更新的 Canary 组自动通过；其它环需人工审批。

GPO 指向 WSUS

$gpo = New-GPO -Name "WSUS-Client"
Set-GPRegistryValue -Name $gpo.DisplayName -Key "HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate" -ValueName "WUServer" -Type String -Value "http://wsus.corp.hk:8530"
Set-GPRegistryValue -Name $gpo.DisplayName -Key "HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate" -ValueName "WUStatusServer" -Type String -Value "http://wsus.corp.hk:8530"
Set-GPRegistryValue -Name $gpo.DisplayName -Key "HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" -ValueName "UseWUServer" -Type DWord -Value 1
Set-GPRegistryValue -Name $gpo.DisplayName -Key "HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" -ValueName "NoAutoRebootWithLoggedOnUsers" -Type DWord -Value 1
New-GPLink -Name $gpo.DisplayName -Target "OU=Servers,DC=corp,DC=hk"

客户端强制检测

gpupdate /force
UsoClient StartScan

6.4 清理与优化（避免 WSUS 越跑越慢）

每月运行 Server Cleanup Wizard：删除过期/被取代更新、未用计算机。

WID 碎片整理：定期 wsusutil reset、IIS 应用池 Private Memory 上限 不限或 >8GB。

日志监控：抓 0x8024401c/0x80244010 等错误（多因代理/TLS 问题）。

7. 真实坑点与现场解法（那一夜的记录）

7.1 代理与 TLS 报错

症状：WSUS 同步失败 0x80244010，IIS 日志 502。
原因：出口代理仅支持 TLS1.0，WSUS 使用 .NET4 默认“系统策略”，与服务端协商失败。
解法：

在 WSUS 服务器强制 .NET 使用 TLS1.2：

New-ItemProperty "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319" -Name "SchUseStrongCrypto" -Value 1 -PropertyType DWord -Force
New-ItemProperty "HKLM:\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319" -Name "SchUseStrongCrypto" -Value 1 -PropertyType DWord -Force
iisreset

与网络同事协调升级代理或为 WSUS 放通免代理名单。

7.2 ASR 误杀旧组件

症状：开启“阻止 Office 启动子进程”后，某 Excel 宏导出 ETL 失败。

解法：ASR 先 Audit 一周，收集事件，再为签名 Publisher 做有界豁免，逐步 Enforce。

7.3 GPO 作用域误配

症状：某 OU 被误套“禁止本地登录”的策略，导致运维 RDP 被踢。

解法：保留 Break-Glass 本地管理员（LAPS 托管）、带外 iDRAC 登录撤销策略；在 GPMC 打开“建模”做前置模拟。

7.4 WSUS 磁盘爆满

症状：CONTENT_DIR 仅 200GB，开启 Express 后一周告警。

解法：扩容到 1TB，迁移内容目录：

& "C:\Program Files\Update Services\Tools\wsusutil.exe" movecontent E:\WSUS E:\WSUSMove.log -skipcopy
robocopy "D:\WSUS" "E:\WSUS" /MIR

8. 基线检查清单（节选）

9. 持续监控与合规

补丁合规 KPI：

• Critical：7 天内 ≥ 95%
• High：14 天内 ≥ 90%
• Definition：24 小时 ≥ 99%

仪表板：WSUS 报表 + WAC 更新视图 + 自建 SQL 报表（从 SUSDB 拉取）

日志收集：WEF 订阅域内服务器安全日志，配合 Sysmon（规则按需裁剪）。

预警：出现 RebootRequired 超过 72 小时、或“连续 3 次安装失败”的主机，自动建单。

检查补丁与重启状态

Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\RebootRequired" -ErrorAction SilentlyContinue
Get-WindowsUpdateLog

10. 变更回滚与容灾预案

变更前：

虚拟化（Hyper-V/VMware）拍快照；物理机做 系统镜像（Veeam/Windows Backup）。

关键 SQL/AD 做 一致性备份；记录 oslevel、已装补丁 KB 清单。

快速回滚：

卸载最近补丁：wusa /uninstall /kb:XXXXXX /quiet /norestart

WDAC/AppLocker：切回 Audit，临时放开

ASR：回退到上一个策略版本

演练：每季度抽 1 台做“从失败到恢复”的桌面演练。

11. 表格：补丁环与审批规则（可直接照抄）

12. 我的一点节奏与心法

• 先网络，后基线，再补丁：出口通、证书链通，少走很多弯路。
• 审计 → 灰度 → 强制：ASR/WDAC 这类“有杀伤力”的策略，必须走三段式。
• 分环 + 夜窗 + 回滚点：把风险均摊到时间里。
• 把例外写成规则：凡是本周“临时放开”的，下周都写进自动化或明确的例外列表。
• 让日志说话：WEF/Sysmon 的噪声清掉后，异常一目了然。

13. 结尾：天亮之前，风险要变成规则

那一夜，等 WSUS 把最后一批 Pilot 的累积更新跑完，我在 Jump Server 上看着 WEF 的日志曲线从起伏慢慢平稳，跨境用户的 RDP 也不再“一卡一卡”。窗外开始泛白，机房的风声还是那条细线。我合上笔记本，给值班群发了恢复通知。

安全从来不是一次性的“安装”，它更像是一种节律：基线把系统拉到正确的“姿势”，补丁让它跟着世界的节拍往前走，监控与回滚则是在失败时把你托住。香港与内地之间的链路或许会有波动，但我们的规则、流程和手感要稳。

下一次凌晨两点来临时，你也可以像我一样，从容地把风险关在机柜门外。

附：一键自检脚本（可在任何服务器上快速评估关键项）

Write-Host "=== 基线快速体检 ==="
# 1. SMB
$smb = Get-SmbServerConfiguration
"{0,-25}{1}" -f "SMBv1 Enabled:", $smb.EnableSMB1Protocol
"{0,-25}{1}" -f "SMB Signing Required:", $smb.RequireSecuritySignature

# 2. 防火墙
(Get-NetFirewallProfile | Select-Object Name, DefaultInboundAction) | Format-Table

# 3. TLS（只抽查注册表）
$base="HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server"
try { (Get-ItemProperty $base -ErrorAction Stop).Enabled } catch { "TLS1.2 Server key missing" }

# 4. Defender
$mp = Get-MpComputerStatus
"{0,-25}{1}" -f "RealtimeProtection:", $mp.RealTimeProtectionEnabled
"{0,-25}{1}" -f "CloudProtection:", $mp.OnlineServicesEnabled

# 5. 重启需求
if (Test-Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\RebootRequired") {
  "Reboot Required: YES"
} else { "Reboot Required: NO" }

# 6. WSUS 指向
$wu = "HKLM:\Software\Policies\Microsoft\Windows\WindowsUpdate"
if (Test-Path $wu) {
  "{0,-25}{1}" -f "WUServer:", (Get-ItemProperty $wu).WUServer
} else { "WSUS GPO not found" }