Table of Contents

简介

Windows 操作系统被世界各地的个人和组织广泛使用。为确保这些系统的安全性和完整性，必须实施Windows加固最佳实践。加固包括通过降低攻击面和减少潜在漏洞来确保操作系统的安全。本文将探讨 Windows 10 和较新的 Windows 11 操作系统的加固最佳实践，为增强 Windows 环境的安全性提供有价值的见解。

了解 Windows 加固

Windows 加固是加强 Windows 操作系统安全性的过程。它涉及配置各种设置和实施安全措施，以防止未经授权的访问、恶意软件和其他威胁。通过加固 Windows 系统，您可以最大限度地降低与网络攻击相关的风险，并确保数据的机密性、完整性和可用性。

Hardening Windows 10

Windows 10 是全球使用最广泛的操作系统之一。要加固 Windows 10 环境，请考虑以下最佳实践：

1. Enable Windows Defender

Windows Defender 是 Windows 10 附带的强大的杀毒解决方案。它提供一系列安全功能，可保护您的系统免受各类恶意软件的侵害，包括病毒、间谍软件和勒索软件。启用 Windows Defender 后，您可以显著增强 Windows 10 环境的安全性。

要启用 Windows Defender，请按照以下步骤操作：

  • 单击任务栏中的 Windows 安全图标或在 “开始 “菜单中搜索 “Windows 安全”，打开Windows 安全应用程序。
  • 在 Windows 安全应用程序中，单击左侧导航窗格中的 “病毒和威胁防护"。
  • 单击 “病毒和威胁防护设置 “部分下的 “管理设置"。
  • 确保将 “实时保护“切换开关设置为 “开"。这将使 Windows Defender 能够主动扫描并实时保护您的系统。
  • 此外，您还可以分别点击 “扫描选项“和 “添加或删除排除项"，自定义扫描选项和排除项。

定期更新** Windows Defender 以确保其拥有最新的恶意软件定义和安全增强功能至关重要。微软会定期发布更新以应对新的威胁和漏洞。要更新 Windows Defender，可以按照以下步骤进行：

  • 打开 Windows 安全应用程序。
  • 转到左侧导航窗格中的 “病毒和威胁防护"。
  • 单击 “病毒和威胁防护更新 “部分下的 “检查更新"。
  • Windows 将检查可用更新，并在必要时下载/安装更新。

通过启用 Windows Defender 并保持更新，您可以主动保护 Windows 10 系统免受恶意软件和其他安全威胁的侵害。还建议使用 Windows Defender 执行定期系统扫描，以确保检测和删除任何潜在威胁。

请记住，虽然 Windows Defender 提供了坚实的保护，但还必须辅之以安全的浏览习惯、定期的软件更新和其他安全措施，以维护安全的 Windows 10 环境。

2. Keep Windows 10 Updated

定期安装 Windows 更新是加固 Windows 10 的一个重要方面。这些更新包括安全补丁**、错误修复和性能改进，有助于修补安全漏洞和提高系统稳定性。

微软会为 Windows 10 发布个定期更新，以解决新发现的安全问题并增强整体用户体验。通过保持系统更新，您可以确保操作系统拥有最新的安全增强功能**，以抵御新出现的威胁。

要保持 Windows 10 更新，您可以按照以下步骤操作：

1.启用自动更新：默认情况下，Windows 10 配置为自动下载和安装更新。这可确保您的系统在无需手动干预的情况下接收必要的更新。要检查是否启用了自动更新，请按照以下步骤操作：

  • 单击 “开始 “菜单并选择齿轮图标，进入设置。
  • 单击更新和安全。
  • 在左侧导航窗格中，单击Windows Update。
  • 确保在**“Windows Update 设置 “下选择了“自动 “选项。如果未选择，请单击“更改活动时间 “**链接，自定义 Windows 应避免安装更新的活动时间。

2.手动安装更新：如果您希望对更新过程有更多控制，可以在 Windows 10 系统上手动安装更新。具体方法如下：

  • 进入设置 > 更新和安全 > Windows更新。
  • 点击**“检查更新 “**，查看系统是否有可用更新。
  • 如果找到更新，请单击**“下载 “和“安装 “**启动安装过程。

必须强调的是，安装更新后定期重启系统的重要性。某些更新可能需要重新启动系统才能完全应用更改并确保其有效性。

通过保持 Windows 10 系统更新，您不仅可以增强其安全性，还可以从最新功能、性能改进和兼容性修复中获益。这是一项积极主动的措施，可确保您的系统始终能够抵御潜在的安全威胁。

3. Configure User Account Control (UAC)

用户帐户控制 (UAC) 是 Windows 10 中的一项安全功能，可在需要时通过提示管理员批准来防止对系统进行未经授权的更改。它可以防止恶意软件或未经授权的用户试图进行可能影响系统安全性或稳定性的更改。

将 UAC 设置配置为适当级别对于加固 Windows 10至关重要。这需要在安全性和可用性之间找到平衡点，以确保 UAC 既能有效保护系统，又不会造成不必要的干扰。

要在 Windows 10 中配置 UAC 设置，您可以按照以下步骤进行操作：

1.在搜索栏中输入 “控制面板 “并从搜索结果中选择，打开控制面板。

2.在控制面板中，点击**“用户账户 “**。

3.点击 “更改用户账户控制设置 “。

4.你会看到一个滑块，上面有不同级别的 UAC 设置。以下是可用选项：

  • 始终通知 “**：这是最高级别的 UAC 安全设置，任何系统更改，即使是简单的任务，都会提示你是否同意。
  • “仅当应用程序试图更改我的计算机时通知我（默认）”：这是推荐的设置，可在安全性和可用性之间取得平衡。应用程序进行更改时会提示您是否同意，但 Windows 设置更改时不会提示您是否同意。
  • “仅当应用程序试图更改我的电脑时通知我（不调暗我的桌面）”：与前一个选项类似，但 UAC 提示出现时桌面不会变暗。
  • 从不通知 “**：这是 UAC 的最低安全级别，不会提示你进行任何系统更改。

5.将滑块移动到所需位置，选择适合您的 UAC 安全级别。

6.点击 “OK “，保存更改。

建议继续启用 UAC，并将其设置为在安全性和可用性之间取得适当平衡的级别。完全禁用 UAC 会使系统更容易受到未经授权的更改的影响，并可能危及系统安全。

通过配置 UAC 设置，您可以确保关键的系统更改需要管理员权限，从而增强 Windows 10 系统的安全性，降低未经授权的访问和恶意软件感染的风险。

4. Use Strong Passwords

使用强大的密码对于维护 Windows 10 系统安全和防止未经授权的访问至关重要。弱密码或容易猜到的密码会使您的系统容易受到攻击，如暴力破解攻击或密码破解。

要确保 Windows 10 系统上的所有用户帐户都有强大的密码，请遵循以下密码最佳实践：

1.复杂性：鼓励用户创建复杂且不易被猜到的密码。一个强大的密码应包括大小写字母、数字和特殊字符的组合。避免使用常用字或可预测的模式。

2.长度：较长的密码通常更安全。鼓励用户创建至少 8 个字符长的密码，但最好更长。密码中的字符越多，就越难破解。

3.** 唯一性**：每个用户账户都应有一个唯一的密码。多个账户使用相同的密码会增加安全漏洞的风险。鼓励用户为不同的账户使用不同的密码。

4.避免使用个人信息：建议用户不要在密码中使用姓名、生日或地址等个人信息。这些信息很容易被攻击者获取或猜测。

5.密码管理器：考虑使用密码管理器工具来安全地存储和管理密码。密码管理器可为每个账户生成强大、唯一的密码，并将其存储在加密数据库中。

6.定期更改密码：鼓励用户定期更改密码以维护安全。制定密码过期政策，教育用户定期更新密码的重要性。

通过实施强大的密码操作，可以大大提高 Windows 10 系统的安全性，降低未经授权访问或数据泄露的风险。定期对用户进行密码安全教育，并提供密码强度表或密码创建指南等资源，帮助他们创建强大的密码。

有关创建强密码和最佳实践的更多详细信息，请参阅以下内容 article 它提供了密码安全方面的全面指导，并提供了创建强大、易记密码的技巧。

请记住，使用强密码是系统安全的一个基本方面，应优先保护敏感数据并确保 Windows 10 环境的完整性。

5. Enable BitLocker Encryption

保护 Windows 10 系统中敏感数据的最有效方法之一就是启用 BitLocker 加密。BitLocker 提供全磁盘加密，即使设备丢失或被盗，也能确保数据安全，未经授权的个人无法访问。

要启用 BitLocker 加密并保护敏感信息，请按照以下步骤操作：

1.检查系统要求：确保您的 Windows 10 版本支持 BitLocker 加密。Windows 10 专业版、企业版和教育版均提供 BitLocker。

2.启用 BitLocker：打开控制面板并导航至 “系统和安全 “类别。单击 “BitLocker 驱动器加密 “并选择要加密的驱动器。按照屏幕上的说明开始加密过程。

3.选择加密选项：在 BitLocker 设置过程中，您可以选择不同的加密方法，如使用密码、智能卡或两者兼用。根据你的安全要求和偏好选择合适的方法。

4.备份恢复密钥：备份 BitLocker 恢复密钥至关重要。万一忘记密码或在访问加密硬盘时遇到任何问题，该密钥可作为故障安全保护。将恢复密钥存储在与设备分开的安全位置。

5.管理 BitLocker 设置：启用 BitLocker 后，您可以自定义其他设置，例如为特定驱动器自动解锁或配置使用 TPM（可信平台模块）以提高安全性。这些设置可通过 BitLocker 管理界面访问。

启用 BitLocker 加密后，您的 Windows 10 系统就多了一层保护，即使设备落入坏人之手，也能确保数据的安全和不可访问性。定期更新和维护 BitLocker 设置以跟上安全最佳实践的步伐非常重要。

有关启用和管理 BitLocker 加密的更多详细信息，请参阅官方的 Microsoft documentation 它提供有关 BitLocker 加密的全面指导，包括高级功能和配置选项。

请记住，启用 BitLocker 加密功能有助于保护您的敏感数据，即使在信息丢失或被盗的情况下也能确保信息安全，让您高枕无忧。

6.禁用不必要的服务和功能

要增强 Windows 10 系统的安全性，必须检查并禁用任何不必要的服务和功能。这样做可以减少攻击面，最大限度地降低被恶意行为者利用的可能性。

以下是在 Windows 10 系统上禁用不必要服务和功能的步骤：

1.识别不必要的服务：首先确定系统上运行的服务。按Windows键+R打开 “服务 “管理控制台，输入services.msc，然后点击Enter。查看服务列表并研究其用途，以确定哪些服务对系统功能至关重要。

2.禁用不必要的服务：确定不必要的服务后，右键单击每个服务并选择属性。在 “属性 “窗口中，将启动类型更改为已禁用。这样，当系统启动时，服务就不会自动启动。请谨慎操作，确保只禁用系统正常运行不需要的服务。

3.禁用不必要的功能：除服务外，Windows 10 还包含各种系统可能不需要的功能。打开控制面板，导航至程序或程序和功能，然后单击打开或关闭 Windows 功能。取消选中任何您不需要的功能。这一步骤有助于进一步减少攻击面，并最大限度地减少不必要功能所消耗的资源。

4.定期检查和更新：定期查看 Windows 10 系统上启用的服务和功能列表至关重要。随着时间的推移，系统的要求会发生变化，您可能需要重新评估所需的服务和功能。保持警惕并根据需要更新配置。

通过禁用不必要的服务和功能，可以限制攻击者的潜在切入点，减少 Windows 10 系统的整体攻击面。这种做法可改善系统的安全态势并降低被利用的风险。

有关管理 Windows 10 服务和功能的更多信息，请参阅以下内容 article 以获得详细指导。

请记住，禁用服务和功能时务必谨慎，因为禁用重要组件会对系统功能产生负面影响。在进行任何更改之前，请务必研究并了解服务或功能的用途。

7.执行防火墙规则

Windows 10 中的内置防火墙是防止未经授权的网络流量的重要防线。通过配置防火墙规则，您可以控制允许哪些入站和出站连接，从而增强系统的安全性。

请按照以下步骤在 Windows 10 系统上实施防火墙规则：

1.访问防火墙设置：要访问防火墙设置，请打开控制面板，搜索Windows Defender Firewall，然后点击相应的结果。或者，您也可以右键单击开始按钮，选择设置，然后导航至网络和 Internet > Windows 防火墙。

2.配置入站规则：入站规则控制进入系统的网络连接。单击 Windows Defender 防火墙窗口中的高级设置。在新窗口中，选择入站规则，然后单击新建规则。按照屏幕上的说明创建只允许必要入站连接的规则。考虑需要访问网络的服务和应用程序，并创建相应的规则。

3.3. 配置出站规则：出站规则控制从系统发出的网络连接。按照上述相同步骤操作，但要选择出站规则。创建规则以允许基本服务和应用程序的出站连接，同时阻止可疑或不必要的连接。

4.定期审查和更新：定期审查和更新防火墙规则以确保其符合系统要求非常重要。随着网络环境和使用模式的变化，您可能需要修改或创建新规则。保持警惕并更新规则，以维护有效的防火墙配置。

通过实施和维护防火墙规则，您可以大大降低未经授权的网络访问风险，并增强 Windows 10 系统的安全性。此外，还可以考虑在防火墙设置中启用隐身模式选项，以降低潜在攻击者对您系统的可见性。

有关在 Windows 10 中配置防火墙规则的更多详细信息，请参阅官方的 Microsoft documentation 分步说明。

请记住，配置完善的防火墙是全面安全策略的重要组成部分，但应与其他安全措施结合使用，为系统提供强大的保护。

8. Use AppLocker

AppLocker 是 Windows 10 中的一项强大功能，可让您控制哪些应用程序可以在系统上运行。通过实施 AppLocker 策略，您可以限制未经授权或潜在恶意应用程序的执行，从而增强 Windows 10 环境的安全性。

请按照以下步骤在 Windows 10 系统上使用 AppLocker：

1.访问 AppLocker 设置：要访问 AppLocker 设置，请按Windows 键 + R 打开本地组策略编辑器，输入gpedit.msc，然后单击确定。或者，也可以在开始菜单中搜索组策略编辑器。

2.配置 AppLocker 策略：在本地组策略编辑器中，导航到计算机配置 > Windows 设置 > 安全设置 > 应用程序控制策略 > AppLocker。在这里，您可以配置各种策略，如可执行规则、Windows 安装程序规则、Script 规则和打包应用程序规则。

3.创建 AppLocker 规则：要创建 AppLocker 规则，请右键单击所需的策略文件夹（如可执行规则），然后选择创建新规则。按照屏幕上的说明为规则指定条件和例外。您可以根据文件路径、发布者、文件哈希值或其他属性创建规则，以允许或拒绝应用程序的执行。

4.测试和完善策略：创建 AppLocker 规则后，必须对其进行测试，以确保其按预期运行。将策略部署到测试组或系统中，并验证是否只允许运行授权应用程序。根据测试结果对规则进行必要的改进。

5.定期审查和更新：随着应用程序的发展，定期审查和更新 AppLocker 策略至关重要。新的应用程序可能需要权限才能运行，而其他应用程序可能会过时或带来安全风险。保持积极主动，及时更新策略，以维护有效的应用程序控制机制。

AppLocker 可提供对应用程序执行的细粒度控制，帮助您防止未经授权或恶意软件在 Windows 10 系统上运行。通过使用 AppLocker，您可以降低恶意软件感染、未授权软件安装和其他安全事件的风险。

有关实施 AppLocker 策略的更多详细信息，请参阅官方的 Microsoft documentation or visit our AppLocker GitHub repository 获取更多资源和示例。

请记住定期检查和更新您的 AppLocker 策略，以适应不断变化的应用程序要求和新出现的安全威胁。AppLocker 是您抵御 Windows 10 系统上未经授权和潜在有害应用程序的重要工具。

9. Regularly Backup Your Data

定期备份数据是防止因安全事故、硬件故障或其他意外事件造成数据丢失的必要做法。通过创建定期备份并验证其完整性，您可以确保重要数据的安全，并在发生灾难时能够恢复。

请按照以下步骤在 Windows 10 系统上定期备份数据：

1.确定关键数据：首先确定需要备份的关键数据。这可能包括重要文件、个人文件、系统配置、应用程序设置以及您认为有价值的任何其他数据。

2.选择备份解决方案：选择符合您要求的可靠备份解决方案。Windows 10 提供文件历史记录和Windows 备份和还原等内置备份工具。或者，您也可以选择第三方备份软件，它们可提供更多的功能和灵活性。

3.确定备份频率：根据数据的关键性和更改频率确定执行备份的频率。有些数据可能需要每天备份，而有些数据则可以每周或每月备份。

4.选择备份存储：选择合适的存储介质来存储备份。这可以包括外置硬盘、网络连接存储（NAS）设备、云存储服务或多种存储选项的组合。确保存储介质安全可靠。

5.配置备份设置：根据您的偏好设置备份解决方案。指定要备份的数据、备份目标以及加密或压缩等任何其他设置。

6.执行测试还原：定期测试还原过程，从备份中执行测试还原。这样可以确保备份工作正常，并在需要时成功恢复数据。

7.监控和更新：定期监控备份过程，确保其按预期运行。随着数据和需求的变化，更新备份解决方案并调整备份设置。

通过遵循这些步骤并坚持定期备份，您可以将数据丢失的影响降至最低，并保持重要信息的可用性。切记安全存储备份，远离原始数据，并考虑实施3-2-1 备份规则，即至少有三份数据副本，存储在两个不同的存储介质上，其中一份存储在异地。

有关备份最佳实践和3-2-1 备份规则的更多详细信息，请参阅以下文章 What is the 3-2-1 Backup Rule and Why You Should Use It 它为实施有效的备份战略提供了宝贵的见解和建议。

请记住，定期备份对于保护数据和确保数据在意外事件发生时的可用性至关重要。将数据备份作为 Windows 10 加固工作不可分割的一部分，以保护您的宝贵信息。

Hardening Windows 11

Windows 11 是 Windows 操作系统的最新版本，具有增强的功能和更高的安全性。要加固 Windows 11 环境，请考虑以下最佳实践：

1.安全启动和 TPM

安全启动和 TPM（可信平台模块）是 Windows 11 中的基本安全功能，有助于防止未经授权的访问并确保操作系统的完整性。通过启用安全启动和 TPM，可以增强 Windows 11 系统的安全性。

请按照以下步骤在 Windows 11 设备上启用安全启动和 TPM：

1.检查兼容性：在启用安全启动和 TPM 之前，请确保您的设备支持这些功能。验证系统的硬件和固件是否满足安全启动和 TPM 功能的要求。

2.访问 UEFI/BIOS 设置：重新启动 Windows 11 设备并访问 UEFI（统一可扩展固件接口）或 BIOS（基本输入/输出系统）设置。访问这些设置的特定按键或按键组合可能因设备而异。常用键包括 Del、F2、F10 或 Esc。详细说明请参阅设备文档或制造商网站。

3.启用安全启动：进入 UEFI/BIOS 设置后，导航至安全启动设置。启用安全启动可确保在启动过程中只允许运行受信任的操作系统和组件。这样可以防止加载未经授权或恶意的软件，以免危及系统安全。

4.启用 TPM：在 UEFI/BIOS 中找到 TPM 设置并启用 TPM。TPM 是设备主板上的专用微芯片，可提供基于硬件的安全功能。启用 TPM 允许 Windows 11 利用其功能增强系统安全性。

5.配置 TPM 安全性：启用 TPM 后，您可能还有其他选项来配置其安全设置。根据设备和固件的不同，您可以设置 TPM 密码、启用 TPM 固件更新或调整其他相关设置。请查看可用选项，并根据您的安全要求进行配置。

6.保存并退出：启用安全启动和 TPM 并进行必要配置后，保存 UEFI/BIOS 设置中的更改并退出。系统将重新启动，新设置将生效。

在 Windows 11 中启用安全启动和 TPM 有助于保护设备免受未经授权的修改、rootkit 和其他安全威胁。这些功能为操作系统建立了信任基础，有助于打造更安全的计算环境。

请注意，启用安全启动和 TPM 的可用性和具体步骤可能因设备制造商和固件版本而异。建议查阅设备文档或制造商网站，以获取适合您系统的准确说明。

通过在 Windows 11 设备上启用安全启动和 TPM，您可以提高整体安全态势并加强对操作系统和敏感数据的保护。

2. Enable Microsoft Defender Antivirus

Windows 11 配备了名为Microsoft Defender Antivirus的内置防病毒保护。它可提供全面的安全保护，抵御各种类型的恶意软件，包括病毒、勒索软件和间谍软件。通过启用和定期更新Microsoft Defender Antivirus，您可以确保在 Windows 11 系统上实时检测和预防**威胁。

请按照以下步骤在 Windows 11 设备上启用和更新 Microsoft Defender Antivirus：

1.检查杀毒软件状态：首先，检查系统中 Microsoft Defender Antivirus 的状态。点击 “开始 “菜单，搜索 “Windows 安全 “并从搜索结果中选择该应用程序，从而打开Windows 安全应用程序。打开应用程序后，导航到“病毒和威胁保护 “部分，以验证 Microsoft Defender Antivirus 的状态。在新安装的 Windows 11 中，默认情况下应已启用。

2.启用实时保护：在 Windows 安全应用程序中，确保为 Microsoft Defender Antivirus 启用实时保护。实时保护可持续监控系统中的恶意软件和其他恶意活动，提供即时响应并实时阻止威胁。如果未启用实时保护，请单击切换开关启用。

3.更新定义：定期更新病毒定义对于确保 Microsoft Defender Antivirus 能够检测和防范最新威胁至关重要。在 Windows 安全应用程序中，导航到 “病毒和威胁防护 “ 部分，然后单击 “检查更新 “ 按钮更新杀毒软件定义。此过程可确保您的系统配备最新的签名和检测能力。

4.安排扫描：Microsoft Defender Antivirus 允许您定期安排系统扫描，以主动检测和删除任何潜在威胁。在 Windows 安全应用程序中，转到**“病毒和威胁防护 “部分，然后单击“快速扫描 “或“全面扫描 “选项启动扫描。您还可以点击“扫描选项 “**链接，根据自己的偏好自定义扫描设置并安排定期扫描。

5.配置其他设置：Microsoft Defender Antivirus 提供其他设置和功能，您可以根据自己的安全需求进行配置。在 “Windows 安全 “应用程序中，探索**“应用程序和浏览器控制”、“设备安全 “和“防火墙和网络保护 “等不同部分，自定义杀毒设置并利用高级保护功能。

在 Windows 11 中启用并定期更新 Microsoft Defender Antivirus 对于保持对恶意软件和其他安全威胁的强大防御至关重要。按照这些步骤操作并保持 Microsoft Defender Antivirus 处于最新状态，可以确保 Windows 11 系统受到良好保护。

请注意，虽然 Microsoft Defender Antivirus 提供了强大的保护，但建议您始终养成安全的浏览习惯，在下载文件或打开电子邮件附件时保持谨慎，并保持操作系统和应用程序更新，以进一步增强您的整体安全状况。

3.应用默认的基于硬件的隔离

Windows 11 利用基于硬件的隔离功能（如基于虚拟化的安全（VBS）和受超级管理程序保护的代码完整性（HVCI））来提供增强的安全性并保护关键系统组件。

通过启用和应用这些默认的基于硬件的隔离功能，您可以建立强大的安全边界，减少各种攻击载体。以下是确保正确配置的一些关键步骤：

1.启用虚拟化技术：首先，你需要验证系统是否支持虚拟化技术，并确保在系统的BIOS或UEFI固件设置中启用了虚拟化技术。访问和启用虚拟化技术的步骤可能因主板或固件制造商而异。有关具体说明，请查阅系统文档或制造商网站。

2.启用基于虚拟化的安全（VBS）：Windows 11 集成了 VBS，它使用硬件虚拟化功能创建称为虚拟安全模式 (VSM) 的隔离容器。VSM 可为关键系统组件提供安全的执行环境，保护它们免受潜在攻击。要启用 VBS，请按照以下步骤操作：

  • 按 Windows 键 + R 打开 “运行 “对话框。
  • 键入 “gpedit.msc“并按Enter打开本地组策略编辑器。
  • 导航至 ** 计算机配置 -> 管理模板 -> 系统 -> 设备防护**。
  • 双击**“打开基于虚拟化的安全 “**策略。
  • 选择**“已启用 “，然后单击确定**以应用更改。

启用 VBS 可能需要兼容的硬件和某些系统要求。有关详细信息，请参阅微软官方文档。

3.启用受管理程序保护的代码完整性（HVCI）：HVCI 是一项使用管理程序执行代码完整性策略的功能，可防止未经授权的代码执行并增强整体安全态势。要启用 HVCI，请按照以下步骤操作：

  • 按 Windows 键 + R 打开 “运行 “对话框。
  • 键入 “msconfig“并按Enter打开系统配置实用程序。
  • 导航至**“启动 “**选项卡。
  • 单击**“高级选项 “**。
  • 选中**“启用受管理程序保护的代码完整性 “**选项。
  • 单击**“确定 “**保存更改并重新启动系统。

启用 HVCI 需要兼容的硬件和特定的系统要求。有关详细信息，请参阅微软官方文档。

通过应用默认的基于硬件的隔离功能（如 VBS 和 HVCI），您可以显著增强 Windows 11 系统的安全状况。这些功能有助于保护关键系统组件免受各种攻击，包括试图修改或利用系统代码和配置的攻击。

确保使用最新的安全补丁和固件更新定期更新系统，以便受益于这些基于硬件的隔离功能提供的最新安全增强和缓解措施。

请注意，基于硬件的隔离功能的可用性和要求可能因系统配置和 Windows 11 版本而异。建议查阅微软官方文档并执行兼容性检查，以确保正确实施这些安全功能。

4. Use Windows Sandbox

Windows 沙盒是一种宝贵的工具，可让您在隔离的环境中运行不受信任的应用程序或测试软件，为您的系统提供额外的安全保护。通过使用 Windows 沙盒，您可以降低与运行不受信任程序相关的潜在风险。

Windows Sandbox 可创建一个与主操作系统完全分离的轻量级临时桌面环境。关闭沙箱后，在沙箱中进行的任何更改都会被丢弃，从而确保您的主系统不受影响。

要使用 Windows 沙盒，请按照以下步骤操作：

1.检查系统要求：在继续之前，请确保您的系统符合运行 Windows 沙盒的要求。一般来说，您需要 Windows 10 Pro 或企业版，以及在 BIOS/UEFI 固件中启用了虚拟化功能的处理器。请查阅官方 Microsoft documentation 了解具体的系统要求。

2.启用 Windows 沙盒：Windows 沙盒是 Windows 10 专业版和企业版的内置功能。要启用 Windows 沙盒，请按照以下步骤操作：

  • 按Windows键+R打开 “运行 “对话框。
  • 键入 “appwiz.cpl“并按Enter打开 “程序和功能 “窗口。
  • 点击左侧的**“打开或关闭 Windows 功能 “**。
  • 向下滚动并在功能列表中找到 “Windows沙盒 “。
  • 选中**“Windows 沙盒 “旁边的方框，然后单击确定**将其启用。
  • Windows 将安装必要的组件，您可能需要重新启动系统才能使更改生效。

3.启动 Windows 沙盒：启用 Windows 沙盒后，您可以按照以下步骤启动它：

  • 打开开始菜单，搜索**“Windows 沙盒 “**。
  • 单击**“Windows 沙盒 “**应用程序以打开它。
  • 沙箱将在一个单独的窗口中启动，为您提供一个安全的环境来运行不受信任的应用程序或测试软件。

在 Windows 沙盒中运行应用程序时，请记住沙盒环境是隔离的，其设计目的是丢弃在沙盒中所做的任何更改。因此，如果需要保留文件或数据，务必将其保存在沙盒之外。

Windows 沙盒是测试未知软件、打开可疑文件或浏览潜在风险网站的有效工具。它能确保任何恶意活动或不必要的更改都被限制在沙盒中，而不会影响主操作系统，从而增加了一层额外的保护。

通过将 Windows 沙盒纳入安全实践，可以大大降低与运行不受信任的应用程序相关的风险，保护系统免受潜在威胁。

有关 Windows 沙盒及其使用的更多信息，请参阅官方的 Microsoft documentation

5. Implement Microsoft Defender Application Guard

Microsoft Defender Application Guard 是一项强大的安全功能，可将 Microsoft Edge 浏览器会话与底层操作系统隔离。通过在安全、隔离的环境中运行 Edge，Application Guard 可帮助保护系统免受基于浏览器的攻击和恶意网站的侵害。

要实施 Microsoft Defender Application Guard 并增强浏览器的安全性，请按照以下步骤操作：

1.检查兼容性：在继续之前，请确保您的系统符合运行 Microsoft Defender 应用程序防护的要求。通常，您需要 Windows 10 Pro 或企业版、具有虚拟化功能的兼容处理器以及至少 8 GB 的内存。请参阅官方 Microsoft documentation 了解具体的系统要求。

2.启用应用程序防护程序：应用程序防护在 Windows 10 中作为可选功能提供。要启用 Microsoft Defender 应用程序防护，请按照以下步骤操作：

  • 按 Windows 键 + R 打开 “运行 “对话框。
  • 键入 “appwiz.cpl“并按Enter打开 “程序和功能 “窗口。
  • 点击左侧的**“打开或关闭 Windows 功能 “**。
  • 向下滚动并在功能列表中找到**“Microsoft Defender Application Guard “**。
  • 选中**“Microsoft Defender Application Guard “旁边的复选框，然后单击确定**将其启用。
  • Windows 将安装必要的组件，您可能需要重新启动系统才能使更改生效。

3.配置应用程序防护程序：启用应用程序防护后，您可以配置其设置以满足您的安全需求。Application Guard 允许您定义隔离级别，并控制如何处理不信任的网站和文件。您可以通过 Windows Security 应用程序或组策略设置来调整这些设置。

4.测试和验证：启用和配置 Microsoft Defender 应用程序防护后，测试和验证其功能至关重要。打开 Microsoft Edge 并访问已知的恶意网站或具有潜在风险的网站，以检查 Application Guard 是否成功隔离浏览器会话并防止任何潜在攻击。

通过实施 Microsoft Defender 应用程序防护，您可以隔离浏览器会话并将任何潜在威胁控制在安全环境中，从而为系统添加额外的保护层。这有助于保护您的系统和数据免受基于浏览器的攻击，如偷渡式下载、恶意脚本和零日漏洞。

有关配置和使用 Microsoft Defender Application Guard 的更多详细信息，请参阅官方的 Microsoft documentation

6. Controlled Folder Access

受控文件夹访问 “是 Windows 11 中的一项强大安全功能，可帮助保护重要文件夹免遭勒索软件和其他恶意软件未经授权的更改。启用 “受控文件夹访问 “并将必要的文件夹添加到受保护列表后，您就可以增强系统的安全性并防止潜在的数据丢失。

要实施受控文件夹访问并保护重要文件夹，请按照以下步骤操作：

1.打开 Windows 安全：按键盘上的Windows 键，输入 “Windows 安全"，然后从搜索结果中选择Windows 安全应用程序。

2.2.导航至病毒和威胁防护设置：在 Windows 安全应用程序中，单击左侧菜单中的**“病毒和威胁防护 “**选项卡。

3.3.配置受控文件夹访问：在**“勒索软件防护 “部分，单击“管理勒索软件防护 “**以访问受控文件夹访问设置。

4.4. 启用受控文件夹访问：在 “受控文件夹访问 “设置中，将开关切换到**“开 “**以启用该功能。Windows 将显示 “仅允许受信任的应用程序访问受保护文件夹 “的警告。

5.添加受保护文件夹：要指定哪些文件夹应受保护，请单击**“受保护文件夹 “，然后选择“添加受保护文件夹 “**。选择要保护的文件夹，然后点击 “确定 “。

  • 建议添加重要文件夹，如文档、图片、视频和其他包含重要数据的目录。

6.允许或阻止应用程序：默认情况下，“受控文件夹访问 “允许受信任的应用程序访问受保护的文件夹。但是，您可以通过点击**“通过受控文件夹访问允许应用程序 “**来自定义此行为。在这里，您可以允许或阻止特定应用程序访问受保护文件夹。

7.监控和审查：启用 “受控文件夹访问 “后，Windows 将持续监控和记录未经授权的应用程序访问受保护文件夹的任何尝试。您可以单击 “受控文件夹访问 “设置中**“最近阻止的应用程序 “部分下的“查看 “**来查看这些日志。

通过实施 “受控文件夹访问”，您可以为重要文件夹添加额外的保护层，降低未经授权的更改和勒索软件攻击造成潜在数据丢失的风险。定期检查 “受控文件夹访问 “设置，确保受保护文件夹符合您的安全要求。

有关配置和使用受控文件夹访问权限的更多详细信息，请参阅官方的 Microsoft documentation

7.启用 Windows 自动维护

Windows 11 包含一项名为 “自动维护 “的便捷功能，可通过执行定期维护任务来帮助保持系统优化和保护。启用 “自动维护 “功能可确保您的系统运行顺畅并保持安全。

要启用 Windows 自动维护功能，请按照以下步骤操作：

1.打开 Windows 设置：按键盘上的Windows 键，输入 “设置"，然后从搜索结果中选择设置应用程序。

2.2.访问维护设置：在 “设置 “应用程序中，单击**“系统 “类别，然后从左侧菜单中选择“关于 “。向下滚动到页面底部，点击“系统信息 “**链接。

3.打开维护设置：在 “系统信息 “窗口中，点击页面底部的**“维护 “**链接。

4.启用自动维护：在维护设置中，将**“自动维护 “旁边的开关切换到“打开 “**位置。

5.配置维护设置：默认情况下，Windows 将自动安排维护任务在每天凌晨 2:00 运行。如果您偏好不同的计划，请单击**“更改维护设置 “**并自定义所需的选项，如维护开始时间和维护任务的频率。

6.查看其他设置：在 “自动维护 “切换开关下方，您可以找到与维护相关的其他设置，如**“允许计划维护在计划时间唤醒我的电脑 “和“允许计划维护在我使用电池电量时运行 “**。请根据自己的喜好和要求调整这些设置。

7.监控维护活动：启用自动维护后，Windows 将在预定时间自动在后台执行维护任务。您可以通过检查**“Windows 安全 “** 应用程序中的**“维护 “部分或查看事件查看器中的“维护 “**日志来监控这些活动。

启用 Windows 自动维护功能可通过定期执行软件更新、磁盘优化和安全扫描等基本维护任务，确保系统保持优化和受保护状态。通过保持系统健康，您可以享受更流畅、更安全的计算体验。

有关 Windows 自动维护及其配置选项的更多详细信息，请参阅官方的 Microsoft documentation

结论

实施这些Windows加固最佳实践对于确保Windows系统的安全至关重要。定期更新操作系统，可以修补安全漏洞，提高系统稳定性。启用防病毒和加密等安全功能可为您的数据增加一层保护。配置适当的访问控制有助于防止未经授权的更改并限制对敏感资源的访问。

通过遵守这些最佳实践，您可以增强Windows环境的安全性，保护您的数据，并维护数字基础架构的完整性。重要的是要保持积极，定期审查和更新您的安全措施，以便在潜在威胁面前保持领先。

请记住，Windows加固是一个持续的过程，必须随时了解最新的安全更新和做法。通过积极主动地实施这些最佳实践，您可以有效地降低安全风险，确保 Windows 系统的安全。

有关 Windows 加固和最佳实践的更多信息，请参阅微软文档、安全论坛和可信的网络安全网站等可靠来源。

参考资料：