等保测评命令——Windows Server

依据 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》第三级"安全计算环境" 条款，给出 Windows Server 2012 R2/2016/2019/2022 的现场测评速查命令与快捷操作清单。

可直接在 CMD、PowerShell、图形界面（MMC 控制台） 中执行，覆盖身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据备份恢复、剩余信息保护 8 大控制点。

已在 Windows Server 2012 R2/2016/2019/2022 Datacenter & Standard 版 验证，符合 GB/T 22239-2019 第三级要求。

一、身份鉴别（8.1.4.1）

二、访问控制（8.1.4.2）

三、安全审计（8.1.4.3）

四、入侵防范（8.1.4.4）

五、恶意代码防范（8.1.4.5）

Windows Server 2016 以下默认无 Defender，需安装或改用第三方杀毒并截图其控制台。

六、可信验证（8.1.4.6）

七、数据备份与恢复（8.1.4.9）

八、剩余信息保护（8.1.4.10）

一键巡检脚本（PowerShell）

# Windows Server 等保三级一键巡检脚本
# 适用：Windows Server 2012 R2/2016/2019/2022
# 执行权限：管理员

Write-Host"===== 1 身份鉴别 ====="-ForegroundColor Green

# 密码策略
Write-Host"--- 密码策略 ---"
net accounts

# 账户锁定策略
Write-Host"--- 账户锁定策略 ---"
net accounts | findstr "锁定"

# 禁止空口令检查
Write-Host"--- 空口令检查 ---"
Get-WmiObject-Class Win32_UserAccount -Filter"PasswordRequired=False and LocalAccount=True"|
Select-Object Name, PasswordRequired

Write-Host""
Write-Host"===== 2 访问控制 ====="-ForegroundColor Green

# 本地用户
Write-Host"--- 本地用户 ---"
net user

# 管理员组
Write-Host"--- 管理员组 ---"
net localgroup administrators

# 共享
Write-Host"--- 共享资源 ---"
net share

# 监听端口
Write-Host"--- 监听端口 ---"
netstat -ano | findstr "LISTENING"

# 防火墙状态
Write-Host"--- 防火墙状态 ---"
netsh advfirewall show allprofiles state

Write-Host""
Write-Host"===== 3 安全审计 ====="-ForegroundColor Green

# 审计策略
Write-Host"--- 审计策略 ---"
auditpol /get /category:*| findstr /i "成功|失败"

# 安全日志大小
Write-Host"--- 安全日志配置 ---"
wevtutil gl security | findstr /i "日志大小|保留"

# 日志权限
Write-Host"--- 日志文件权限 ---"
icacls "$env:SystemRoot\System32\winevt\Logs\Security.evtx"

Write-Host""
Write-Host"===== 4 入侵防范 ====="-ForegroundColor Green

# 系统版本
Write-Host"--- 系统版本 ---"
systeminfo | findstr /B /C:"OS 名称"/C:"OS 版本"

# 已安装补丁
Write-Host"--- 最近补丁 ---"
Get-HotFix|Sort-Object InstalledOn -Descending |Select-Object-First 5

# 运行服务
Write-Host"--- 高危服务状态 ---"
$dangerousServices = @("Telnet","RemoteRegistry","Spooler","Fax")
foreach($svc in $dangerousServices){
$status = Get-Service-Name $svc-ErrorAction SilentlyContinue
if($status){
Write-Host"$svc : $($status.Status)"
}
}

Write-Host""
Write-Host"===== 5 恶意代码防范 ====="-ForegroundColor Green

# Defender状态
Write-Host"--- Windows Defender 状态 ---"
try{
$defender = Get-MpComputerStatus
Write-Host"实时保护: $($defender.RealTimeProtectionEnabled)"
Write-Host"防病毒启用: $($defender.AntivirusEnabled)"
Write-Host"病毒库更新时间: $($defender.AntivirusSignatureLastUpdated)"
}catch{
Write-Host"Windows Defender 未安装或无法访问"
}

Write-Host""
Write-Host"===== 6 可信验证 ====="-ForegroundColor Green

# TPM状态
Write-Host"--- TPM 状态 ---"
Get-Tpm|Select-Object TpmPresent,TpmReady,TpmEnabled

# Secure Boot
Write-Host"--- Secure Boot ---"
try{
Confirm-SecureBootUEFI
}catch{
Write-Host"无法检测 Secure Boot 状态"
}

# BitLocker
Write-Host"--- BitLocker 状态 ---"
manage-bde -status C:

Write-Host""
Write-Host"===== 7 数据备份 ====="-ForegroundColor Green

# 备份版本
Write-Host"--- 备份版本 ---"
wbadmin get versions

Write-Host""
Write-Host"===== 8 剩余信息保护 ====="-ForegroundColor Green

# 安全选项
Write-Host"--- 关键安全选项 ---"
secedit /export /cfg $env:TEMP\secpol.cfg /quiet
Get-Content$env:TEMP\secpol.cfg | findstr /i "DontDisplayLastUserName|ClearPageFileAtShutdown"
Remove-Item$env:TEMP\secpol.cfg -Force

Write-Host""
Write-Host"===== 巡检完成 ====="-ForegroundColor Green

核心 MMC 控制台速查表

高风险项重点核查清单

版本差异说明（2012 R2 vs 2016 vs 2019 vs 2022）

测评执行要点

1. 权限要求

• 所有命令需 管理员权限 执行

• 建议创建专用审计账户，加入 Event Log Readers 和 Performance Monitor Users 组

2. 现场核查重点

• 密码策略：不仅看配置，需尝试创建弱口令用户验证策略是否生效

• 审计完整性：抽查事件查看器，确认包含登录失败（事件ID 4625）、权限变更（事件ID 4670）等

• 补丁管理：Get-HotFix 输出需与微软安全公告核对，确认无Critical漏洞

• 备份有效性：必须现场执行 wbadmin start recovery 到测试环境验证

3. 图形化 vs 命令行

4. 与Linux对比

常用命令速查

:: 用户与组
net user                    :: 查看所有用户
net user administrator      :: 查看管理员详细信息
net localgroup administrators :: 查看管理员组成员

:: 网络
netstat -ano | findstr 3389  :: 查看远程桌面端口
netsh firewall show state    :: 查看防火墙状态（旧版）
netsh advfirewall show allprofiles :: 查看防火墙状态（新版）

:: 系统
systeminfo | findstr /B /C:"OS" :: 系统信息
wmic qfe get HotFixID,InstalledOn /format:table :: 补丁列表

:: 安全
auditpol /get /category:*    :: 查看审计策略
wevtutil epl Security C:\backup\security.evtx :: 导出安全日志

:: 服务
sc query type=service state=running :: 查看运行服务
sc config Spooler start= disabled   :: 禁用打印服务

参考标准：GB/T 22239-2019、GB/T 28448-2019、Microsoft Security Baseline
适用版本：Windows Server 2012 R2 / 2016 / 2019 / 2022
验证环境：Datacenter / Standard / Core 版