终端加固清单：Windows办公机的安全基线
终端加固是安全体系的地基:账号、补丁、防病毒都裸奔的电脑,上任何高大上的安全产品都白搭。以下清单可直接对照执行。
十项基线
- 1. 管理员与日常账号分离,禁用默认管理员;
- 2. 强制密码策略+多因素认证(核心系统必选);
- 3. 系统与软件补丁自动更新(月度审计覆盖率);
- 4. 内置防火墙开启,关闭非必要端口与服务;
- 5. 磁盘加密(系统盘必开);
- 6. 屏幕自动锁定(≤5分钟);
- 7. 杀毒实时防护+定期全盘扫描;
- 8. USB等可移动介质默认禁用或白名单;
- 9. 浏览器安全设置(插件最小化、默认安全搜索);
- 10. 终端入网前安全检查(设备合规才准入)。
推行节奏
一次上十项必然反弹。先上"无感的"(补丁、加密、锁定),再上"有影响的"(介质管控、白名单),每批试点再推广。加固不是折腾员工,是把底线立起来。
基线检查的"自动化"三件套
人工逐台检查终端基线不现实，建议用工具做自动化：①资产盘点（自动发现终端与软件清单）；②基线扫描（对照清单自动检查补丁、加密、防火墙状态）；③违规告警（不达标终端自动提醒并限制高风险访问）。三件套落地后，基线从"抽查"变成"全覆盖"。
自动化不是可选项——终端数量一多，人工根本维护不过来。
加固与"可用性"的平衡
加固策略最大的风险是"把员工锁死在门外"：过严的密码策略导致员工贴纸条，过严的软件管控导致绕过。建议：对高价值终端（高管、财务、研发）从严，对普通终端保底；每项策略上线前先问"会不会逼员工走捷径"，会就重新设计。
加固的终极目标是"员工不觉得麻烦，坏人觉得麻烦"——这个平衡点，才是好基线。
终端加固的推行节奏
- 先上无感项：补丁、磁盘加密、自动锁屏；
- 再上有感项：介质管控、软件名单，分批试点；
- 用自动化扫描保证基线全覆盖。
终端加固的月度动作
每月：跑一次基线扫描并处理不达标终端；核对补丁覆盖率；抽查高危岗位终端的介质管控状态。月度动作让终端基线保持"在线"，而不是"上线即失效"。
终端是攻击者的第一站，也是防线的最前线——基线的日常维护比一次大整改更有价值。
终端加固的"比例原则"：管控强度与岗位风险匹配，不做一刀切。高价值岗位从严，普通岗位保底——比例对了，加固才不会制造新的麻烦。
终端加固按"无感项先行、有感项分批"推进，基线才能既安全又不惹人烦。
常见问题
先从哪几项开始加固收益最大？
管理员账号分离、自动补丁、磁盘加密、屏幕自动锁定与默认闸断可移动介质,五件事覆盖大多数风险。
加固后员工使用受影响吗？
基线以“可自动执行、少打扰”为原则,影响使用的新策略应分批试点后推行。
如果您想进一步了解 iMonitor EAM 电脑行为监管系统的具体功能、版本与部署方式，可查看产品介绍，或前往下载试用。