最近一個項目需要使用Windows服務器，選擇安裝了最新版的Windows 2016，上一次使用Windows服務器還是Windows 2003系統，發現變化還是挺多的，依次記錄下來以備後面查閱。
系統更新配置
更換Windows更新服務器
如果你覺得默認的Windows更新服務器比較慢，或者如果選擇了阿里雲或騰訊雲服務器的話，可以更換Windows服務器。
右鍵開始菜單圖標，選擇「運行」，然後輸入 gpedit.msc，依次選擇 「計算機配置」 - 「管理模板」 - 「Windows 組件」 - 「Windows 更新」，雙擊「指定 Intranet Microsoft 更新服務位置」：
選中 已啟用，然後設置檢測更新的Intranet更新服務和統計服務器，如果是阿里雲經典網絡可以設置成 http://windowsupdate.aliyun-inc.com，阿里雲VPC網絡可以設置成 http://update.cloud.aliyuncs.com，騰訊雲可以設置成 http://windowsupdate.tencentyun.com，備用下載服務器設置成 http://wsus.neu.edu.cn。
啟用並允許自動更新
雙擊「允許自動更新立即安裝」，選擇「已啟用」啟用自動更新。然後雙擊「配置自動更新」，選中「已啟用」並配置成「自動下載並通知安裝」，如下圖：
設置完上述兩步之後，需要以管理員角色執行下面的命令：
gpupdate /force
解決執行自動更新時出現的 0x8024401f 和 0x8024401c 錯誤
完成上述操作之後，選擇開始菜單-設置，執行檢查更新，檢查一下是否正常。
如果出現 0x8024401f 或 0x8024401c 錯誤的話，以管理員身份執行下面的命令：
net stop wuauserv
reg delete HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate
net start wuauserv
系統賬號安全
設置賬號安全策略
在「運行」中執行 secpol.msc命令，打開「本地安全策略」，進行如下設置：
（1）「賬戶設置」-「密碼策略」
設置合適的密碼複雜度，增強密碼的強度。參考設置如下：
（2）「賬戶設置」-「賬戶鎖定策略」
設置賬號密碼出錯之後的鎖定時間，需要先設置「賬戶鎖定閥值」才能設置其他兩項，參考設置如下：
（3）「本地策略」-「安全選項」
將「交互式登錄: 不顯示最後的用戶名」設置為「啟用」狀態。
檢查並優化賬號
將賬戶安全設置完成之後，再對系統的賬號進行優化。在「運行」中執行 compmgmt.msc命令，打開「計算機管理」，然後在「系統工具」-「本地用戶和組」-「用戶」中查看是否有不用的賬戶，將不用的賬戶刪除或停用。除此之外，還要在命令行中使用 net user 命令查看一遍有沒有多餘的賬號（有的賬號會在計算機管理中隱藏），可以使用 net user <username> /del 命令刪除對應的賬號。
將默認的管理員用戶名 Administrator 進行重命名，並且建議重新設置新的管理員密碼。
禁止系統自動登錄
系統休眠重新激活之後，需要密碼才能登錄系統。在「運行」中輸入 control userpasswords2
，打開「用戶賬戶」，然後啟用「要是用本機，用戶必須輸入用戶名和密碼」的選項。
遠程訪問安全
更改遠程終端默認3389端口
將默認的遠程終端端口3389修改成其他的端口。運行 regedit打開註冊表程序，需要修改註冊表的兩個地方：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\Wds\repwd\Tds\tcp
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp
將上述兩個地方右側 PortNumber的值修改成新的端口號（建議將基數設置為十進制）：
設置完成之後關閉註冊表，然後重啟服務器之後即可生效。如果設置防火牆的話，注意新端口加入防火牆的白名單中。
將遠程關機、本地關機和用戶權限分配只授權給Administrtors組
在「運行」中執行 secpol.msc
，打開「本地安全策略」窗口，依次打開「本地策略」-「用戶權限分配」。
（1）雙擊右側的「從遠程系統強制關機」，只保留「Administrators組」並將其他用戶組刪除；
（2）雙擊右側的「關閉系統」，只保留「Administrators組」並將其他用戶組刪除；
（3）雙擊右側的「取得文件或其它對象的所有權」，只保留「Administrators組」並將其他用戶組刪除；
將遠程登錄賬戶設置為具體的管理員賬號
指定特定的管理員賬號而不是Administrtors組，將增強登錄系統的安全性，就算通過漏洞創建了Administrtors組的賬號，也無法登錄系統。
在「運行」中執行 secpol.msc，打開「本地安全策略」窗口，依次打開「本地策略」-「用戶權限分配」。雙擊右側的「從網絡訪問此計算機」，將所有的用戶組刪除，然後點擊下面的「添加用戶或組...」按鈕，點擊「高級」按鈕，然後點擊「立即查詢」按鈕，從查詢的結果中選擇管理員的賬號，然後依次確定保存；
系統網絡安全
關閉不需要的服務
在「運行」中執行 services.msc 命令，打開「服務」，根據情況建議將以下服務改為禁用：
Application Layer Gateway Service（為應用程序級協議插件提供支持並啟用網絡/協議連接）
Background Intelligent Transfer Service（利用空閒的網絡帶寬在後台傳輸文件。如果服務被停用，例如Windows Update 和 MSN Explorer的功能將無法自動下載程序和其他信息）
Computer Browser（維護網絡上計算機的更新列表，並將列表提供給計算機指定瀏覽）
DHCP Client
Diagnostic Policy Service
Distributed Link Tracking Client
Distributed Transaction Coordinator
DNS Client
Print Spooler（管理所有本地和網絡打印隊列及控制所有打印工作）
Remote Registry（使遠程用戶能修改此計算機上的註冊表設置）
Server（不使用文件共享可以關閉，關閉後再右鍵點某個磁盤選屬性，「共享」這個頁面就不存在了）
Shell Hardware Detection
TCP/IP NetBIOS Helper（提供 TCP/IP (NetBT) 服務上的NetBIOS 和網絡上客戶端的NetBIOS 名稱解析的支持，從而使用戶能夠共享文件、打印和登錄到網絡）
Task Scheduler（使用戶能在此計算機上配置和計劃自動任務）
Windows Remote Management(47001端口，Windows遠程管理服務，用於配合IIS管理硬件，一般用不到)
Workstation（創建和維護到遠程服務的客戶端網絡連接。如果服務停止，這些連接將不可用）
關閉「同步主機_xxx」服務
Windows 2016中有一個「同步主機_xxx」的服務，後面的xxx是一個數字，每個服務器不同。需要手動關閉，操作如下：
首先在「運行」中執行 regedit打開註冊表，然後在
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services 下面找到 OneSyncSvc、 OneSyncSvc_xxx、 UserDataSvc和 UserDataSvc_xxx四個項，依次將其中的 start 值修改為4，退出註冊表然後重啟服務器即可。
關閉IPC共享
如果在上面停止並禁用 Server服務的話就不會出現IPC共享了，執行 net share 命令之後會提示「沒有啟動Server服務」，否則會類似C$、D$等默認共享，可以使用 net share C$ /del 命令進行刪除。
在註冊表中找到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters，在右側空白處右鍵，依次選擇「新建」-「DWORD項」,名稱設置為 AutoShareServer，鍵值設置為0。
關閉139端口（Netbios服務）、445端口、5355端口（LLMNR）
（1）關閉139端口
依次打開「控制面板」-「查看網絡狀態和任務」，然後點擊左側的「更改適配器設置」，在網絡連接中雙擊激活的網卡，點擊「屬性」按鈕，雙擊「Internet 協議版本 4（TCP/IPv4）」，在打開的窗口中點擊右下角的「高級」按鈕，然後選擇上面的「WINS」標籤，在「NetBIOS設置」中選擇「禁用 TCP/IP上的NetBIOS」，最後依次「確定」。
關閉此功能，你服務器上所有共享服務功能都將關閉，別人在資源管理器中將看不到你的共享資源。這樣也防止了信息的洩露。
（2）關閉445端口
445端口是netbios用來在局域網內解析機器名的服務端口，一般服務器不需要對LAN開放什麼共享，所以可以關閉。打開註冊表，在 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters位置，在右側右鍵並依次選擇「新建」-「Dword值」，名稱設置為 SMBDeviceEnabled，值設置為0。
（3）關閉5355端口（LLMNR）
LLMNR本地鏈路多播名稱解析，也叫多播DNS，用於解析本地網段上的名稱，可以通過組策略關閉將其關閉。打開「運行」，輸入 gpedit.msc打開「本地組策略編輯器」，依次選擇「計算機配置」-「管理模板」-「網絡」-「DNS客戶端」，在右側雙擊「關閉多播名稱解析」項，然後設置為「已禁用」。
網絡訪問限制
在「運行」中執行 secpol.msc 打開「本地安全策略」，打開「安全設置」-「本地策略」-「安全選項」，設置下面的策略：
網絡訪問: 不允許 SAM 帳戶的匿名枚舉：已啟用
網絡訪問: 不允許 SAM 帳戶和共享的匿名枚舉：已啟用
網絡訪問: 將 Everyone 權限應用於匿名用戶：已禁用
帳戶: 使用空白密碼的本地帳戶只允許進行控制台登錄：已啟用
設置完成之後，在命令行（管理員身份）中執行 gpupdate /force 使其立即生效。
日誌審計
增強日誌記錄
增大日誌量大小，避免由於日誌文件容量過小導致日誌記錄不全。在「運行」中執行 eventvwr.msc命令，打開「事件查看器」窗口，打開「Windows 日誌」文件，分別右鍵下面的「應用程序」、「安全」和「系統」項，選擇「屬性」，修改「日誌最大大小」為 20480。
增強審核
對系統事件進行記錄，在日後出現故障時用於排查審計。在「運行」中執行 secpol.msc命令，打開「本地安全策略」窗口，依次選擇「安全設置」-「本地策略」-「審核策略」，建議將裡面的項目設置如下：
審核策略更改：成功
審核登錄事件：成功，失敗
審核對像訪問：成功
審核進程跟蹤：成功，失敗
審核目錄服務訪問：成功，失敗
審核系統事件：成功，失敗
審核帳戶登錄事件：成功，失敗
審核帳戶管理：成功，失敗
上面的項目設置成功之後，在「運行」中執行 gpupdate /force 命令使設置立即生效。
開啟並設置防火牆
如果使用了雲服務器（如阿里雲、騰訊雲等），雲服務商會提供一個防火牆工具，通常是放在路由級別的，使用起來更方便，如果誤操作的話也不會將自己排除在服務器上，因此建議優先採用雲服務商提供的防火牆。
開啟或關閉Windows防火牆
打開「控制面板」，依次選擇「系統和安全」-「Windows防火牆」，選擇左側的「啟用或關閉Windows防火牆」，根據需要選擇啟用或關閉Windows防火牆。如果採用了雲服務商提供的防火牆的話，建議將Windows防火牆關閉。PS:開啟防火牆之前需要允許遠程登錄的端口訪問，否則遠程連接會中斷！
允許特定的端口訪問
這裡以Windows防火牆為例進行說明（其實雲服務商提供的防火牆規則是類似的），前提是防火牆是啟用的。在「運行」中執行 WF.msc 打開「高級安全 Windows 防火牆」，點擊左側的「入站規則」，然後點擊右側的「新建規則...」打開「新建入站規則嚮導」窗口，選擇「端口」然後點擊「下一步」按鈕；端口類型選擇「TCP」，下面選擇「特定本地端口」，裡面輸入設置的遠程登錄端口以及Web端口，如： 80, 433, 3389，然後點擊「下一步」按鈕；選擇「允許連接」，然後點擊「下一步」按鈕；選中所有的選項，然後點擊「下一步」；最後輸入一個規則的名稱，比如「允許遠程連接和Web服務」，最後點擊「完成」保存。
關閉ICMP（禁ping）
按照上面的步驟打開「高級安全 Windows 防火牆」並選中左側的「入站規則」，從默認的規則裡面雙擊「文件和打印機共享(回顯請求 - ICMPv4-In)」，在「常規」中選中「已啟用」，並在「操作」中選中「阻止連接」，最後「確定」保存即可。
其它安全設置
設置屏保，使本地攻擊者無法直接恢復桌面控制
打開「控制面板」，依次進入「外觀和個性化」-「個性化」-「屏幕保護程序」，選擇某一個屏保，然後選中「在恢復時顯示登錄屏幕」，並將等待時間設置為10分鐘。
關閉Windows自動播放功能
在「運行」中執行 gpedit.msc命令，依次打開「計算機配置」-「掛你模板」-「所有設置」，雙擊「關閉自動播放」，然後選擇「已啟用」。
參考資料：
Windows Server 2019/2016 配置自動更新和更換大陸更新服務器
Windows 10 加入網域後連線到 WSUS 碰到的錯誤 0x8024401f 跟 0x8024401c
騰訊雲Windows系統更新
Windows server 2012安全加固與web環境配置優化
Windows Server 安全加固指南
Windows服務器的基礎安全加固
WINDOWS服務器安全加固實戰（適用於WINDOWS SERVER 2008 R2和WINDOWS SERVER 2012）
win10關閉主機同步服務
