Windows Server 安全指南：加固与最佳实践

虽然以默认状态部署服务器可能是使其快速投入运行的最快方法，但在安全性方面却显著不足。开箱即用的服务器经过优化以便于使用——这往往以牺牲安全性为代价。

这个警告对于 Windows Server 系统尤其重要，因为它们在 Microsoft 生态系统中扮演着至关重要的角色，包括身份验证和授权。通过花费一些额外的时间安全地配置您的 Windows Server 系统，您可以显著减少攻击面。

为了帮助，本文提供了一份Windows Server强化最佳实践的广泛检查清单。首先，我们将覆盖Windows Server本身：用户、功能、角色、服务等。但随后，我们将提供Windows强化指南，涵盖IT环境的其他多个方面，这些方面也会影响Windows Server的安全性和可用性，例如网络和防火墙配置、应用程序和服务配置、访问管理和审计政策。最后，我们将提供一个显著简化服务器强化过程的解决方案。

服务器准备

服务器加固在您安装操作系统之前就开始了。为了为服务器安全提供坚实的基础，请采取以下步骤：

• 建立并维护所有服务器的详细清单。
• 在新服务器完全加固之前，将其与网络和互联网流量隔离。
• 用强密码保护BIOS/固件。
• 禁用对恢复控制台的自动管理登录。
• 配置设备启动顺序，以防止从备用媒体启动。

更新Windows Server安装并保持其更新

安装Windows Server操作系统后，请立即使用最新的补丁进行更新，以减轻已知的漏洞。更新可以直接从Microsoft下载，或通过Windows Server Update Services (WSUS)或System Center Configuration Manager (SCCM)进行。

为了帮助保持服务器的安全，请启用补丁可用性自动通知并及时安装更新。但是，在部署任何补丁、热修复或服务包之前，请确保彻底测试，以确保它在您的特定环境中正常工作。

用户账户安全强化

一旦服务器部署并且安全补丁保持最新状态，请继续进行用户安全配置，以降低未经授权访问的风险。关键用户配置最佳实践包括以下内容：

• 在每台服务器上禁用访客帐户。
• 要么重命名本地管理员帐户，要么禁用它并创建一个具有唯一名称的新帐户。
• 最小化内置组（如本地系统（NT AUTHORITY\System）、网络服务（NT AUTHORITY\NetworkService）、管理员、备份操作员、用户和Everyone）的成员资格和权限。例如，为了防止对服务器的无限制远程访问，请确保更改默认设置，将“从网络访问此计算机”的权限授予Everyone组。
• 确保系统和管理员帐户的密码遵循 最佳密码实践。特别是，要求这些密码至少为15个字符，并使用字母、数字和特殊字符的组合，并每90-180天更改一次。
• 根据以下内容配置帐户锁定策略 帐户锁定最佳实践.
• 禁用匿名SID/名称翻译。
• 及时禁用或删除未使用的用户帐户。
• 要求服务器管理员使用本地管理员帐户而不是特权域帐户登录，以限制域范围内问题或妥协的风险。

功能和角色配置

加强Windows服务器的另一个重要最佳实践是删除任何不必要的功能和角色，以满足服务器的预期目的。这一策略减少了攻击面，同时也使服务器更易于管理。

应用程序和服务配置

同样，尽量减少每台服务器上安装的应用程序、服务和协议的数量。特别是，不要在服务器上安装任何额外的网页浏览器，并限制所有用户的网络访问。

限制在服务器上运行的应用程序和服务可以减少其攻击面，并简化更新和补丁管理。

网络配置

网络的配置会显著影响Windows服务器的安全性。以下是您应该遵循的一些关键网络配置实践。

• 使用VLAN、子网划分或其他网络隔离技术将服务器与不受信任的网络或区域隔离。此策略限制了服务器面临潜在威胁的暴露。
• 确保DNS和主机名配置准确，以防止与DNS相关的操作。
• 实施IP限制和过滤规则，以控制哪些IP地址或范围可以与服务器通信。这有助于限制未经授权的访问和攻击暴露。
• 如果需要远程管理，请限制RDP访问特定的IP地址或网络，以帮助防止未经授权的访问。
• 除非旧版软件或硬件需要，否则请禁用 NetBIOS over TCP/IP 和 LMHosts 查找。

防火墙配置

为了帮助保护您的 Windows 服务器免受未经授权的访问和恶意流量，请遵循以下防火墙配置最佳实践：

• 启用Windows防火墙。
• 配置每个Windows防火墙配置文件（域、私人和公共）以默认阻止入站流量。当服务器需要入站访问时，将其限制为必要的协议、端口和特定IP地址。
• 仅打开所需的网络端口；限制或拒绝对所有其他端口的访问。

网络时间配置 (NTP) 配置

NTP对于确保事件的准确时间戳至关重要，这有助于组织防范时间欺骗和重放攻击。

指定一个特定的服务器作为主要时间记录器，并将其配置为与可信的原子钟源同步。然后建立一项政策，要求所有服务器和工作站仅与该服务器同步时间。

注册表配置

正确配置注册表设置并控制对它们的更改对于服务器安全也至关重要。最佳实践包括以下内容：

• 如果不需要远程注册表服务，请禁用它。如果需要，请严格控制对它的访问。
• 禁用 "NullSessionPipes" 和 "NullSessionShares" 设置以限制对网络资源的匿名访问。
• 仅允许授权用户和管理员修改关键注册表键和子键。

加密

为了增强服务器安全性，建议启用并配置整个系统驱动器的BitLocker驱动器加密，以及任何包含数据的附加驱动器。为了更细粒度的数据保护，请考虑使用加密文件系统（EFS）来加密单个文件。

为了确保网络中的数据机密性和完整性，您可以实施IPsec来加密服务器之间的网络流量。

访问管理

访问管理是Windows强化检查清单的关键组成部分，因为它控制谁可以访问哪些IT资源以及他们拥有的访问级别。访问管理的最佳实践包括以下内容：

• 通过授予用户和进程执行任务所需的最小权限来强制执行最小权限原则。特别是，对于授予Everyone组的权限要非常谨慎。
• 仅允许经过身份验证的用户访问网络中的任何计算机。
• 配置 Kerberos 身份验证的允许加密类型。
• 请勿存储 LAN 管理器哈希值。
• 如果不需要，请禁用文件和打印共享。
• 除非需要支持旧技术，否则请禁用NTLMv1协议。

远程访问配置

远程桌面协议（RDP）是黑客的常见目标，因此仅在必要时启用。如果启用RDP，请将RDP连接加密级别设置为高。

此外，仅向需要的特定用户授予远程访问权限，并尽可能使用多因素身份验证（MFA）以增加额外的保护层。

一般安全加固实践

考虑实施这些一般安全最佳实践：

• 禁用可移动媒体的使用，例如 USB 闪存，以降低数据外泄和恶意软件注入的风险。
• 在用户登录之前显示如下法律通知：“禁止未经授权使用此计算机和网络资源。”
• 要求在交互式登录时按Ctrl+Alt+Del，并配置时间限制以自动终止空闲的交互式会话。
• 如果服务器有足够的RAM，请考虑禁用Windows交换文件，以提高性能并通过防止敏感数据写入硬盘来增强安全性。

Windows Server 加固指南：附加建议

其他硬化建议包括以下内容：

• 定期进行 风险评估 并利用它们更新您的风险管理计划。
• 使用端点安全解决方案来保护您的服务器和其他机器。Windows Defender 默认包含，但也可以使用第三方解决方案。考虑使用反间谍软件保护。
• 安装数据丢失防护（DLP）解决方案，以帮助保护敏感信息免受不当访问和泄露。
• 监控可能危害服务器安全的活动。原生日志提供了一些见解；这些日志可以使用Windows事件查看器进行审查。但为了获得更全面的日志记录和监控能力，实施一个企业审计解决方案，该方案不仅提供监控，还提供用户行为分析（UBA）、实时警报和自动事件响应等高级功能。

Netwrix如何提供帮助

Netwrix变更跟踪器 大大简化了Windows Server的加固和配置管理。特别是，它：

• 使得建立符合标准的安全基线配置变得容易，例如来自 互联网安全中心 (CIS) 和 美国国防部安全技术实施指南 (STIG)
• 自动检测偏差或偏离基线配置，使用系统和文件完整性监控（FIM）技术。
• 与您的IT服务管理（ITSM）解决方案协调，以识别意外的配置更改并提醒管理员。
• 通过提供有关更改的详细信息来加快事件响应速度。
• 通过现成的报告简化合规审计，涵盖NIST、PCI DSS、CMMC、STIG和NERC CIP。

超过 13,500 家组织（包括接近 25% 的《财富》500 强企业）依靠 Netwrix 来保护身份、数据和基础设施。立即查看 Netwrix Change Tracker 的实际效果。

基础设施为中心的攻击正在激增。 Verizon 2025 Data Breach Investigations Report 指出：作为初始访问方式，漏洞被利用的比例已增长到约 20% 的泄露事件，反映出攻击者持续关注本地部署环境。

Windows Server 是大多数企业中支撑 Active Directory、文件服务和身份验证的核心基础设施，仍然是频繁的攻击目标。

强固的 Windows Server 安全性从加固（hardening）开始：移除不必要的功能、锁定默认配置，并落实能够阻断攻击者实际使用路径的配置。

难点在于，Windows Server 仍然以“易用性”而非“安全性”为目标进行优化后出厂。宽松的默认设置、传统（legacy）协议以及较少的审计都会让攻击者一旦进入系统后拥有更大的活动空间。任何版本的 Windows Server 进行开箱即用安装后，也仅与针对该版本的 CIS 加固基准大约有 30% 的一致性。

本指南将探讨 Windows Server 的安全加固（hardening），说明其为何在当今威胁态势中至关重要，并逐步介绍覆盖完整攻击面（attack surface）的最佳实践。

什么是 Windows Server 安全加固（hardening）？

Windows Server 安全加固（security hardening）是将 Windows Server 系统进行配置以降低攻击面（attack surface）的过程。也就是说，禁用未使用的功能、收紧默认设置、实施最小特权（least privilege），并应用与已认可标准相一致的安全配置基线（configuration baselines）。

加固（hardening）与打补丁（patching）不同：补丁会修复并关闭特定已知漏洞，而加固则会减少可被利用的面（exploitable surface），从而降低补丁原本需要防护的范围。

加固后的 Windows Server 是指：只保留其角色所需的服务、端口、用户和权限处于启用状态。其他所有内容（遗留协议、默认共享、匿名访问、未使用的角色）都会被移除或受到限制。

大多数 Windows Server 加固计划都由三个标准所约束：

• CIS Benchmarks 由 Center for Internet Security 提供的 CIS Benchmarks 会为每个 Windows Server 版本提供基于共识的、针对版本的加固指导。CIS 是商业企业中采用最广泛的基线（baseline）。
• 来自美国国防部（DoD）的 DoD STIG（Security Technical Implementation Guides）为联邦、国防以及与国防相关的组织定义加固（hardening）要求。STIG 与 CIS 有很大程度的重叠，但规定得更为严格、细致。
• NIST SP 800-123 和 800-171 提供了为 CIS 与 STIG 提供依据的基础配置管理原则，并且在 CMMC 和 FedRAMP 等合规框架中被直接引用。

大多数组织会先从 CIS 入手，然后根据监管覆盖范围的需求补充额外要求。为此，澳大利亚、法国和德国等国家的网络安全机构也制定了详细的技术加固（hardening）指南。此外，微软自身的安全基线也同样涵盖加固内容。

为什么 Windows Server 的安全性很重要

加固（hardening）Windows Server 并不是一个“勾选就算完成”的工作。四个现实因素使其成为目前可用的安全投资中回报率最高的选择之一。

1. Windows Server 是认证的核心支柱

Active Directory 运行在 Windows Server 上，并作为大多数企业的集中凭据存储。被攻破的、运行域控制器角色的 Windows Server 会让攻击者获得对所有信任该域的应用程序、共享和工作负载的“通行钥匙”。因此，强化运行 AD 的服务器不仅是服务器安全工作，更是具有域范围影响的身份安全工作。

2. 本地（on-premises）基础设施是一个高度集中的目标

Windows Server 位于大多数本地（on-premises）IT 资产的中心位置，这会将上文所述的利用压力集中到一个单一的攻击面上。正是这种集中使 Windows Server 成为高价值目标，而加固则能减少攻击者在任何终端检测（endpoint detection）触发之前可利用的可行入口点数量。

3. 默认配置会产生可被利用的攻击面

新安装的 Windows Server 会授予 Everyone 组通过网络访问计算机的权限。默认情况下，它允许对 Security Account Manager (SAM) 帐户和共享进行匿名枚举，可能会存储 LAN Manager 哈希，并且可能启用了 NTLMv1。

每个默认设置都是攻击者剧本中已知的技术，仅通过配置就可以逐项关闭，且无需购买许可证。强化配置会将这些默认值转换为经过深思、符合职责的设置。

4. 合规框架要求这样做

从 PCI DSS 到 HIPAA，SOX，NIST SP 800-171 和 CMMC 都要求：对处理受监管数据的系统进行文档化的安全配置、配置管理以及审计追踪。

公用事业领域的标准（例如 North American Electric Reliability Corporation Critical Infrastructure Protection (NERC CIP)）也同样要求这样做。通过基于已认可的基线对 Windows Server 进行加固，并监控配置漂移，是在同时满足多项法规要求方面最有效的方式。

Windows Server 安全最佳实践

以下做法分为六个类别，它们共同覆盖完整的 Windows Server 攻击面。在部署新服务器时按顺序依次应用；在现有服务器上则持续应用。

1. 从加固的基线开始

加固基线从操作系统安装之前就已经开始，并延续到初始配置阶段。将每一台新服务器都视为一个项目（如果你认为用 Intune 进行管理，也可以把它视为代码），而不是一次性部署。

服务器准备

• 建立并维护所有服务器的详细清单，包括基线配置（baseline configuration），并确保检测到之后发生的每一次变更（漂移）。
• 在新服务器完成完全加固（fully hardened）之前，仅提供满足需求的最少网络和互联网连接。
• 确保使用 UEFI Secure Boot 来保护固件，防止对启动级别设置进行未经授权的更改。
• 保护 WinRE，并要求 Bitlocker 恢复密钥
• 配置设备启动顺序，防止从 USB 或光驱等替代介质启动。
• 控制并验证服务器的虚拟化部署。

打补丁和更新

加固后的配置只有与其下方的补丁级别同等的强度。尽早应用更新，在中心位置统一应用，并在部署前进行测试。

• 安装 Windows Server 后，针对现代部署请立即通过 Windows Autopatch 或 Microsoft Intune 应用最新补丁；如果确实需要在传统基础设施上使用，请通过 Microsoft Endpoint Configuration Manager（原 SCCM）进行应用。使用持续监控来验证整个设备群的补丁状态。
• 使用集中式补丁编排；只有在遗留系统确实需要时，才使用像 SCCm 这样的工具。
• 在将任何补丁、热修复或服务包部署到生产环境之前，请在预发布环境中进行充分测试。

减少角色、功能和服务

服务器上运行的每个角色、功能、应用程序和服务都会增加攻击者可以探测的代码。将服务器精简到真正需要完成其工作的内容即可。

• 移除不符合服务器预期用途的 Windows Server 角色和功能。
• 删除未使用的应用程序、服务和协议。
• 避免在服务器上使用浏览器，或通过策略进行阻止，并限制所有用户的互联网访问。
• 使用 Bitlocker 保护 Windows 交换文件；如果服务器有足够的内存，请使用仅使用内存（RAM-only）的工作负载。

系统配置

某些默认的 Windows 行为假设的环境比实际运行生产服务器的环境更友好。这些设置会弥合攻击者可以可靠利用的低层漏洞。

• 通过阻止匿名访问来保护注册表，并且如果不需要，请禁用 Remote Registry。
• 禁用 NullSessionPipes 和 NullSessionShares，以限制对网络资源的匿名访问。
• 仅向获授权的用户和管理员授予修改关键注册表项的权限。
• 要求交互式登录时按 Ctrl+Alt+Del，并配置不活动超时以自动结束空闲会话，但请确保监控这些更改，以检测恶意漂移。
• 在用户登录之前显示法律声明，例如：“禁止未授权使用本计算机和网络资源。”
• 使用策略禁用 USB 驱动器等可移动介质，以降低数据外传和恶意软件注入的风险。

2. 锁定用户账户和访问权限

访问管理决定谁可以访问哪些资源，以及他们到达之后可以执行什么操作。本类别用于关闭攻击者在内部一旦入侵后进行横向移动所使用的基于身份的路径。

用户账户安全

默认用户账户和预定义组携带的权限几乎总是对生产环境而言过于宽松。在进行任何其他访问工作之前，先收紧这些权限。

• 在每台服务器上禁用访客账户。
• 在可能的情况下禁用本地 Administrator 账户，使用 LAPS，或创建一个具有按需/Just-in-time（JIT）权限的新命名账户。
• 审核预定义组的成员资格，例如 Administrators、Backup Operators 和 Everyone，并移除不属于这些组的账户。不要修改内置服务账户的权限，例如 Local System 和 Network Service，因为对这些账户的更改可能会破坏 Windows 的核心功能。
• 更改授予 Everyone（所有人）“Access this computer from the network”（从网络访问这台计算机）权限的默认设置。该默认设置会将共享文件夹暴露给所有已验证用户和匿名用户。
• 确保系统账户和管理员账户的密码至少为 15 个字符，包含字母、数字和特殊字符的组合。对所有特权账户启用 MFA。除非有遭受入侵的证据，否则不要强制进行定期轮换，依据 NIST SP 800-63B guidance。
• 确保系统和管理员账户密码至少为 15 个字符，且包含字母、数字和特殊字符。对所有特权账户强制启用 MFA。根据 NIST SP 800-63B 的指导，除非有泄露（被入侵）证据，否则不要强制要求定期轮换。
• 在组策略中配置账户锁定策略，以抑制暴力破解尝试。
• 禁用匿名 SID/名称（Name）转换。
• 及时禁用或删除未使用的用户账户。
• 使用分级的管理账户（Tier 0 用于域和林（forest）管理员，Tier 1 用于服务器管理员，Tier 2 用于工作站管理员），并通过 Privileged Access Workstation 访问这些账户。绝不要在例行的服务器维护中使用域管理员账户。

访问管理

当账号整理完成后，接下来的问题是这些账号实际上能够做什么。访问管理的控制措施正是用来回答这一问题的，也是落实最小权限和身份认证卫生的地方。

• 贯彻 principle of least privilege：仅向用户和进程授予所需的最低权限。对授予 Everyone 组的权限请尤其谨慎。
• 只允许经过身份验证的用户从网络访问任意计算机。
• 配置 Kerberos 身份验证允许使用的加密类型，并禁用更弱的旧版选项。
• 避免存储 LAN Manager 哈希值。
• 如果不需要，请禁用文件和打印机共享。
• 除非遗留技术需要，否则禁用 NTLMv1。

远程访问

远程桌面协议（Remote Desktop Protocol）对管理员很方便，对攻击者同样方便。将其视为最后手段接口，并且在确实需要使用时，必须配备强身份验证。

• 仅在必要时启用 Remote Desktop Protocol (RDP)。攻击者通常会利用 RDP 作为初始访问途径。
• 在需要使用 RDP 的情况下，将连接加密级别设置为高。
• 仅向确有需要的特定用户授予远程访问权限。
• 要求使用多因素身份验证（MFA），在密码之外再增加第二个认证因素。

Netwrix Change Tracker：CIS 认证的配置加固。请在浏览器中启动演示。

3. 防御性配置网络和防火墙

网络架构决定了“强化”后的服务器实际暴露程度。即使将一台配置良好的加固服务器部署在过度放行的防火墙之后，它仍然会受到攻击。

网络配置

网络级控制决定了谁甚至可以尝试与服务器通信。请积极进行网络分段，并关闭仍会造成不必要暴露的旧版名称解析协议。

• 使用诸如 Zero-Trust 网络分段、微分段或基于身份的分段等方法来隔离服务器。 .
• 请验证 DNS 和主机名配置，以防止基于 DNS 的篡改，并启用 DNSSEC 或使用通过 TLS/HTTPS 的 DNS。
• 通过实施 IP 限制和过滤规则来控制哪些地址或地址段可以与每台服务器通信。
• 如果需要进行远程管理，请将 RDP 访问限制为特定的 IP 地址或网络，并使用 PAWs（特权访问工作站）来完成该任务。
• 除非旧版应用程序需要，否则请禁用通过 TCP/IP 的 NetBIOS 和 LMHosts 查询。

防火墙配置

Windows 防火墙是服务器抵御未经请求流量的最后一道防线，这些流量会绕过网络层级的控制手段。默认拒绝（Default-deny）是让防火墙保持有效的姿态（策略）。

• 在每台服务器上启用 Windows 防火墙。
• 为每个防火墙配置文件（域、专用和公用）设置默认阻止入站流量。当需要入站访问时，将其限制为必需的协议、端口和 IP 范围。同时也可以考虑出站过滤。
• 仅在端口实际使用的时间内开放实际在用的网络端口，并拒绝对所有其他端口的访问。

Network Time Protocol (NTP)

准确的时间是一项安全控制。Kerberos 身份验证会强制执行较小的时钟偏差容忍度，而在事故调查过程中进行日志关联分析则依赖于所有服务器和工作站之间同步的时间戳。

• 指定一台与可靠的原子钟源同步的主时间服务器。
• 要求所有服务器和工作站仅与该服务器同步。在虚拟化环境中，NTP 源不应是 .virtualized。

4. 加密存储数据和传输数据

由于数据本身仍受到保护，加密会将成功的系统级入侵带来的影响限制在更小的范围内。

• 在系统磁盘以及包含敏感数据的任何磁盘上启用并配置 BitLocker 磁盘加密。
• 当需要在磁盘加密之外提供更细粒度的文件级保护时，请使用 Microsoft Purview Information Protection，为文件应用可随文件传递的敏感度标签和权限管理策略。
• 实施 IPsec，对服务器之间的网络流量进行加密，保护在网络中传输中的数据。

5. 强制执行审计策略并监控漂移情况

缺乏监控的加固会逐渐失效。审计策略提供原始的可视性；漂移检测则带来纪律性，确保基线保持完整。

审计策略配置

审计策略决定服务器会记录其自身活动的哪些信息。没有明确的策略，你在调查过程中需要的事件将不会存在。

• 配置一个审计策略，用于捕获认证事件、特权账户使用情况、账户管理、策略变更，以及对敏感资源的对象访问。通过 Windows Event Viewer 查看的原生日志（本机日志）可以作为起点。
• 将事件日志的保留方式设置为按需覆盖，并预留足够的日志存储空间（每台服务器 4 GB 或更多）。
• 将安全日志发送到安全信息和事件管理（SIEM）平台，以实现跨服务器的关联分析，并在本地日志轮转之后仍能保留更长时间。

持续监控

日志告诉你发生了什么；持续监控则告诉你正在发生什么，以及这些行为是否获得授权。正是在这里，漂移检测让加固（hardening）从一个项目变成一种实践。

• 部署 file integrity monitoring (FIM) ，以便实时检测对文件系统、注册表、服务和本地账户的未经授权的更改。
• 将配置变更与已授权的变更管理工单关联起来，以区分合法的管理员活动与可疑的变更。
• 为了获得全面的可视性，请部署企业级审计解决方案，提供用户行为分析（UEBA）、实时告警和自动化的事件响应。这些能力超出了原生日志所能提供的范围。

6. 随时间持续强化（hardening）

强化（hardening）不是有明确结束日期的项目。随着管理员、软件以及对手不断进行更改，必须通过多种做法确保基线保持完整。

• 定期开展 IT 风险评估，并将结果纳入风险管理计划。
• 在服务器和工作站上部署 端点安全解决方案。Windows Server 默认包含 Windows Defender；第三方选项可扩展检测与响应覆盖范围。
• 安装一个 data loss prevention (DLP) 解决方案，保护敏感信息免受不当访问或数据外泄。
• 将每台服务器保持在相同的修订版本级别，以简化配置管理和补丁测试。
• 至少每年一次，将强化基线与当前的 CIS 或 STIG 版本进行对照审查；当 Microsoft 发布主要的 Windows Server 版本时，更新相关标准。

使用 Netwrix Change Tracker 加固 Windows Server 配置

加固 Windows Server 只是工作的一半。随着管理员、软件和对手进行更改，仍能保持其处于加固状态，这种纪律性才是区分那些始终保持安全的组织与那些又逐渐回到暴露状态的组织的关键。

Netwrix Change Tracker 是为该领域而专门打造的。它随附符合 Center for Internet Security 基准和 DoD STIG 指南的 CIS 认证配置模板，因此安全团队无需从零开始编写，即可建立经过验证的基线。

基线就位后，Change Tracker 会使用文件完整性监控，实时检测整个文件系统、注册表、Windows 安全与审计策略、已安装软件、本地用户与组、开放的网络端口以及服务状态中的偏移（drift）。

意外的变更会以完整上下文呈现，并且与 IT 服务管理（ITSM）平台的集成有助于区分获得授权的变更与可疑活动。

为实现审计策略可视化和取证调查，Netwrix Auditor 通过在 Active Directory、Entra ID、文件服务器以及其他 Windows Server 工作负载上捕获可搜索的变更前后审计轨迹，来补充 Change Tracker。

Change Tracker 为安全团队提供：

• 经 CIS 认证的加固模板，外加 250+ 份预配置报告，覆盖 NIST、PCI DSS、CMMC、STIG 和 NERC CIP。
• 将实时偏移检测与 ITSM 上下文结合起来，因此调查重点放在意外更改上，而不是已获授权的更改。
• 通过单一平台实现对 Windows 的统一覆盖：文件系统、注册表、审核策略、服务、端口和本地账户。
• 借助 Netwrix 1Secure platform，在本地部署、SaaS 和混合环境中实现灵活部署。Netwrix 1Secure platform across on-premises, SaaS, and hybrid.