windows-11-security-baseline

Windows 11 安全基线

Windows 11 安全基线是 Microsoft 精选的一组推荐安全设置——数百项经过安全价值和兼容性审核的策略。该基线以 Intune 安全基线（设置目录版）或 Microsoft Security Compliance Toolkit 中的 GPO 模板形式提供。

本技能介绍应启用哪些设置、Windows 11 专属控件（LAPS、VBS/HVCI、Credential Guard、Smart App Control、PDE），以及部署模式。

适用场景

使用 Intune（或为旧版环境使用 GPO）加固 Windows 11 设备群，重点关注现代 Windows 特有的硬件根信任和身份保护功能。

请勿将此技能用于 MDE 策略编写（defender-for-endpoint）、通用 Intune 设备管理（intune-device-mgmt）或仅限 BitLocker 的设计（bitlocker-design）。

核心控件——按以下顺序启用

控件	优先启用的原因
篡改防护（MDE）	没有它，其他所有控件都只是建议
安全启动 + TPM 2.0	VBS/HVCI/Credential Guard 的基础；Win11 必需
VBS / HVCI / 内存完整性	在虚拟机监控程序隔离的容器中实施内核模式代码完整性
Credential Guard	隔离 LSASS；可抵御大多数凭据窃取工具
LSA 保护	阻止非受保护进程向 LSASS 注入代码
BitLocker	使用 TPM 绑定启动的磁盘加密
个人数据加密（PDE）	与用户登录关联的逐文件加密（首次登录后生效）
Windows Hello 企业版	替代基于密码的本地登录
Windows LAPS（现代版）	由 Entra 提供支持的本地管理员密码轮换
Smart App Control	在全新安装的 Win11 上默认拒绝代码执行
WDAC / App Control for Business	在受管理设备群上实施成熟的应用控制
受控文件夹访问 + 漏洞利用防护	与 ASR 相邻的主机加固措施
可移动存储策略	控制通过 USB 外泄数据

方法

1. 通过 Intune 在设备级别应用 Microsoft 安全基线。使用 Settings catalog 版本（较新）或命名为“Windows 11 security baseline”的基线——较新的 Settings catalog 是面向未来的选择。

2. 试点环方法。

   • 环 0（50 台 IT 设备）：应用所有基线和新控件。
   • 环 1（具有代表性的 5%）：相同配置。
   • 环 2（其余设备）：兼容性验证后再部署。 不要把基线当作一次性部署；某些控件（Smart App Control、WDAC、PDE）需要分阶段推出。

3. 以硬件为根的身份验证栈。

   • 在预配时验证 TPM 2.0 + Secure Boot（Autopilot 的前提条件）。
   • 通过基线启用 VBS + HVCI / Memory Integrity；旧版驱动程序可能无法正常工作——请在推出前使用 Driver Compatibility 工具查找阻碍项。
   • 启用 Credential Guard + LSA Protection——二者结合可终结针对托管设备的大多数 Mimikatz 式攻击。

4. Windows LAPS（新的内置产品，与旧版 LAPS 不同）：

   • 已加入 Entra：密码存储在 Entra ID 中，通过 Intune 策略轮换。
   • 混合加入 / 已加入 AD：密码存储在 AD 中，需要扩展架构。 从旧版 LAPS（已弃用）迁移。密码最长有效期设为 30 天。

5. Smart App Control 仅适用于全新安装的 Win11（在学习阶段后启用）。对于现有设备，请使用 WDAC / App Control for Business——投入更大，但适用于已升级的设备群。分阶段实施：仅审核策略 → 按设备组强制执行 → 扩大范围。

6. Personal Data Encryption (PDE) 需要 Windows Hello for Business 和新式身份验证。与 WHfB 一起推出；它不能替代 BitLocker——而是在其基础上进行的逐文件加密。

7. 使用 Windows Hello for Business 进行本地登录（证书信任或云 Kerberos 信任）。与 passkeys-fido2 配合，落实更全面的防钓鱼策略。

8. Controlled Folder Access + Exploit Protection。CFA 以审核模式运行 14 天；之后仅在用户工作站上强制执行（不要用于服务器——会导致应用无法写入文件）。将来自 Microsoft 基线的 Exploit Protection 配置文件应用于整个租户。

9. 可移动存储控件。默认禁止普通员工使用可写 USB；针对合法使用场景（设计师、AV 团队）按硬件 ID 添加允许列表。与 Defender for Endpoint 设备控件结合，实现精细化策略。

10. 合规性 + Conditional Access。仅在满足以下条件时将设备标记为合规：

    • BitLocker 已开启、TPM 状态正常、Secure Boot 已开启、Defender 实时保护已开启。
    • 设备风险 = 低（MDE）。
    • 已应用基线 = 是（通过 Intune 合规策略）。 将合规性与 Conditional Access 关联，以控制资源访问。

防护要点

• 未进行驱动程序兼容性检查前，不要启用 Memory Integrity / HVCI。 旧版打印机 / VPN / 终端驱动程序可能导致无法启动。
• 无法在已升级的 Win11 上启用 Smart App Control。 请对这些设备使用 WDAC。
• WDAC 价值很高，但运维负担也很重。 请规划策略管理职能；这不是“设置后就不用管”。
• 旧版 LAPS 已弃用；应使用新版 Windows LAPS。 不要在全新部署的 Win11 环境中部署旧版 LAPS。
• Credential Guard 会导致某些旧版身份验证场景无法正常工作（某些 TPM 配置下的 Wi-Fi 802.1x、第三方凭据提供程序）。请进行验证。
• 不要在启用 Memory Integrity 的同时运行不受支持的驱动程序 / 内核模式软件。
• PDE 需要 WHfB。 如果没有 Hello，PDE 就不会生效；文件级数据无法得到保护。
• Intune Settings catalog 与经典基线：面向未来的选择是 Settings catalog。不要对同一设置同时运行两者——这会导致冲突。
• 在服务器上启用 CFA 会破坏工作负载。 仅用于工作站。
• 禁止所有可移动存储且不设置允许列表会影响合法用户；请建立申请流程。

常见反模式

• “应用基线后从未更新”——基线每季度更新一次；新的攻击会带来新的设置。每年重新应用基线。
• “因为某个驱动程序有意见就关闭内存完整性”——保持开启，替换驱动程序。
• “在 Win11 上仍运行旧版 LAPS”——已弃用；迁移到 Windows LAPS。
• “WDAC 永远处于审核模式”——从未强制执行；毫无保护作用。
• “在升级设备上启用智能应用控制”——实际上不会发挥作用，且不会给出提示。
• “因为 2018 年的第三方 VPN 而关闭凭据保护”——替换 VPN。
• “阻止所有 USB，不设例外”——工程团队会奋起反抗并另寻变通办法。将合法用途加入允许列表。
• “未在条件访问中使用合规性信号”——设备显示“合规”，但访问时没有强制执行。
• “设置目录和经典基线都应用于同一组”——策略冲突；强制执行情况难以预测。

示例提示词

• 将 Windows 11 安全基线部署到由 Intune 管理的 30,000 台设备环境，并采用 3 环试点部署。
• 将混合环境（已加入 Entra + 已加入 AD）中的旧版 LAPS 迁移到 Windows LAPS。
• 评估 VBS / HVCI / 内存完整性部署的驱动程序兼容性准备情况。
• WDAC 策略创作策略：托管安装程序与显式允许列表的选择；分阶段强制执行。
• 根据 Windows Hello 企业版和通行密钥策略部署个人数据加密。
• 可移动存储策略：在整个租户范围内阻止 USB 写入；按硬件 ID 为指定组添加允许列表；建立申请工作流。
• 合规性策略 + 条件访问：将安全基线与 Microsoft 365 和 Azure 门户的访问权限绑定。
• 审核整个设备群中的智能应用控制适用情况，并找出 WDAC 是唯一可行方案的设备。

Microsoft Learn

• Windows 11 安全手册：https://learn.microsoft.com/windows/security/book/
• Windows 11 安全基线：https://learn.microsoft.com/windows/security/operating-system-security/device-management/windows-security-configuration-framework/windows-security-baselines
• Intune 安全基线：https://learn.microsoft.com/intune/intune-service/protect/security-baselines
• VBS / HVCI / 内存完整性：https://learn.microsoft.com/windows/security/hardware-security/enable-virtualization-based-protection-of-code-integrity
• 凭据保护：https://learn.microsoft.com/windows/security/identity-protection/credential-guard/
• LSA 保护：https://learn.microsoft.com/windows-server/security/credentials-protection-and-management/configuring-additional-lsa-protection
• Windows LAPS：https://learn.microsoft.com/windows-server/identity/laps/laps-overview
• 智能应用控制：https://learn.microsoft.com/windows/security/application-security/application-control/app-control-for-business/
• WDAC / 企业应用控制：https://learn.microsoft.com/windows/security/application-security/application-control/app-control-for-business/
• 个人数据加密：https://learn.microsoft.com/windows/security/operating-system-security/data-protection/personal-data-encryption/
• 受控文件夹访问：https://learn.microsoft.com/defender-endpoint/controlled-folders
• Microsoft 安全合规工具包（GPO 基线）：https://www.microsoft.com/download/details.aspx?id=55319