主机加固

加固是这份基线里最没有智力含量但收益最确定的一节。清单不长，做完就不再需要想。

执行顺序

加固的顺序很重要，因为先关的东西会影响后面的验证：

1. 先开审计（对应 Sysmon 那篇）。没日志就没法验证后面任何一步。
2. 再收权限。本地管理员组收缩、管理员分离、UAC 调到最高且不开「绕过管理员批准」。
3. 然后关服务与端口。RDP 只对管理网段开放，禁用 SMBv1，关掉没用的 LLMNR/NetBIOS。
4. 最后才是补丁与更新策略。这一步耗时长，放最后启动，不阻塞前面的验收。

验收

每一项加固都要有一条能验证的命令，否则三个月后没人说得清它到底生效没有。这两篇文章里的每条配置都配了对应的检查命令。

例外

加固清单最容易被「临时关掉」破坏。规则很简单：任何例外必须有失效日期，且到期自动恢复。写进脚本注释里的「临时」不算例外管理。