“企业电脑的安全，不能靠‘自觉’”——要靠“基线”：一套“预先定好的安全配置”，每台电脑“按基线统一设置”，“最低防线”就有了。这篇Win11运维技巧文章，讲“安全基线怎么配”。
“安全基线”是什么
“安全基线”（Security Baseline）是“一组强制安全配置”：密码策略、账户锁定、防火墙、更新、审计、“按企业标准”统一“下发到每台电脑”。“目的”：把“安全底线”固定下来——“员工忘了设密码、关了防火墙”，基线“兜着”；“合规”也需要它（等保、ISO审查“要基线证据”）。“微软官方提供‘Windows安全基线’模板（组策略/Intune）”，运维“可以拿来改”。
“账户与密码”基线
“账户层”是“第一道门”：密码策略（长度“12位+”、复杂度“字母数字符号混合”、有效期“90天”）；“账户锁定”（输错“5次锁定15分钟”，防“暴力破解”）；“管理员账户”（改名或禁用“默认Administrator”，别“用管理员日常办公”）；“来宾账户”禁用。“下发方式”：组策略“安全设置 → 账户策略”。“密码和账户”管住了，“大门”就“结实了”。
“系统与更新”基线
“系统层”基线：“Windows更新”强制（设置“自动安装、指定重启时间”，别让员工“取消更新”）；“Defender”强制开启（病毒防护“实时保护”别关）；“防火墙”强制开启（公共/专用网络“都开”）；“UAC”（用户账户控制）保持“默认或更高”（弹窗“确认”防“静默提权”）；“BitLocker”（磁盘加密——笔记本“必开”，防“硬盘被拆走读数据”）。系统“补丁+防护+加密”，“防线”才“完整”。
“审计与日志”基线
“审计”管“出了事查得到”：开启“登录事件审核”（成功/失败登录“记录日志”）；“策略更改审核”“对象访问审核”（按“合规要求”选）；“日志”集中“收集”（Event Log 转发到“日志服务器/SIEM”，别“只在本地躺”）。“审计”的意义：安全事件“可追溯”——“谁在什么时候做了什么”，“日志”里“有答案”。“没日志”的“安全事件”=“查无实据”。
“下发与验证”
基线“怎么下发”：域环境“组策略GPO”，云环境“Intune（MDM）”，小环境“脚本或注册表”；“下发后验证”：用“安全评估工具”（微软的“Security Compliance Toolkit”和“Policy Analyzer”）“对比当前配置和基线”，查“哪些没生效”；“定期复查”（每季度“跑一遍评估”，基线“跟着版本更新”）。基线“不是配一次就完”——“下发+验证+复查”，才是“完整的基线管理”。
一句话总结
Win11安全基线=账户密码强策略+更新Defender防火墙加密+审计日志可追溯：用组策略或Intune下发，评估工具验证，季度复查。基线“定好+管好”，企业“默认就安全”。
