微軟為Windows 10的安全功能可謂費盡心機，且該公司常稱它是迄今為止最安全的Windows系統。

盡管如此，Windows管理員仍舊可以做很多工作來進一步加強Windows 10的安全性，特別是當構建參考或Windows鏡像用于桌面部署時。制作這樣的鏡像，如果可采用基本安全原則，其結果將會比Windows提供的更為安全。

用于Windows鏡像構建的基本安全原則

Windows管理員通常使用諸如Sysprep（微軟的系統準備工具）之類的工具來創建參考Windows鏡像以供日后安裝。在這樣做時，需要考慮的相關安全原則首先是理解OS強化。

強化安裝涉及保護OS以及系統（在這種情況下指Windows 10客戶端）將使用的應用，這里的基本概念是消除或減少攻擊面以阻止攻擊者。因此，Windows強化的關鍵目標必須包含所有可以用的手段來拒絕、阻止或者延遲任何類型的攻擊。

為了強化Windows，最好的方法是關閉或禁用Windows中未被使用的功能。這可確保當某個功能不存在或不活動時，它不會成為攻擊者可利用的攻擊跳板。

最小特權原則可進一步保護強化系統免受攻擊。在安全領域中，最小特權原則意味著僅提供允許用戶完成其工作的訪問權限與特權，此外不會再提供更多權限。首先，這需要建立一個賬戶政策，要求所有用戶登錄到標準用戶賬戶來執行日常工作。

管理員自己只有在需要執行管理任務時才使用管理權限，并且他們以管理員登錄的時間應該剛好足夠完成其工作。事實上，有些可自動化的管理任務應該最小化管理員使用管理權限登錄的時間。管理任務可包括安裝程序；配置系統、服務和網絡；以及執行系統維護工作，例如備份、更新、修復以及配置或系統管理。如果管理員在操作Windows 10時考慮這些原則，他們就會明白他們必須做什么來強化Windows 10或者其他客戶端。

Windows強化的初始方法

構建強化系統鏡像與典型安裝不同。管理員通常會斷開工作站從網絡創建鏡像——通過斷開傳統以太網網絡中的有線網絡線纜或者禁用通過無線互聯網連接設備的WiFi。

接著使用可引導USB安裝程序來執行升級安裝，無論是修改現有鏡像或者創建新的鏡像。在初始鏡像創建期間可跳過提供OS，或者名為PID.TXT可插入到USB安裝程序的Sources目錄中，其中包含用于所有適用客戶端安裝的卷許可證密鑰。

更改設置以強化Windows 10

在初始安裝完成后，在Windows 10中打開“設置”應用來鎖定或關閉主要元素。在這個過程中需要更改的設置包括但不限于：

· 語音：選擇時間和語言>語音>關閉麥克風設置

· 語音、墨跡和鍵入隱私設置：選擇時間和語言>語音>語音、墨跡和鍵入隱私設置>停止收集有關我的信息

· 廣告標識符：在設置的搜索框輸入廣告，如果應用可使用你的廣告ID則選擇關閉設置

· 讓Skype幫助你連接：如果用戶不使用Skype則關閉

· 位置：如果用戶不需要位置數據進行搜索和訪問，則搜索位置并關閉查找我的設備。然而，搜索位置設置并關閉允許Windows、應用和服務使用你的位置。

· 熱點：搜索并更改Wi-Fi設置，并關閉自動連接到建議的熱點以及自動臨時連接到熱點

· 診斷信息：限制發送給微軟的數據量，除非有必要的情況。在設置應用中，選擇隱私>反饋和診斷>，然后在診斷和使用情況數據部分的“向Microsoft發送你的設備數據”下拉菜單選擇“基本”

· 使用頁面預測：關閉這個Microsoft Edge設置以加快信息查找速度并關閉預測算法。

· 獲取更新以及向互聯網上其他PC發送更新：關閉這兩個設置。想要關閉更新，請將互聯網連接標記為按流量計費。想要阻止發送更新給互聯網其他電腦，則選擇更新和安全>Windows更新，然后選擇高級選項來禁用從互聯網其他電腦下載Windows更新或者關閉從任何其他電腦獲取的更新——即使在相同的本地網絡中。

通常情況下，最好查看整個Windows設置，并詢問用戶是否需要啟用、部分鎖定或者完全關閉。然后，應用所有已測試和已批準的安全更新，雖然大部分用戶將使用Current Branch for Business。

最后，確保所有設備用戶有權使用的設備驅動程序的安裝、運行和更新。當不包括設備時，最安全的的做法是在參考鏡像中禁用或卸載相應的驅動程序。

當所有這些活動完成（而不是在之前）時，為參考鏡像快照用于潛在部署以及現場使用，并將其命名為“Windows 10 base，版本XXXX”，XXXX代表當前版本分支號。

自定義Windows 10鏡像

Windows強化的下一步驟是使用Sysprep在審核模式中自定義基本Windows 10鏡像。當在Windows 10安裝的最后階段出現設置對話框時，請按住CTRL和SHIFT鍵，然后再按F3功能鍵，而不是選擇自定義或快速設置。Windows將在審核模式下重啟，并顯示Sysprep對話框。在使用Sysprep之前還有一些其他任務要完成，因此請按取消以關閉此對話框并繼續。

下一個任務是安裝Windows評估和部署工具包，這可提供對Windows系統鏡像管理器（SIM）的訪問。使用SIM來創建并修改答案文件，讓Sysprep可根據你的要求創建自定義鏡像，然后完成和自定義參考Windows鏡像。并將其命名為“Windows 10 base，版本XXXX”，XXXX代表當前版本分支號。

維護強化版Windows鏡像

隨著時間的推移，基本鏡像將根據需求變化和軟件更新而更新以及修改，這需要你重復上述自定義基本鏡像的相同步驟。

例如，當Windows 10更改構件號（例如從1511升級到1607時），則有必要從頭開始更新。或者，你可以從基本鏡像開始更新，然后重新構建Sysprep文件來更新任何應用、設置或賬戶信息。

請始終使用明確的文件命名約定，在進行更改時創建新文件。這樣的話，當創建鏡像或者修改/自定義過程出現錯誤或者任何問題時可返回到以前的基礎鏡像和應用版本。

采用本文中介紹的基本Windows強化原則，可幫助企業更好地保護Windows系統的安全。