匿名访问限制是什么
匿名空会话指未通过身份验证的客户端也能建立的会话，历史上被大量用于信息搜集：枚举账号、共享目录与命名管道，为后续的口令猜测和横向移动准备名单。限制匿名枚举与匿名访问能明显收窄侦察面，代价是依赖匿名访问的共享打印和访客场景可能异常，因此要先盘点再收紧。
基本信息
| 加固项 | 匿名访问与匿名枚举限制 |
|---|---|
| 适用平台 | Windows Server、Windows 10 及以上 |
| 风险等级 | 中 |
| 关键取值 | RestrictAnonymous、RestrictAnonymousSAM、EveryoneIncludesAnonymous、LimitBlankPasswordUse |
| 生效方式 | 部分注册表项需要重启后生效 |
典型使用场景
- 域成员服务器基线：默认禁止匿名枚举账号与共享
- 文件服务器：限制对命名管道和共享的匿名访问，缩小可探测范围
- 终端防护：避免攻击者用空会话批量摸清本机账号与本地组
- 事件排查：发现匿名会话或空会话相关行为时先收紧再深入分析
- 新机验收：作为装机基线核查项之一写入交付清单
核查与配置
核查与配置
# 查看当前四个相关取值
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' | Select-Object RestrictAnonymous, RestrictAnonymousSAM, EveryoneIncludesAnonymous, LimitBlankPasswordUse
# 对应策略：网络安全-不允许 SAM 账户和共享的匿名枚举 = 启用
# 网络访问-限制对命名管道和共享的匿名访问 = 启用
Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' -Name RestrictAnonymousSAM -Value 1 -Type DWord
# 相关注册表项修改后需要重启，验证要在重启之后再做四个取值的含义
| 取值 | 作用 | 建议 |
|---|---|---|
| RestrictAnonymous | 限制匿名枚举，受历史兼容性影响 | 按策略启用并重启验证 |
| RestrictAnonymousSAM | 禁止匿名枚举本地账号 | 启用 |
| EveryoneIncludesAnonymous | 匿名用户是否计入 Everyone 组 | 置 0 |
| LimitBlankPasswordUse | 限制空口令账号的网络登录 | 置 1 |
匿名枚举关闭后可能导致共享打印机、访客共享、部分老式备份软件异常：变更前先盘点依赖匿名访问的业务并准备回退方案。
域环境里本地注册表会被组策略覆盖：核查要以实际生效值为准，而不是只看配置文件或模板。