崩溃转储的风险
系统蓝屏时会把内存内容写到转储文件里，完整内存转储相当于在磁盘上留了一份可能包含凭据、密钥与业务数据的快照，而文件往往位于所有用户可读的目录。服务器上的合理配置是使用小内存转储，保留排障必需的信息量，同时把已存在的转储文件权限收紧或及时清理。
基本信息
| 加固项 | 内存转储收敛 |
|---|---|
| 适用平台 | Windows Server / Windows 10 及以上 |
| 基线取值 | CrashDumpEnabled = 3（小内存转储） |
| 默认位置 | C:\Windows\MEMORY.DMP 与 C:\Windows\Minidump |
| 关联项 | 转储文件访问权限与残留清理 |
| 风险等级 | 中 |
典型使用场景
- 服务器基线核查：确认没有开启完整内存转储
- 排障收尾：分析完的转储文件及时清理或归档到受控位置
- 敏感主机（域控、密钥与财务系统）：转储内容风险最高，要求更严
- 合规检查：核查转储文件的存在与访问权限
- 事后取证：确实需要保留时，按证据链要求控制访问与留存周期
核查与调整
核查与调整
# 查看当前转储配置
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\CrashControl' | Select-Object CrashDumpEnabled, DumpFile, MinidumpDir, AutoReboot
# 改为小内存转储（3）
Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\CrashControl' -Name CrashDumpEnabled -Value 3
# 核查遗留转储文件与权限
Get-ChildItem 'C:\Windows\MEMORY.DMP','C:\Windows\Minidump' -ErrorAction SilentlyContinue | Select-Object FullName, Length, LastWriteTime
icacls C:\Windows\MEMORY.DMP取值与服务器建议
| 取值 | 含义 | 建议 |
|---|---|---|
| 0 | 不创建转储 | 高安全且不需要本地排障的系统可选 |
| 1 | 完整内存转储 | 体积最大、含敏感数据，服务器不建议 |
| 2 | 内核内存转储 | 仍会保存内核内存内容，需谨慎评估 |
| 3 | 小内存转储 | 推荐默认值，满足多数排障需求 |
| 7 | 自动内存转储 | 部分版本默认值，按排障需求评估 |
排障期确需完整转储时临时调整，事情做完要恢复设置并清理含敏感内存的转储文件。
转储文件本身就是敏感数据：能读取 MEMORY.DMP 的人相当于拿到了一次内存快照。
关闭转储会削弱故障定位能力，调整前与运维及厂商支持确认，避免为了合规把排障手段全部砍掉。