| 加固项 | 凭据保护 |
|---|---|
| 适用平台 | Windows（域/域外） |
| 风险等级 | 中 |
| 基线 | 禁用不必要的凭据委托 |
GPO 核查
GPO 核查
# 计算机配置 → 管理模板 → 系统 → 凭据分配
# '允许委派保存的凭据' = 已禁用；'允许委派默认凭据' = 已禁用
# RDP：远程桌面会话主机 → 安全 → '远程(RDP)连接要求使用指定的安全层' = SSL
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' | Select-Object DisableRestrictedAdmin, DisableRestrictedAdminOutboundCreds连接方式：mstsc /restrictedAdmin /remoteGuard；Remote Credential Guard 在域内场景可让凭据不落在目标机。