微软安全基线应用（SCT 体系）

微软按 Windows 版本发布官方安全基线（GPO 包+文档），是 Windows 加固的权威起点；结合 CIS 做差异裁剪，避免拍脑袋定标准。

加固项	基线来源与治理
适用平台	Windows Server / Windows 10+
风险等级	中
来源	Microsoft Security Compliance Toolkit / 对应版本 Security Baseline

落地节奏（配合 LGPO/SCCM/Intune）

1) 下载对应版本基线包，导入测试 OU/测试组
2) 2-4 周兼容性观察，收集业务阻塞项
3) 差异裁剪：业务必需项写豁免与补偿控制
4) 分批推生产，gpresult /h 抽验落地率
5) 基线随 Windows 版本更新滚动复评

gpresult /h C:\evidence\gpo.html
gpupdate /force
secedit /export /cfg C:\evidence\secpol.cfg /areas SECURITYPOLICY

官方基线同样有会误伤业务的条目（禁用凭据缓存、限制 LAN Manager 等）：必须走差异评估，不能全量照搬。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌