关机清理页面文件是什么
页面文件把内存中不常用的数据换出到磁盘，进程运行期间的凭据、密钥与业务数据都可能留在其中。系统正常关机时不会主动擦除这些残留，攻击者拿到磁盘后可以离线分析出敏感内容。启用关机清理后，系统在关机流程中用零覆盖页面文件，降低这类残留风险，代价是关机时间变长。
基本信息
| 加固项 | 页面文件与内存残留控制 |
|---|---|
| 适用平台 | Windows Server、Windows 10 及以上 |
| 风险等级 | 低 |
| 关键取值 | ClearPageFileAtShutdown = 1 |
| 替代方案 | 全盘加密（BitLocker 等） |
典型使用场景
- 高安全主机基线：没有全盘加密的环境用关机清理兜底
- 物理访问受限场景：托管机房、运维人员可接触硬盘的部署
- 合规核查：确认内存残留清理策略已配置并有记录
- 排障权衡：关机特别慢的服务器评估改用磁盘加密替代
- 变更管理：域环境通过安全选项统一下发，避免逐台手改
设置与核查
设置与核查
# 查看与设置关机清理开关
$k = 'HKLM:\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management'
Get-ItemProperty $k -Name ClearPageFileAtShutdown
Set-ItemProperty $k -Name ClearPageFileAtShutdown -Value 1 -Type DWord
# 域环境：安全选项-关机：清除虚拟内存页面文件 = 启用
# 验证方式：关机耗时明显增加，属于预期行为而非故障相关项对照
| 项 | 含义 | 建议 |
|---|---|---|
| ClearPageFileAtShutdown | 关机时用零覆盖页面文件 | 未加密环境设为 1 |
| 休眠文件 | 休眠会把内存镜像写入磁盘 | 服务器通常禁用休眠 |
| 崩溃转储 | 蓝屏时写入内存镜像 | 改用小转储并收紧目录权限 |
| 全盘加密 | 覆盖静态数据泄露风险 | 已部署时可评估免用清理 |
清理会延长关机时间，页面文件较大时可达数十秒：自动化关机脚本与维护窗口要留出余量。
该设置只覆盖正常关机流程：断电与蓝屏不会触发清理，根本手段仍然是磁盘加密。