远程注册表服务的风险
Remote Registry 服务允许远程读取与修改注册表，是横向移动与信息收集时常用的组件：攻击者拿到一组凭据后，可以直接读取远端主机的配置内容与凭据线索。服务器上这个能力基本没有必需场景，禁用之后要立即复核启动类型，因为部分管理软件会把它改回自动。
基本信息
| 加固项 | 远程管理组件收敛 |
|---|---|
| 适用平台 | Windows Server 与 Windows 10 及以上 |
| 基线取值 | RemoteRegistry 服务启动类型为禁用 |
| 常见冲突 | 部分资产管理与监控软件依赖该服务 |
| 核查命令 | Get-Service 与 sc qc |
| 风险等级 | 中 |
典型使用场景
- 服务器基线：作为默认禁用项纳入加固清单
- 事件处置：日志里出现远程注册表访问行为，先关服务再排查
- 管理软件冲突处理：确认管理平台是否真的需要该能力
- 新机交付：写入装机流程，避免新机器回到默认状态
- 定期复查：管理软件或补丁会把启动类型改回去，需要周期性核对
核查与禁用
核查与禁用
# 核查当前状态
Get-Service RemoteRegistry | Select-Object Name, Status, StartType
# 停止并改为禁用
Stop-Service RemoteRegistry -Force -ErrorAction SilentlyContinue
Set-Service RemoteRegistry -StartupType Disabled
# 复核，并用 sc qc 确认配置落盘
Get-Service RemoteRegistry | Select-Object Name, Status, StartType
sc.exe qc RemoteRegistry启动类型判读
| StartType | 含义 | 期望 |
|---|---|---|
| Automatic | 随系统启动 | 服务器上不应出现 |
| Manual | 按需拉起 | 需确认是否被管理软件使用 |
| Disabled | 禁用 | 期望值 |
| 复查后仍为 Disabled | 加固落地确认 | 一周内复查一次 |
部分资产管理、监控与补丁软件依赖远程注册表，禁用前先和管理平台负责人确认能力边界。
禁用后远程注册表查询失败属预期现象，提前给运维团队发变更通知，避免被误判为故障。
这条容易被管理软件改回去，整改后需要在一周内复查一次启动类型。
落地检查点
- 确认管理平台是否存在对该服务的依赖，必要时记录例外
- 禁用后立即用 sc qc 复核配置落盘
- 向运维团队通报变更，避免远程查询失败被当作新故障
- 整改后一周内复查启动类型，确认没有被改回自动