| 加固项 | UAC 令牌分离 |
|---|---|
| 适用平台 | Windows Server / Windows 10+ |
| 风险等级 | 中 |
| 基线 | EnableLUA=1；ConsentPromptBehaviorAdmin=2；PromptOnSecureDesktop=1 |
核查
核查
$k='HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System'
Get-ItemProperty $k | Select-Object EnableLUA, ConsentPromptBehaviorAdmin, PromptOnSecureDesktop修复（重启生效）
修复（重启生效）
Set-ItemProperty $k -Name EnableLUA -Value 1
Set-ItemProperty $k -Name ConsentPromptBehaviorAdmin -Value 2
Set-ItemProperty $k -Name PromptOnSecureDesktop -Value 1ConsentPromptBehaviorAdmin=0（不提示直接提升）等于废掉 UAC 的实质保护；自动化运维依赖无提示提权的场景要单独评估。