为什么盯着本地管理员组
本地 Administrators 组决定单机上的最高权限。组成员越多，单机沦陷后的横向范围越大：攻击者拿到任意一个成员的口令，就能在机器上安装服务、读取系统凭据并发起横向移动。域环境里常见的问题包括遗留的运维账号、装机时创建的临时账号，以及口令长期不轮换、LAPS 未覆盖的机器。
基本信息
| 检查对象 | 本地 Administrators 组成员 |
|---|---|
| 常用命令 | Get-LocalGroupMember、net localgroup |
| 治理工具 | Windows LAPS 实现本地管理员口令自动轮换 |
| 目标状态 | 每台机器仅保留受管账号 |
| 审计方式 | 定期导出成员清单与基线比对 |
典型使用场景
- 新机交付：确认装机过程中没有留下临时管理员账号
- 权限治理：把个人账号从本地管理员组移出，改用受管管理账号
- 口令轮换：用 LAPS 消除全网本地管理员同口令的问题
- 离职与转岗：核对成员清单，清理已不适用的账号
- 审计取证：导出成员清单并存档，作为权限最小化的证据
核查命令
核查命令
# 本地管理员组
Get-LocalGroupMember -Group Administrators
net localgroup administrators # 与上面命令交叉验证
# 关注点：内置 Administrator 之外的意外账号、已停用但仍在组的账号
# 批量核查可结合远程管理通道执行，并在变更管理系统中留存输出治理要点
治理要点
1. 每台机器仅保留受管账号，个人账号一律移出
2. 部署 LAPS 实现本地管理员口令自动轮换
3. 管理操作使用独立管理账号，日常账号不带管理权限
4. 定期导出成员清单与基线比对，差异触发复核
5. 变更（装机、离职、外包进场）后即时复查，不等下个季度常见问题与处理
| 问题 | 风险 | 处理 |
|---|---|---|
| 遗留运维账号 | 口令长期不变，无人看管 | 确认用途后移出或改为受管账号 |
| 装机临时账号 | 口令简单且常被写进文档 | 交付前统一清理并记录 |
| LAPS 未覆盖 | 部分机器仍用统一口令 | 补齐策略范围并验证生效 |
| 个人账号在组 | 离职即成为后门 | 与人事流程联动清理 |
LAPS 的价值在于消除『全网本地管理员同口令』这一横向移动放大器：一台机器被攻陷后，同口令无法直接打开其他机器，攻击成本显著提高。
核查时要注意内置 Administrator 账号的状态：即使已重命名或禁用，也应确认其是否仍可被启用，以及是否有其他等价的高权限账号。