# 用 PowerShell 一鍵檢查 Windows 伺服器嘅安全設定
做 IT 嘅朋友成日都要面對一個問題：部 Windows Server 到底安唔安全？有冇啲設定漏咗冇改？今日就同大家分享一個實用嘅方法，用 PowerShell 一鍵掃描成部伺服器嘅安全設定，等你可以快速揾出潛在風險。
## 點解要用 PowerShell 做安全檢查
手動逐項檢查 Windows 伺服器嘅安全設定，一來嘥時間，二來好容易漏。PowerShell 可以一次過讀取大量系統資訊，仲可以自動化執行，慳返唔少功夫。以下我會示範點樣寫一個簡單嘅安全掃描 script。
## 第一步：檢查帳户政策
首先我哋要睇下密碼政策同帳户鎖定政策有冇設定得夠嚴謹。用以下指令：
# 檢查密碼政策
Get-ADDefaultDomainPasswordPolicy | Format-List
# 檢查帳户鎖定政策
net accounts呢兩條指令會顯示密碼最長壽命、最短長度、鎖定閾值等關鍵參數。如果密碼最長壽命係 0（即係永不過期），咁就係一個安全風險。
## 第二步：檢查本機管理員羣組
好多時攻擊者會偷偷加自己入管理員羣組。用呢條指令睇下：
Get-LocalGroupMember -Group "Administrators"如果見到啲唔認識嘅帳户，就要即刻查清楚。
## 第三步：檢查防火牆狀態
Get-NetFirewallProfile | Select-Object Name, Enabled三個 profile（Domain、Private、Public）都應該係 Enabled。如果 Public profile 關咗，部機一連去公共網絡就好危險。
## 第四步：檢查 Windows Update 狀態
Get-Service -Name wuauserv | Select-Object Status, StartType更新服務應該係 Running 同 Automatic。如果停咗，部機就收唔到安全更新。
## 第五步：檢查遠端桌面設定
RDP 係攻擊者最鍾意嘅入口。檢查佢有冇開：
Get-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" -Name fDenyTSConnections如果 fDenyTSConnections 係 0，即係 RDP 開咗。如果唔需要，最好關咗佢。
## 總結
🔗 參考資料：NVD NIST 漏洞資料庫
以上五步只係基本檢查，但已經可以幫你揾出大部分常見嘅安全漏洞。建議大家將呢啲指令整合成一個 script，定期執行，咁就可以持續監察伺服器嘅安全狀況。記住，安全唔係一次過嘅事，而係一個持續嘅過程。
