Windows安全策略实战：使用bat reg add精确控制网络访问权限

1次阅读

共计 1952 个字符，预计需要花费 5 分钟才能阅读完成。

在企业内网环境中，控制特定用户或用户组对服务器的网络访问权限是常见的安全需求。传统做法是通过 GUI 界面（secpol.msc）逐个服务器配置，但存在以下问题：

操作繁琐，无法快速批量部署
配置过程难以标准化和版本控制
缺乏自动化校验机制
跨地域服务器维护成本高

组策略(GPO)
优点：集中管理，适合域环境
缺点：策略生效有延迟，调试复杂
注册表手动修改
优点：即时生效，精确控制
缺点：容易出错，无版本回溯
bat 脚本 +reg 命令
优点：可版本控制，支持批量部署
缺点：需处理权限问题

目标键值位于：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictRemoteSAM

数据类型：REG_SZ（字符串）
有效值：
""（空值）：默认允许所有用户
"S-1-5-32-544"：拒绝指定 SID（示例为 Administrators 组）

@echo off
SETLOCAL EnableDelayedExpansion

:: 检查管理员权限
net session >nul 2>&1
if %errorLevel% neq 0 (
    echo 请使用管理员权限运行此脚本
    pause
    exit /b 1
)

:: 配置要拒绝的 SID（此处拒绝 Guests 组）set "DENY_SID=S-1-5-32-546"

:: 备份原注册表项
reg export "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" _backup.reg >nul

:: 设置新值
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v RestrictRemoteSAM /t REG_SZ /d "%DENY_SID%" /f

if %errorLevel% equ 0 (echo [成功] 网络访问控制策略已更新
    echo 需要重启计算机或执行以下命令立即生效：echo gpupdate /force
) else (echo [错误] 注册表修改失败
    call :restore_backup
    exit /b 1
)

goto :eof

:restore_backup
reg import _backup.reg
del _backup.reg

权限继承
通过 icacls 命令确保注册表项继承 Administrators 组的完全控制权限
示例：icacls %WINDIR%\system32\config\system /grant Administrators:(F)
域环境特殊处理
使用域组 SID 而非本地组 SID
通过 whoami /all 查询域账户的完整 SID
审计日志
在脚本中添加日志记录功能

关键操作写入 Windows 事件日志：

eventcreate /ID 100 /L APPLICATION /T INFORMATION /SO "SecurityScript" /D "Network access policy modified"

系统位数差异
32 位系统需要额外处理 Wow6432Node 路径
使用 IF DEFINED PROCESSOR_ARCHITEW6432 判断 64 位系统
防误删机制

修改前创建系统还原点：

wmic.exe /Namespace:\\root\default Path SystemRestore Call CreateRestorePoint "Script Backup", 100, 7

批量部署注意
通过 PDQ Deploy 或 Ansible 等工具分发脚本
使用 psexec 远程执行时注意凭据传递安全

结合 PowerShell 可实现更灵活的控制：

# 查询现有配置
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' | Select RestrictRemoteSAM

# 批量修改多台服务器
$servers = 'SRV01','SRV02'
$newValue = 'S-1-5-21-3623811015-3361044348-30300820-1013'

Invoke-Command -ComputerName $servers -ScriptBlock {Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' -Name RestrictRemoteSAM -Value $using:newValue}