在Windows服务器上，匿名用户枚举是一种常见的攻击手段，攻击者可以通过网络连接远程获取服务器上所有用户名列表，为后续的暴力破解和权限提升提供便利。要彻底禁止这种行为，最直接有效的方法就是修改注册表，将"RestrictAnonymousSAM"和"RestrictAnonymous"两个键值设置为1。具体操作路径是：打开注册表编辑器（regedit），定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa，找到RestrictAnonymousSAM和RestrictAnonymous这两个DWORD值，将它们的数据都改为1，重启服务器后立即生效。这是微软官方推荐的安全加固方式，也是等保测评中明确要求的一项配置。
什么是匿名枚举用户，为什么要禁止它
匿名枚举用户指的是未经身份验证的远程用户，通过SAM（Security Accounts Manager）数据库或共享资源，直接查询到服务器上存在哪些用户账户。在Windows系统中，默认情况下这个功能是开启的，任何人只要能连接到服务器的139端口或445端口，就能通过简单的网络请求获取完整的用户列表。这相当于把你家的门牌号全部暴露在外面，攻击者不需要任何凭证就能知道"谁住在这里"。
获取用户列表之后，攻击者可以针对已知用户名进行密码爆破，或者结合社工手段进行精准钓鱼。在实际的渗透测试案例中，超过60%的内网横向移动都是从匿名枚举用户名开始的。所以这一步看似简单，实际上是整个攻击链的起点。关闭它，就等于把攻击的第一扇门焊死了。
通过注册表禁止匿名枚举的完整步骤
第一步，以管理员身份打开注册表编辑器。按Win+R，输入regedit，回车。如果系统提示用户账户控制，点击"是"允许运行。
第二步，导航到以下路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
第三步，在右侧窗口中找到名为"RestrictAnonymousSAM"的DWORD值。如果不存在，右键新建一个DWORD（32位）值，命名为RestrictAnonymousSAM。双击它，将数值数据改为1，基数选择十六进制或十进制都可以，1就是1。
第四步，同样在这个路径下找到"RestrictAnonymous"这个DWORD值。如果不存在，同样新建一个。双击将数值数据改为1。
第五步，关闭注册表编辑器，重启服务器使配置生效。重启是必须的，因为LSA（Local Security Authority）进程在启动时才会读取这些键值。
用命令行批量修改注册表的方法
如果你管理的服务器数量很多，手动一台台改注册表效率太低。可以使用命令行批量操作，或者写成脚本统一部署。以下是用reg add命令实现的方式：
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v RestrictAnonymousSAM /t REG_DWORD /d 1 /f reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v RestrictAnonymous /t REG_DWORD /d 1 /f
这两行命令可以直接在管理员命令提示符下执行，/f参数表示强制覆盖不提示确认。如果要批量部署到多台机器，可以把这两行写进bat批处理文件，通过域策略或者远程执行工具分发。
另外也可以用PowerShell来实现：
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RestrictAnonymousSAM" -Value 1 -Type DWord Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RestrictAnonymous" -Value 1 -Type DWord
PowerShell方式更适合在自动化运维平台中集成，比如结合Ansible、SCCM或者其他配置管理工具使用。
这两个注册表键值的区别和作用
很多人只知道要改注册表，但不清楚RestrictAnonymousSAM和RestrictAnonymous到底分别控制什么。这里需要说清楚：
RestrictAnonymousSAM：这个键值专门控制通过SAM数据库进行匿名查询的行为。SAM数据库存储了所有本地用户账户的哈希值和基本信息。设为1之后，匿名用户无法通过网络请求读取SAM中的用户信息。
RestrictAnonymous：这个键值的控制范围更广，它限制的是匿名用户对整个系统的访问级别，包括共享资源、命名管道、以及其他系统对象的匿名访问。设为1之后，匿名用户连基本的系统信息都拿不到。
两个都设为1，才能做到真正的全面禁止。只改其中一个，防护是不完整的。这也是为什么等保测评和安全基线检查中，两个值都会被单独检查。
修改后需要注意的影响和兼容性问题
禁止匿名枚举并不是没有代价的，在某些场景下可能会影响正常业务。比如在域环境中，如果某些旧版应用程序依赖匿名方式获取用户列表来做身份验证，修改后可能会报错。还有一些网络打印机、老旧的文件共享设备，可能也需要匿名访问权限。
建议在生产环境修改之前，先在测试服务器上验证。修改后重点检查以下几个方面：域控制器之间的复制是否正常、文件共享访问是否受影响、第三方应用的登录功能是否正常。如果发现问题，可以通过白名单方式在防火墙层面做精细化控制，而不是回退注册表设置。
另外需要注意，Windows Server 2003、2008、2012、2016、2019、2022这些版本都支持这个注册表项，但在某些精简版或者定制镜像中，Lsa路径下可能缺少这两个键值，需要手动新建。
除了注册表，还有哪些配套的安全加固措施
光靠改注册表是不够的，匿名枚举只是攻击面的一个点。要真正把服务器安全做扎实，还需要配合以下措施：
第一，关闭不必要的端口。139和445端口是匿名枚举的主要通道，如果服务器不需要文件共享，直接在防火墙中禁用。可以通过Windows防火墙高级设置，入站规则中禁止TCP 139和TCP 445。
第二，禁用Guest账户。Guest账户默认是启用的，而且权限不受控制。在本地用户和组中找到Guest，右键属性，勾选"账户已禁用"。
第三，设置账户锁定策略。在本地安全策略（secpol.msc）中，配置账户锁定阈值为5次尝试，锁定时间设为30分钟。这样即使攻击者拿到了用户名，暴力破解也会被快速阻断。
第四，启用审计策略。在本地安全策略中开启"审核登录事件"和"审核账户管理"，这样任何枚举尝试都会被记录在安全日志中，方便事后追溯。
第五，定期更新系统补丁。微软每个月的补丁日都会修复大量安全漏洞，很多漏洞本身就可以绕过注册表限制进行信息泄露。保持系统更新是最基础也是最重要的安全习惯。
如何验证匿名枚举是否已被成功禁止
修改完成后，你需要验证配置是否真正生效。可以用以下几种方法测试：
方法一，使用系统自带的net命令。在另一台机器上执行：
net view \\目标服务器IP
如果返回"访问被拒绝"或者无法列出共享信息，说明匿名访问已经被限制。
方法二，使用enum4linux或者类似的枚举工具（在Linux环境下）。如果工具无法获取到用户列表，说明防护有效。注意这类测试要在授权范围内进行，不要在未授权的环境下对他人服务器做测试。
方法三，查看安全日志。开启审核后，尝试从另一台机器匿名访问，如果在安全日志中看到大量的失败审计事件（事件ID 4625、4648等），说明系统正在拦截匿名请求。
企业环境下的批量部署建议
对于有几十台甚至上百台Windows服务器的企业环境，手动改注册表显然不现实。推荐通过组策略（GPO）统一推送。在域控制器上创建一个新的GPO，路径是：计算机配置 → Windows设置 → 安全设置 → 注册表，添加两个注册表项，分别对应RestrictAnonymousSAM和RestrictAnonymous，值设为1。然后将这个GPO链接到包含所有服务器的OU（组织单位）上。
如果是非域环境，可以使用SCCM、PDQ Deploy或者其他终端管理工具，把reg add命令封装成部署包，定时推送到所有目标机器。部署后通过脚本自动检测键值是否正确，不合规的机器自动修复或者告警。
总结
禁止匿名枚举用户是Windows服务器安全加固中最基础也是最关键的一步。通过修改HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa路径下的RestrictAnonymousSAM和RestrictAnonymous两个DWORD值为1，可以从系统层面堵住信息泄露的口子。操作简单、效果立竿见影，而且不需要额外安装任何软件。但要记住，安全是一个体系，注册表只是其中一环，防火墙策略、账户管理、审计日志、系统更新缺一不可。把这些都做到位，你的服务器安全等级才能真正上一个台阶。
