背景：https://learn.microsoft.com/zh-cn/compliance/regulatory/offering-cis-benchmark

CIS L2 镜像，指按‌互联网安全中心（CIS）Level 2 基准‌加固过的系统镜像，适用于对安全性要求较高、可接受一定功能或性能损耗的环境。它比 L1 更严格，通常用于生产或高敏感业务。

CIS 基准把安全配置分成两级：L1 是基本安全要求，几乎不影响功能；L2 则是面向高安全环境的严格加固，可能带来功能或可用性折损。 所谓“CIS L2 镜像”，就是预先按 L2 规则配置好的自定义镜像。

可以按自己安全需求做自定义镜像来使用。

CIS只在个别云厂商的云市场上架了L2镜像，CIS L1 、L2，有专用工具，这个工具可以方便地完成L2几百项策略导入，以及校验给出不符合要求的地方并生成一个报告，但工具是收费的

https://www.cisecurity.org/cybersecurity-tools/cis-cat-pro

这个工具有个免费版，功能受限，并不支持Windows Server
![企业微信截图_17920546188042.png](https://developer.qcloudimg.com/http-save/yehe-1009455/55dcfdd6b66b074a21f65d45b353224f.png)

所以，最终的安全加固镜像从实用角度还是微软那个安全工具包更有可操作性。

```请在此输入代码块语言
按如下步骤制作sysprep自定义安全镜像使用

Server 2025公共镜像购买机器（等4分钟左右完成初始化后登录到机器操作）
↓
参考微软官方安全合规工具包指南文档（中、英文）做初步安全配置，这是距离做出第一版 Windows Server 2025 安全镜像最稳健快捷的办法。

https://learn.microsoft.com/zh-cn/windows/security/operating-system-security/device-management/windows-security-configuration-framework/security-compliance-toolkit-10

https://learn.microsoft.com/en-us/windows/security/operating-system-security/device-management/windows-security-configuration-framework/security-compliance-toolkit-10
↓
Security Baseline下载
↓
LGPO下载
↓
Baseline导入
↓
重启
↓
自己进行安全合规验证
↓
根据安全需要，查漏补缺，额外加固，并根据远程需求调整远程配置
↓
Sysprep关机
↓
做镜像
```
应用微软安全工具包的简要步骤：
```请在此输入代码块语言
https://www.microsoft.com/en-us/download/details.aspx?id=55319
↓
下载"Windows Server 2025 Security Baseline - 2602.zip"、"LGPO.zip"
解压Baseline压缩包内容到C:\Baseline\
提取LGPO压缩包中的LGPO.exe到C:\Baseline\Scripts\Tools\LGPO.exe
↓
管理员身份powershel执行：

Set-ExecutionPolicy Bypass -Scope Process

cd C:\Baseline\Scripts

.\Baseline-LocalInstall.ps1 -WSNonDomainJoined

gpupdate /force

shutdown /r /t 0

↓
安全合规验证，调整远程登录可用性
↓
Sysprep关机
↓
已关机状态下在控制台点制作镜像按钮完成镜像制作
```
声明：导入的是Microsoft Security Baseline，不是CIS L2（需要第三方付费会员），但实际效果已经覆盖：
```请在此输入代码块语言
密码策略
账户锁定
审计策略
Defender
Credential Guard
Firewall
安全选项
大量GPO配置
```
通常已经能完成 70%-90% 的企业安全基线要求。

sysprep用法：http://windows-1251783334.cos.ap-shanghai.myqcloud.com/sysprep.zip 解压后的2个文件，管理员cmd里这样调用
```请在此输入代码块语言
RunSysprep.bat unattend_en.xml
```

**如果必须满足CIS L2 要求，那就从有CIS L2镜像的云厂商，用L2镜像购买1台机器，这样，环境就有了，然后go2tencentcloud在线迁移到腾讯云，会更简捷一些，如果在线迁移行不通，可以将对方环境用微软的disk2vhd导出成.vhd文件上传到腾讯云cos，再用cos url导入自定义镜像来得到对方环境(导入时注意下图圈出的关键位置，要强制导入，并且启动模式要选对)。**
![image.png](https://developer.qcloudimg.com/http-save/yehe-1009455/98464943b0a538dfaf06c039b997827f.png)

背景：https://learn.microsoft.com/zh-cn/compliance/regulatory/offering-cis-benchmark

使用微软安全合规工具包制作自定义安全镜像

CIS L2 加固镜像，没有，退而求其次，用微软安全合规工具包来加固，简捷实用。

AAAAA

运维

云计算

操作系统

CISL2镜像是按CIS Level2基准加固的系统镜像，适合高安全环境，但比L1更严格，可能影响功能或性能。CIS官网工具可导入策略并校验，但收费且免费版不支持Windows。制作Server2025安全镜像推荐用微软安全合规工具包，覆盖70%-90%企业安全要求，结合Sysprep制作自定义镜像。

4核4G3M云服务器 新用户低至38元/年！

对象存储COS新用户低至1元！


文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

使用微软安全合规工具包制作自定义安全镜像-腾讯云开发者社区-腾讯云

使用微软安全合规工具包制作自定义安全镜像

使用微软安全合规工具包制作自定义安全镜像

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐