用权限设置软件设置后，部分目录需要设置下安全权限
不要执行2016的专用权限 会造成日志不停报错，软件保护服务(software protection)不停的重启,每30秒就重启一次

删除C:\Users和C:\Users\Default目录的E权限
C:\Users\Default的权限应用到子目录
 

Users的特殊权限:该文件夹和子文件夹的2个创建，有的权限不能修改要先禁用续承

 在没执行2016专用权限的情况下后我们需要操作：
C:\Windows\system32\CatRoot2 权限应用到子目录
C:\Windows\System32\catroot2\{127D0A1D-4EF2-11D1-8608-00C04FC295EE}和内catdb文件 删除NETWORK SERVICE
C:\Windows\System32\catroot2\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}和内catdb文件 删除NETWORK SERVICE
C:\Windows\Vss 权限：A和S完全、U的读取和执行 将权限应用到子目录
C:\Windows\Vss\Writers 原有权限还有LOCAL SERVICE/NETWORK SERVICE/Backup Operators 完全(删除掉）
C:\Windows\tracing 权限：A和S完全、U的读取
C:\Windows\Tasks 权限是：A和S完全权限，CREATOR OWNER对仅子文件夹和文件的完全权限，Authenticated Users对只有该文件夹的遍+列+2读+读取(删除创建)
C:\Windows\Tasks\SA.DAT 权限是：A和S完全权限，Authenticated Users读取
C:\Windows\SysWOW64\Tasks 权限是：A和S完全权限，CREATOR OWNER对仅子文件夹和文件的完全权限，NETWORK SERVICE/LOCAL SERVICE/Authenticated Users是读取(大类)
C:\Windows\SysWOW64\Tasks\Microsoft\Windows\RemoteApp and Desktop Connections Update A和S完全权限，CREATOR OWNER对仅子文件夹和文件的完全权限，NETWORK SERVICE/LOCAL SERVICE/Authenticated Users是读取(大类)
C:\Windows\SysWOW64\Tasks\Microsoft\Windows\PLA 参考上面的权限,但是增加了Performance Log Users的读取和执行(删除创建文件/写入数据)
C:\Windows\SysWOW64\Tasks\Microsoft\Windows\PLA\System 参考上面的权限,又多了个E的读取和执行(将E删除)
C:\Windows\System32\Tasks A和S完全权限，CREATOR OWNER对仅子文件夹和文件的完全权限，NETWORK SERVICE/LOCAL SERVICE/Authenticated Users是读取(大类)
C:\Windows\System32\Tasks\Microsoft A和S完全权限，CREATOR OWNER对仅子文件夹和文件的完全权限，NETWORK SERVICE/LOCAL SERVICE/Authenticated Users是读取(大类)
C:\Windows\System32\Tasks\Microsoft\Windows\PLA 参考上面的权限,但是增加了Performance Log Users的读取和执行(删除创建文件/写入数据)
C:\Windows\System32\Tasks\Microsoft\Windows\PLA\System 参考上面的权限,又多了个E的读取和执行(将E删除)
C:\Windows\System32\Tasks\Microsoft\Windows\WindowsColorSystem\Calibration Loader 权限：A和S完全、U读取
‪C:\Windows\System32\Tasks\Microsoft\Windows\RemoteApp and Desktop Connections Update A和S完全权限，CREATOR OWNER对仅子文件夹和文件的完全权限，NETWORK SERVICE/LOCAL SERVICE/Authenticated Users是读取(大类)
C:\Windows\SysWOW64\wbem\Logs 权限：A和S完全、U的读取和执行
C:\Windows\System32\wbem\Logs 权限：A和S完全、U的读取和执行
C:\Windows\System32\spool\drivers\color 取消U的执行 保留A和S用户,其他用户删除
C:\Windows\System32\Ipmi 权限：A和S完全、U的读取和执行
C:\Windows\SysWOW64\Ipmi 权限：A和S完全、U的读取和执行
C:\Windows\System32\ias 删除NETWORK SERVICE的写入权限
C:\Windows\serviceProfiles\NetworkService 改NETWORK SERVICE列+读+写
C:\Windows\System32\LogFiles\WMI 改LOCAL SERVICE/NETWORK SERVICE/Performance Log Users只保留读取和写入
C:\Windows\Logs\MeasuredBoot 改NET列+读+写 删除LOCAL SERVICE用户
C:\Users\All Users\Microsoft和C:\Users\All Users\Application Data\Microsoft如果是WIN2019要注意这个目录下的所有子目录删除E的权限
C:\Users\All Users\Microsoft\DeviceSync 改E只保留读取和写入(取消执行、更改、所有权)
C:\Users\All Users\Microsoft\Windows\WER 删除E用户，U的读取和执行
C:\Users\All Users\Microsoft\Windows\DeviceMetadataCache\dmrccache 删除ALL和E用户,U不能有执行权限
C:\Users\All Users\Microsoft\User Account Pictures 改U的读取和执行，删除E用户
C:\Users\All Users\Microsoft\NetFramework\BreadcrumbStore 改U的读取和执行，删除E用户
C:\Users\All Users\Microsoft\RAC\Temp 改NETWORK SERVICE读取和执行
C:\Users\All Users\Microsoft\RAC\PublishedData 改NETWORK SERVICE读取和执行

2019更新(WIN2019)
C:\Windows\WinSxS\amd64_microsoft-windows-i..cyscripts.resources_31bf3856ad364e35_10.0.17763.1_zh-cn_6879ca8149ba47ca\adsutil.ini取消E运行权限
C:\Users\All Users\USOShared\Logs取消U的写

2020更新(WIN2019)
C:\Windows\System32\Tasks\Microsoft\Windows\Speech\HeadsetButtonPress对Authenticated Users保留读取
C:\Windows\System32\Tasks\Microsoft\Windows\Speech\SpeechModelDownloadTask对NETWORK读取和执行
C:\Windows\SysWOW64\Tasks\Microsoft\Windows\RemoteApp and Desktop Connections Update对Authenticated Users、LOCAL SERVICE、NETWORK SERVICE读取(大类)
C:\Windows\System32\Tasks\Microsoft\Windows\File Classification Infrastructure\Property Definition Syn对Authenticated Users保留读取
C:\Users\All Users\Microsoft\User Account Pictures删除U的创建
C:\Windows\Vss\Writers\System对NETWORK SERVICE、Backup Operators、LOCAL SERVICE读取和执行
C:\Windows\Vss\Writers\Application对NETWORK SERVICE、Backup Operators、LOCAL SERVICE读取和执行
C:\Users\All Users\Microsoft\Windows Defender\Clean Store对NETWORK SERVICE读取和写入

更多服务器系统安全知识，请访问互联时空服务器安全学院https://www.comsz.com.cn   互联时空.COM   深圳服务器.COM