最新Windows安全配置規(guī)范資料

1、精品文檔Windows 安全配置規(guī)范2010年11月第1章概述1.1適用范圍本規(guī)范明確了 Windows操作系統(tǒng)在安全配置方面的基本要求，可作為編制 設(shè)備入網(wǎng)測試、安全驗收、安全檢查規(guī)范等文檔的參考。適用于中國電信所有運行的 Windows操作系統(tǒng)，包括 Windows 2000、 Windows XP、 Windows2003, Windows7 , Windows 2008 以及各版本中的 Severn Professional 版本。第2章安全配置要求2.1賬號編號：1要求內(nèi)容應(yīng)按照不同的用戶分配不同的賬號，避免不同用戶間共享賬號， 避免用戶賬號和設(shè)備間通信使用的賬號共享。操作指南1、參

2、考配置操作進入“控制面板，管理工具，計算機管理”，在“系統(tǒng)工具-本地用戶和組”：根據(jù)系統(tǒng)的要求，設(shè)定不同的賬戶和賬戶組。檢測方法1、判定條件結(jié)合要求和實際業(yè)務(wù)情況判斷符合要求，根據(jù)系統(tǒng)的要求，設(shè)定不同的賬戶和賬戶組2、檢測操作進入“控制面板，管理工具，計算機管理”，在“系統(tǒng)工具-本地用戶和組”：查看根據(jù)系統(tǒng)的要求，設(shè)定不同的賬戶和賬戶組編號：2要求內(nèi)容應(yīng)刪除與運行、維護等工作無關(guān)的賬號。操作指南1.參考配置操作A）可使用用戶管理工具：開始-運行-compmgmt.msc-本地用戶和組-用戶B）也可以通過net命令：刪除賬號：net user account/de1停用 : net user a

3、ccount/active:no檢測方法1 .判定條件結(jié)合要求和實際業(yè)務(wù)情況判斷符合要求，刪除或鎖定與設(shè)備運行、維護等與工作無關(guān)的賬號。注：主要指測試帳戶、共享帳號、已經(jīng)不用賬號等2 .檢測操作開始-運行-compmgmt.msc-本地用戶和組-用戶編號：3要求內(nèi)容重命名 Administrator ;禁用guest （來兵）帳號。操作指南1、參考配置操作進入“控制面板，管理工具，計算機管理”，在“系統(tǒng)工具-本地用戶和組”：Administrator 屬性一 更改名稱Guest帳號-屬性一 已停用檢測方法1、判定條件缺省賬戶Administrator名稱已更改。Guest帳號已停用。2、檢測操

4、作進入“控制面板，管理工具，計算機管理”，在“系統(tǒng)工具-本地用戶和組”：缺省帳戶一 屬性一 更改名稱Guest帳號->屬性一 > 已停用2.2 口令編號：1要求內(nèi)容管他長度要求：取少 8位密碼復(fù)雜度要求：至少包含以卜四種類別的字符中的三種：英語大寫字母 A, B, C,Z英語小寫字母 a, b, c,z阿拉伯數(shù)字0,1,2,9非字母數(shù)字字符，如標點符號，, #, $, %, &, *等操作指南1、參考配置操作進入“控制面板，管理工具，本地安全策略”，在“帳戶策略，密碼策略”：“密碼必須符合復(fù)雜性要求”選擇“已啟動”檢測方法1、判定條件“密碼必須符合復(fù)雜性要求”選擇“已啟動”

5、2、檢測操作進入“控制面板，管理工具，本地安全策略”，在“帳戶策略，密碼策略”：查看是否“密碼必須符合復(fù)雜性要求”選擇“已啟動”編號：2要求內(nèi)容對于米用靜態(tài)口令認證技術(shù)的設(shè)備，賬戶口令的生存期不長于90天。操作指南1、參考配置操作進入“控制面板，管理工具，本地安全策略”，在“帳戶策略，密碼策略”：“密碼最長存留期”設(shè)置為“90天”檢測方法1、判定條件“密碼最長存留期”設(shè)置為“90天”2、檢測操作進入“控制面板，管理工具，本地安全策略”，在“帳戶策略，密碼策略”：查看是否“密碼最長存留期”設(shè)置為“90天”編號：3要求內(nèi)容對于米用靜態(tài)口令認證技術(shù)的設(shè)備，應(yīng)配置設(shè)備，使用戶不能重復(fù)使用最近5次（含5

6、次）內(nèi)已使用的口令。操作指南1、參考配置操作進入“控制面板，管理工具，本地安全策略”，在“帳戶策略，密碼策略”：“強制密碼歷史”設(shè)置為“記住5個密碼”檢測方法1、判定條件“強制密碼歷史”設(shè)置為“記住5個密碼”2、檢測操作進入“控制面板，管理工具，本地安全策略”，在“帳戶策略，密碼策略”：查看是否“強制密碼歷史”設(shè)置為“記住5個密碼”編號：4要求內(nèi)容對于米用靜態(tài)口令認證技術(shù)的設(shè)備，應(yīng)配置當用戶連續(xù)認證失敗次數(shù)超過6次（不含6次），鎖定該用戶使用的賬號。操作指南1、參考配置操作進入“控制面板，管理工具，本地安全策略”，在“帳戶策略，帳戶鎖定策略”：“賬戶鎖定閥值”設(shè)置為 6次檢測方法1、判定條件“

7、賬戶鎖定閥值”設(shè)置為小于或等于6次2、檢測操作進入“控制面板，管理工具，本地安全策略”，在“帳戶策略，帳戶鎖定策略”：查看是否“賬戶鎖定閥值”設(shè)置為小于等于6次補充說明：設(shè)置不當可能導(dǎo)致賬號大面積鎖定，在域環(huán)境中應(yīng)小心設(shè)置，Administrator賬號本身不會被鎖te。2.3授權(quán)編號：1要求內(nèi)容本地、遠端系統(tǒng)強制關(guān)機只指派給Administrators 組。操作指南1、參考配置操作進入“控制面板-> 管理工具-> 本地安全策略”，在“本地策略-> 用戶權(quán)利指派”：關(guān)閉系統(tǒng)設(shè)置為只指派給Administrators 組“從遠程系統(tǒng)強制關(guān)機”設(shè)置為“只指派給Administra

8、tors 組”檢測方法1、判定條件關(guān)閉系統(tǒng)設(shè)置為只指派給 Administrators 組“從遠端系統(tǒng)強制關(guān)機”設(shè)置為“只指派給Administrtors 組”2、檢測操作進入“控制面板-> 管理工具-> 本地安全策略”，在“本地策略-> 用戶權(quán)利指派”：查看關(guān)閉系統(tǒng)設(shè)置為只指派給Administrators 組查看是否“從遠端系統(tǒng)強制關(guān)機”設(shè)置為“只指派給Administrators 組”編號：2要求內(nèi)容在本地安全設(shè)置中取得文件或其它對象的所有權(quán)僅指派給Administrators 。操作指南1、參考配置操作進入“控制面板-> 管理工具-> 本地安全策略”，在“

9、本地策略-> 用戶權(quán)利指派”：“取得文件或其它對象的所有權(quán)”設(shè)置為“只指派給Administrators 組”檢測方法1、判定條件“取得文件或其它對象的所有權(quán)”設(shè)置為“只指派給Administrators 組”2、檢測操作進入“控制面板-> 管理工具-> 本地安全策略”，在“本地策略-> 用戶權(quán)利指派”：查看是否“取得文件或其它對象的所有權(quán)”設(shè)置為“只指派給Administrators 組”編號：3要求內(nèi)容在本地安全設(shè)置中只允許授權(quán)帳號本地、遠程訪問登陸此計算機。操作指南1、參考配置操作進入“控制面板-> 管理工具-> 本地安全策略”，在“本地策略->

10、 用戶權(quán)利指派”“從本地登陸此計算機”設(shè)置為“指定授權(quán)用戶”“從網(wǎng)絡(luò)訪問此計算機”設(shè)置為“指定授權(quán)用戶”檢測方法1、判定條件“從本地登陸此計算機”設(shè)置為“指定授權(quán)用戶”“從網(wǎng)絡(luò)訪問此計算機”設(shè)置為“指定授權(quán)用戶”2、檢測操作進入“控制面板-> 管理工具-> 本地安全策略”，在“本地策略-> 用戶權(quán)利指派”查看是否“從本地登陸此計算機”設(shè)置為“指定授權(quán)用戶”查看是否“從網(wǎng)絡(luò)訪問此計算機”設(shè)置為“指定授權(quán)用戶”2.4 補丁編號：1要求內(nèi)容在不影響業(yè)務(wù)的情況下，應(yīng)安裝最新的Service Pack補丁集。對服務(wù)器系統(tǒng)應(yīng)先進行兼容性測試。操作指南1、參考配置操作女裝最新的Servic

11、e Pack補丁集，以及最新的Hotfix補丁。目前 Windows XP 的 Service Pack 為 SP3。Windows2000 的 Service Pack 為 SP4,Windows 2003 的 ServicePack 為 SP2檢測方法1、判定條件2、檢測操作進入控制面板- 添加或刪除程序- 顯示更新打鉤，查看是否XP系統(tǒng)已安裝 SP3, Win2000系統(tǒng)已安裝 SP4, Win2003系統(tǒng)已安裝 SP2。同時檢查所有的hotfix ,并查看系統(tǒng)安裝的最舟-個補丁的發(fā)布日期是否與最近最新發(fā)布的補丁日期一致。2.5防護軟件編號：1 （可選）要求內(nèi)容啟用自帶防火墻或安裝第三方

12、威脅防護軟件。根據(jù)業(yè)務(wù)需要限定允許訪問網(wǎng)絡(luò)的應(yīng)用程序，和允許遠程登陸該設(shè)備的IP地址范圍。操作指南1、參考配置操作（以啟動自帶防火墻為例）進入“控制面板 網(wǎng)絡(luò)連接 本地連接"，在高級選項的設(shè)置中啟用Windows防火墻。在“例外”中配置允許業(yè)務(wù)所需的程序接入網(wǎng)絡(luò)。在“例外-編輯-更改范圍”編輯允許接入的網(wǎng)絡(luò)地址范圍。檢測方法1、判定條件啟用Windows防火墻。“例外”中允許接入網(wǎng)絡(luò)的程序均為業(yè)務(wù)所需。2、檢測操作進入“控制面板 網(wǎng)絡(luò)連接 本地連接"，在高級選項的設(shè)置中，查有是否啟用 Windows防火墻。查看是否在“例外”中配置允許業(yè)務(wù)所需的程序接入網(wǎng)絡(luò)。查看是否在“例外

13、-編輯-更改范圍”編輯允許接入的網(wǎng)絡(luò)地址范 圍。2.6防病毒軟件編號：1要求內(nèi)容安裝防病毒軟件，并及時更新。操作指南1、參考配置操作安裝防病毒軟件，并及時更新。檢測方法1、判定條件已安裝放病毒軟件，病毒碼更新時間不早于 1個月，各系統(tǒng)病毒碼升級時間要求參見各系統(tǒng)相關(guān)規(guī)定。2、檢測操作控制面板- 添加或刪除程序，是否安裝有防病毒軟件。打開防病毒軟件控制面板，查看病毒他更新日期。2.8日志安全要求編寫：1要求內(nèi)容設(shè)備應(yīng)配置日志功能， 對用戶登錄進行記錄， 錄使用的賬號，登錄是否成功，登錄時間，以及i 使用的IP地址。記錄內(nèi)容包括用戶登近程登錄時，用戶操作指南1、參考配置操作開始->運行-&g

14、t; 執(zhí)行“控制面板，管理工具-> 本地安全策略，審核策略”審核登錄事件，雙擊，設(shè)置為成功和失敗都審核。檢測方法1、判定條件審核登錄事件，設(shè)置為成功和失敗都審核。2、檢測操作開始->運行-> 執(zhí)行“控制面板，管理工具-> 本地安全策略，審核策略”審核登錄事件，雙擊，查看是否設(shè)置為成功和失敗都審核。編號：2要求內(nèi)容開啟審核策略，以便出現(xiàn)安全問題后進行追查操作指南1、參考配置操作對審核策略進行檢查：開始-運行-gpedit.msc計算機配置-Windows 設(shè)置-安全設(shè)置-本地策略-審核策略以卜審核是必須開啟的，其他的可以根據(jù)需要增加：審核系統(tǒng)登陸事件成功，失敗審核帳戶管理

15、成功，失敗審核登陸事件成功，失敗審核對象訪問成功審核策略更改成功，失敗審核特權(quán)使用成功，失敗審核系統(tǒng)事件成功，失敗2、補充說明可能會使日志量猛增檢測方法1、判定條件嘗試對被添加了訪問審核的對象進行訪問，然后查看安全日志中是否會有相關(guān)記錄， 或通過其他手段激化以配置的審核策略，并觀察日志中的記錄情況，如果存在記錄條目，則配置成功。2、檢測操作編號：3要求內(nèi)容設(shè)置日志容量和覆蓋規(guī)則，保證日志存儲操作指南1、參考配置操作開始-運行-eventvwr右鍵選擇日志，屬性，根據(jù)實際需求設(shè)置：日志文件大小超過上線時的處理方式（建議日志記錄天數(shù)不小于60天）2、補充說明建議對每個日志均進行如上操作，同時應(yīng)保證

16、磁盤空間檢測方法1、判定條件2、檢測操作開始-運行-eventvwr,右鍵選擇日志，屬性，查有日志上線及超過上線時的處理力式2.7 Windows®務(wù)編號：1要求內(nèi)容關(guān)閉不必要的服務(wù)操作指南1、參考配置操作進入“控制面板-管理工具-計算機管理”，進入“服務(wù)和應(yīng)用程序”：查看所有服務(wù)，不在此列表的服務(wù)需關(guān)閉。可禁用的服務(wù)及其相關(guān)說明如 附表所示檢測方法1、判定條件系統(tǒng)管理員應(yīng)出具系統(tǒng)所必要的服務(wù)列表。查看所有服務(wù)，不在此列表的服務(wù)需關(guān)閉。2、檢測操作進入“控制面板-管理工具-計算機管理”，進入“服務(wù)和應(yīng)用程序”：查看所有服務(wù)，不在此列表的服務(wù)是否已關(guān)閉。編號：2要求內(nèi)容如需啟用SNMP

17、服務(wù)，則修改默認的SNMP Community String設(shè)置。操作指南1、參考配置操作打開控制面板”，打開管理工具”中的服務(wù)"，找到“SNMPService，”單擊右鍵打開 屬性”面板中的 安全”選項卡，在這個配置 界面中，可以修改 community strings,也就是微軟所說的 團體名 稱"。檢測方法1、判定條件community strings 已改，不是默認的“ public”2、檢測操作打開控制面板”，打開管理工具”中的服務(wù)"，找到“SNMPService，”單擊右鍵打開 屬性”面板中的 安全”選項卡，在這個配置 界面中，查看community

18、strings ,也就是微軟所說的 團體名稱。編號：3要求內(nèi)容如對互聯(lián)網(wǎng)開放 WindowsTerminial服務(wù)(Remote Desktop),需修改默認服務(wù)端口。操作指南1、參考配置操作運行Regedt32并轉(zhuǎn)到此項：HKEY_LOCAL_MACHINESystemCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp找至ij “PortNumber”子項，會看到默認值 00000D3D ,它是3389的十六進制表示形式。使用十六進制數(shù)值修改此端口號，并保存新值。檢測方法1、判定條件找至ij “ PortNumber”子項，設(shè)定

19、值非 00000D3D ,即十進制33892、檢測操作運行Regedt32找到此項并判斷。2.8啟動項要求內(nèi)容關(guān)閉無效啟動項操作指南1、參考配置操作“開始->運行->MSconfig ”啟動菜單中，取消不必要的啟動項。檢測方法1、判定條件2、檢測操作系統(tǒng)管理員提供業(yè)務(wù)必須的自動加載進程和服務(wù)列表文檔。查有開始->運行->MScon巾g 啟動來單：不需要的自動加載進程是否已禁用和取消。2.9 關(guān)閉自動播放功能編號：1要求內(nèi)容關(guān)閉Windows自動播放功能操作指南1、參考配置操作點擊開始一運行一輸入gpedit.msc,打開組策略編輯器，瀏覽到計算機配置一管理模板一系統(tǒng)，在

20、右邊窗格中雙擊關(guān)閉自動播放”，對話框中選擇所有驅(qū)動器，確定即可。檢測方法1、判定條件所有驅(qū)動器均 關(guān)閉自動播放”2、檢測操作關(guān)閉自動播放”配置已啟用，啟用范圍：所有驅(qū)動器。2.10 共享文件夾編號：1要求內(nèi)容關(guān)閉Windows硬盤默認共享，例如 C$, D$。操作指南1、參考配置操作進入“開始 運行Regedit ”，進入注冊表編輯器，更改注冊表鍵值：在 HKLMSystemCurrentControlSet下，增力口 REG_DWORD 類型的AutoShareServer 鍵，值為 0。檢測方法1、判定條件HKLMSystemCurrentControlSet增加了 REG_DWORD 類

21、型的 AutoShareServer 鍵，值為 0。2、檢測操作進入“開始 運行Regedit ”，進入注冊表編輯器，更改注冊表鍵值：增力口 REG_DWORD 類型的 AutoShareServer 鍵，值為 0。編號：2要求內(nèi)容設(shè)置共享文件夾的訪問權(quán)限，只允許授權(quán)的賬戶擁有權(quán)限共享此文件夾。操作指南1、參考配置操作進入“控制面板，管理工具-計算機管理”，進入“系統(tǒng)工具 共享文件夾”：查看每個共享文件夾的共享權(quán)限，只將權(quán)限授權(quán)于指定賬戶。檢測方法1、判定條件查看每個共享文件夾的共享權(quán)限僅限于業(yè)務(wù)需要，不設(shè)置成為" ”everyone。2、檢測操作進入“控制面板，管理工具-計算機管理

22、”，進入“系統(tǒng)工具 共享文件夾”：查看每個共享文件夾的共享權(quán)限。2.11 使用NTFS文件系統(tǒng)要求內(nèi)容在小毀壞數(shù)據(jù)的情況下，將F AT分區(qū)改為NT F S格式操作指南1、參考配置操作將FAT卷轉(zhuǎn)換成NTFS分區(qū)CONVERT volume /FS:NTFS/V /CvtArea:filename/NoSecurity/XVolume指定驅(qū)動器號（后面加一個冒號）、裝載點或卷名/FS:NTFS 指定要被轉(zhuǎn)換成 NTFS的卷/V指定CONVERT應(yīng)該用詳述模式運行/CvtArea:filename將根目錄中的一個接續(xù)文件指定為NTFS系統(tǒng)義件的占位符/NoSecurity指定每個人都可以訪問轉(zhuǎn)換的

23、文件和目錄的安全設(shè)置/X如果必要，先強行卸載卷，有打開的句柄則無效例如：Covert C: /FS:NTFS備注：在有其他非 WIN系統(tǒng)訪問、存在數(shù)據(jù)共享的情況下，不建議將F AT分區(qū)改為NT F S格式檢測方法1、判定條件2、檢測操作2.12 會話超時設(shè)置（可選）編寫：1要求內(nèi)容對于遠程登錄的賬戶，設(shè)置不活動所連接時間15分鐘操作指南1、參考配置操作進入“控制面板一管理工具一本地安全策略”,在“安全策略一安全選項”：“ Microsoft網(wǎng)絡(luò)服務(wù)器”設(shè)置為“在掛起會話之前所需 的空閑時間”為15分鐘檢測方法1、判定條件“Microsoft網(wǎng)絡(luò)服務(wù)器”設(shè)置為“在掛起會話之前所需的空閑時間”為1

24、5分鐘2、檢測操作進入“控制面板一管理工具一本地安全策略”,在“安全策略一安全選項”：查看“ Microsoft網(wǎng)絡(luò)服務(wù)器”設(shè)置2.13 注冊表：（可選）編寫：1要求內(nèi)容在不影響系統(tǒng)穩(wěn)定運行的前提下，對注冊表信息進行更新。操作指南1、參考配置操作自動登錄：HKLMSoftwareMicrosoftWindowsNTCurrentVersionWinlogonAutoAdminLogon(REG_DWORD) 0源路由欺騙保護：HKLMSystemCurrentControlSetServicesTcpipParametersDisableIPSourceRouting(REG_DWORD) 2

25、刪除匿名用戶空鏈接HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa將restrictanonymous 的值設(shè)置為1,右該值不存在，可以 自己創(chuàng)建，類型為 REG_DWORD修改完成后重新啟動系統(tǒng)生效碎片攻擊保護：HKLMSystemCurrentControlSetServicesTcpipParametersEnablePMTUDiscovery(REG_DWORD) 1Syn flood攻擊保護：HKLMSystemCurrentControlSetServicesTcpipParametersSynAttackProtect(REG

26、_DWORD) 2SYN 攻擊保護-管理TCP半開 sockets的最大數(shù) 目：HKLMSystemCurrentControlSetServicesTcpipParametersTcpMaxHalfOpen (REG_DWORD) 100 或 500檢測方法1、判定條件2、檢測操作點擊開始-> 運行，然后在打開行里輸入regedit ,然后單擊確te,查看相關(guān)注冊表項進行查看；使用空連接掃描工具無法遠程枚舉用戶名和用戶組附表：端口及服務(wù)服務(wù)名稱端口服務(wù)說明關(guān)閉方法處置建議系統(tǒng)服務(wù)部分echo7/TCPRFC862_回聲協(xié)議關(guān) 133 "SimpleTCP/IP Service

27、s"服 務(wù)。建議關(guān)閉echo7/UDPRFC862_回聲協(xié)議discard9/UDPRFC863廢除協(xié)議discard9/TCPRFC863廢除協(xié)議daytime13/UDPRFC867 白天協(xié)議daytime13/TCPRFC867 白天協(xié)議qotd17/TCPRFC865 白天協(xié)議的引用qotd17/UDPRFC865 白天協(xié)議的引用chargen19/TCPRFC864 字符產(chǎn)生協(xié)議chargen19/UDPRFC864 字符產(chǎn)生協(xié)議ftp21/TCP文件傳輸協(xié)議（控制）關(guān) 133 "FTPPublishing Service" 服務(wù)。根據(jù)情況選擇 開放sm

28、tp25/TCP簡單郵件發(fā)送協(xié)議關(guān) 133 "Simple Mail Transport Protocol"服務(wù)。建議關(guān)閉nameserver42/TCPWINS主機名服務(wù)關(guān) 1"WindowsInternet NameService"服務(wù)。建議關(guān)閉42/UDPdomain53/UDP域名服務(wù)器關(guān) 133 "DNS Server" 服務(wù)。根據(jù)情況選擇 開放53/TCP根據(jù)情況選擇 開放dhcps67/UDPDHCP服務(wù)器/Internet 連接共享關(guān) 133 "SimpleTCP/IP Services"服 務(wù)。建

29、議關(guān)閉dhcpc68/UDPDHCP協(xié)議客戶端關(guān) 1閉"DHCP Client" 服務(wù)。建議關(guān)閉http80/TCPHTTP萬維網(wǎng)發(fā)布服 務(wù)關(guān) 133 "World Wide Web Publishing Service"服務(wù)。根據(jù)情況選擇 開放epmap135/TCPRPC服務(wù)系統(tǒng)基本服務(wù)無法關(guān)閉135/UDP無法關(guān)閉netbios-ns137/UDPNetBIOS名稱解析在網(wǎng)卡的TCP/IP選 項中"WINS"頁勾選" 禁用TCP/IP上的 NETBIOS"根據(jù)情況選擇 開放netbios-dgm138/UDPNetBIOS數(shù)據(jù)報服務(wù)根據(jù)情況選擇 開放netbios-ssn139/TCPNetBIOS會話服務(wù)系統(tǒng)基本服務(wù)無法關(guān)閉snmp161/UDPSNMP服務(wù)關(guān)133 "SNMP "服務(wù)根據(jù)情況選擇 開放https443/TCP安全超文本傳輸協(xié)議關(guān) 133 "World WideWeb PublishingService"服務(wù)根據(jù)情況選擇 開放microsoft-ds445/UDPSMB服務(wù)器運彳f regedit ,打開 HKEY_LOCAL_MA CHINESystemCur rentControlSetServ icesNetBTParame te