Windows システムの一般的なセキュリティ構成例

配置名称：账号分配检查，避免共享账号存在
配置要求： 1、系统需按照实际用户分配账号；          2、根据系统的使用需求，设定不同的账户和账户组，包括管理员用户，数据库用户，审计用户，来宾用户等；          3、避免出现共享账号情况；
操作指南：参考配置操作（适用2000、2003）
         ”控制面板->管理工具->计算机管理->系统工具->本地用户和组”。
          参考配置操作（适用2008 x64）
         ”管理工具->服务器管理->配置->本地用户和组”。
检查方法：查看已创建账户和账户组，与管理员确认有无无用的或共用的账户，如果每一账户都按需创建和划分账户组的则符合要求。
配置方法：根据系统实际使用需求，设定不同的账户和账户组，如：管理员用户，数据库用户，审计用户，来宾用户。
使用版本：Windows Server 2003 、Windows 2000 Server、Windows Server 2008 X64。

配置名称：禁用来宾账户
配置要求：禁用guest（来宾）用户
操作指南：参考配置操作（适用2000、2003）
        ”控制面板->管理工具->计算机管理”，在”系统工具->本地用户和组->Guest账户>属性->“常规”页
         参考配置操作（适用2008 x64）
         ”管理工具->服务器管理”，在”配置->本地用户和组->Guest账户->属性-> “常规”页
检查方法：检查复选框”账户已禁用”项状态，勾选为已禁用来宾账号
配置方法：勾选复选框”账户已禁用”项，禁用来宾账号。
适用版本：Windows Server 2003 、Windows 2000 Server、Windows Server 2008 X64。

配置名称：口令复杂度策略
配置要求：1、最短密码长度 12个字符；          2、启用本机组策略中密码必须符合复杂性要求的策略，即密码至少包含以下四种类别的字符中的三种：
            	英语大写字母 A, B, C, … Z 
            	英语小写字母 a, b, c, … z 
            	西方阿拉伯数字 0, 1, 2, … 9 
            	非字母数字字符，如标点符号，@, #, $, %, &, *等
操作指南：参考配置操作（适用2000、2003）1、”控制面板->管理工具->本地安全策略->帐户策略->密码策略->密码长度最小值->属性”2、”控制面板->管理工具->本地安全策略->帐户策略->密码策略->密码必须符合复杂性要求->属性”
          参考配置操作（适用2008 x64）1、”管理工具->本地安全策略->帐户策略->密码策略->密码长度最小值->属性”2、”管理工具->本地安全策略->帐户策略->密码策略->密码必须符合复杂性要求->属性”
检查方法：1、检查最小值设置，大于等于12为符合要求；          2、检查单选框”已启动”状态，选中”已启动”为符合。
配置方法：1、将密码最小值设置为大于等于12；          2、将”密码必须符合复杂性要求”项，选中”已启动”。
使用版本：Windows Server 2003 、Windows 2000 Server、Windows Server 2008 X64

配置名称：口令最长生存期策略
配置要求：要求操作系统的账户口令的最长生存期不长于90天。
操作指南：参考配置操作（适用2000、2003）
          ”控制面板->管理工具->本地安全策略->帐户策略->密码策略->密码最长存留期->属性”
          参考配置操作（适用2008 x64）
          ”管理工具->本地安全策略->帐户策略->密码策略->密码最长存留期->属性”
检查方法：检查”密码最长使用期限”小于等于90为符合。
配置方法：检查”密码最长使用期限”小于等于90为符合。
使用版本：Windows Server 2003 、Windows 2000 Server、Windows Server 2008 X64

配置名称：本地安全设置中远程关机授权只指派给Administrators组
配置要求：在本地安全设置中从远端系统强制关机只指派给Administrators组。
操作指南：参考配置操作（适用2000、2003）
          ”控制面板->管理工具->本地安全策略->本地策略->用户权利指派->从远端系统强制关机->属性”
          参考配置操作（适用2008 x64）
          ”管理工具->本地安全策略->本地策略->用户权限分配->从远程系统强制关机->属性”
检查方法：查看”从远端系统强制关机”权限指派情况”，仅指派给 administrators，符合要求。
配置方法：设置为”只指派给Administrators组”
使用版本：Windows Server 2003 、Windows 2000 Server、Windows Server 2008 X64

配置名称：本地安全设置中关闭系统仅指派给Administrators组
配置要求：检测本地安全设置中关闭系统仅指派给Administrators组
操作指南：参考配置操作（适用2003）
          ”控制面板->管理工具->本地安全策略->本地策略->用户权利指派->关闭系统->属性”
          参考配置操作（适用2008 x64）
          ”管理工具->本地安全策略->本地策略->用户权限分配->关闭系统->属性”
检查方法：查看”关闭系统”权限指派情况，内容为administrators，表示符合要求。
配置方法：设置为”只指派给Administrators组”
使用版本：Windows Server 2003、Windows Server 2008 X64

配置名称：文件权限指派
配置要求：在本地安全设置中取得文件或其它对象的所有权仅指派给Administrators。
操作指南：参考配置操作（适用2003）
          ”控制面板->管理工具->本地安全策略->本地策略->用户权利指派->取得文件或其它
          对象的所有权->属性”
          参考配置操作（适用2008 x64）
         ”管理工具->本地安全策略->本地策略->用户权限分配->用户权利指派->取得文件或其它对象的所有权->属性”
检查方法：查看“取得文件或其它对象”的仅限指情况，指派给Administrators”为符合要求。
配置方法：设置为”只指派给Administrators组”
使用版本：Windows Server 2003、Windows Server 2008 X64

配置名称：网络连接中限制匿名用户连接权限
配置要求：在组策略中只允许授权帐号从网络访问(包括网络共享等，但不包括终端服务)此计算机。
操作指南：参考配置操作（适用2003）
          ”控制面板->管理工具->本地安全策略->本地策略->用户权利指派->从网络访问此计算机->属性”
          参考配置操作（适用2008 x64）
          ”管理工具->本地安全策略->本地策略->用户权限分配->从网络访问此计算机->属性”
检查方法：检查属性列表，不包括”Users”和”Everyone”组和其他无用组为符合要求.
配置方法：根据需求添加访问组。
适用版本：Windows Server 2003、Windows Server 2008 X64

配置名称：检测是否设置审核账户登录事件
配置要求：系统应启用日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址。
操作指南：参考配置操作（适用2000、2003）
         ”控制面板->管理工具->本地安全策略->审核策略->审核登录事件->属性”。
         参考配置操作（适用2008 x64）
         ”管理工具->本地安全策略->审核策略->审核登录事件->属性”。
检查方法：检查是否同时勾选了”成功”和”失败”，同时勾选为符合要求。
配置方法：设置为成功和失败都审核。
适用版本：Windows Server 2003 、Windows 2000 Server、Windows Server 2008 X64

配置名称：系统日志完备性检查，检查是否启用系统多项审核策略
配置要求：系统应配置完整的审核策略，启用本地策略中审核策略中如下项。每项都需要设置为”成功”和”失败”都要审核。
          参考配置操作（适用2000、2003）
          ”控制面板->管理工具->本地安全策略->需要配置的策略：
          参考配置操作（适用2008 x64）
          ”管理工具->本地安全策略->需要配置的策略：
          	审核策略更改
          	审核对象访问
          	审核进程跟踪
          	审核目录服务访问
          	审核特权使用
          	审核系统事件
          	审核账户管理
操作指南：参考配置操作
         进入”控制面板->管理工具->本地安全策略->本地策略->审核策略”中。进入如下项的”属性页” 
        	审核策略更改
        	审核对象访问
        	审核进程跟踪
        	审核目录服务访问
        	审核特权使用
        	审核系统事件
        	审核账户管理
检查方法：检查项包括以下7子项：
            	检测是否启用对Windows系统的审核策略更改
            	检测是否启用对Windows系统的审核对象访问
            	检测是否启用Windows系统审核目录服务访问
            	检测是否启用Windows系统审核特权使用
            	检测是否启用Windows系统审核系统事件
            	检测是否启用Windows系统的审核账户管理
            	检测是否启用Windows系统的审核过程追踪
        以上每一项都要勾选”成功”和”失败”项，才符合要求。
配置方法：分别进入以上7个子项配置页，勾选”成功”和”失败”复选框。
适用版本：Windows Server 2003 、Windows 2000 Server、Windows Server 2008 X64

配置名称：检测系统日志、应用日志、安全日志的大小以及扩展设置是否符合规范
配置要求：1、设置系统日志文件大小至少为32MB，设置当达到最大的日志尺寸时，按需要改写事件。          2、设置应用日志文件大小至少为32M B，设置当达到最大的日志尺寸时，按需要改写事件。          3、设置安全日志文件大小至少为32M B，设置当达到最大的日志尺寸时，按需要改写事件。
操作指南：参考配置操作（适用2000、2003）
          进入”控制面板->管理工具->事件查看器”，在”事件查看器（本地）”中的：
          “系统日志”属性页；
          “应用日志”属性页；
          “安全日志”属性页。
          参考配置操作（适用2008 x64）
          进入”管理工具->服务器管理”， 在”诊断->事件查看器->windows日志”中的：
         “系统日志”属性页；
         “应用日志”属性页；
         “安全日志”属性页。
检查方法：检查包括以下6子项
        	应用日志文件大小至少为32M B
        	当达到最大的应用日志尺寸时，按需要改写事件
        	系统日志文件大小至少为32M B
        	当达到最大的应用日志尺寸时，按需要改写事件
        	安全日志文件大小至少为32M B
        	当达到最大的安全日志尺寸时，按需要改写事件
        以上检查内容符合，整体才符合要求。
配置方法：1、设置应用日志文件大小至少为32M B
            设置当达到最大的应用日志尺寸时，按需要改写事件          2、设置系统日志文件大小至少为32M B
            设置当达到最大的应用日志尺寸时，按需要改写事件          3、设置安全日志文件大小至少为32M B
             设置当达到最大的安全日志尺寸时，按需要改写事件
适用版本：Windows Server 2003 、Windows 2000 Server、Windows Server 2008 X64

配置名称：远程登陆超时配置
配置要求：检查设置：对于远程登陆的帐号，设置不活动断连时间15分钟
操作指南：参考配置操作（适用2003）
         ”控制面板->管理工具->本地安全策略->本地策略->安全选项->Microsoft网络服务器”
         参考配置操作（适用2008 x64）
         ”管理工具->本地安全策略->本地策略->安全选项->Microsoft网络服务器” 
检查方法：检查”对于远程登陆的帐号设置”，不活动断连时间15分钟或小于15分钟为符合要求。
配置方法：设置为”在挂起会话之前所需的空闲时间”为15分钟或更小。
适用版本：Windows Server 2003、Windows Server 2008 X64

配置名称：默认共享检查
配置要求：非域环境中，关闭Windows硬盘默认共享，例如C$，D$。
操作指南：参考配置操作
         ”开始－>运行－>net share”
检查方法：检查有无默认共享，无任何默认共享为符合要求。
配置方法：”开始－>运行－>Regedit”，进入注册表编辑器，
          定位到HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters\下，
          增加REG_DWORD类型的AutoShareServer 键，值为 0。
        Windows Server 2008X64环境配置检查位置：HKEY_LOCAL_MACHINE//SYSTEM//CurrentControlSet//Services//lanmanserver//parameters”
适用版本：Windows Server 2003 、Windows 2000 Server、Windows Server 2008 X64

配置名称：共享权限检查
配置要求：查看每个共享文件夹的共享权限，只允许授权的账户拥有权限共享此文件夹，禁止使用共享权限为”everyone”
操作指南：参考配置操作（适用2000、2003）
          ”控制面板->管理工具->计算机管理->系统工具－>共享文件夹”
          参考配置操作（适用2008 x64）
          ”管理工具->共享和存储管理”
检查方法：1、查看每个共享文件夹的共享权限仅限于业务需要，不设置成为”everyone”         2、输出所有共享文件夹信息和具体权限信息；但权限是否符合需求需要后期处理确认
配置方法：在”共享文件”属性页中，只保留需要的账户。
适用版本：Windows Server 2003 、Windows 2000 Server、Windows Server 2008 X64

配置名称：防病毒管理
配置要求：安装防病毒软件，并及时更新。
操作指南：参考配置操作
          定位到杀毒软件版本信息页面。
检查方法：检查防病毒进程运行是否正常及当前病毒库版本是否为最新。
配置方法：安装防病毒软件，并检查是否更新到最新病毒定义。
适用版本：Windows Server 2003 、Windows 2000 Server、Windows Server 2008 X64

配置名称：补丁分发管理
配置要求：加入网上交易WSUS系统，及时更新系统补丁。
操作指南：参考配置操作1、定位到注册表项：
        HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate WUServer键2、”开始->运行->services.msc->Automatic Updates”
检查方法：1、键值是否为http://10.1.30.233。若是，则表明加入了网上交易WSUS，否则没有正确加入网上交易WSUS系统。          2、检查服务项Automatic Updates服务是否开启，启动类型是否设置为自动。
          以上2项都满足为符合要求。
配置方法：登录http://10.1.30.233，下载并运行网上交易服务器补丁注册脚本。在导入注册表后检查自动更新选项是否显示为灰色不可选，
        如是则表明注册表导入成功，之后重启Automatic Updates服务。
适用版本：Windows Server 2003 、Windows 2000 Server、Windows Server 2008 X64

配置名称：Service Pack管理
配置要求：安装最新的Service Pack
操作指南：参考配置操作
          右键”我的电脑->属性->常规页”
检查方法：检查是否安装了最新的Service Pack。
          目前Windows 2000 server最新版本Service Pack为SP4，Windows Server 2003 
          最新的Service Pack为SP2
配置方法：安装最新的Service Pack，并及时更新。
        登录http://10.1.30.233，下载并安装最新的Service Pack。
适用版本：Windows Server 2003 、Windows 2000 Server、Windows Server 2008 X64

配置名称：密码屏幕保护
配置要求：设置带密码的屏幕保护，并将时间设定为15分钟。
操作指南：参考配置操作（适用2000、2003） 
          ”控制面板->显示->屏幕保护程序”：
          参考配置操作（适用2008 x64）
          ”控制面板->外观->显示->屏幕保护程序”：
检查方法：检查是否启用了”在恢复时使用密码保护”，并设置等待时间为15分钟或者更短，两项都满足为符合要求。
配置方法：1、设置等待时间为”15分钟”；          2、勾选”在恢复时使用密码保护”选择框。
适用版本：Windows Server 2003 、Windows 2000 Server、Windows Server 2008 X64

配置名称：自动播放关闭
配置要求：关闭Windows自动播放功能
操作指南：参考配置操作（适用2000）
          ”开始->运行->Regedit”，进入注册表编辑器，定位到注册表：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\CDRom 
         参考配置操作（适用2003）
         点击开始→运行→输入gpedit.msc，打开组策略编辑器，浏览到计算机配置→管理模板→系统”
         参考配置操作（适用2008 x64）
         点击开始->运行→输入gpedit.msc，打开组策略编辑器，浏览到计算机配置->管理模板->Windows 组件->自动播放策略”
检查方法：Windows2000：检查”Autorun”键值，为0符合要求；
         Windows 2003：检查”关闭自动播放”对话框，选择了所有驱动器为符合要求；
        Windows 2008：检查”关闭自动播放”对话框，选择了所有驱动器，为符合要求。
配置方法：Windows 2000：将”Autorun”键值更改为0。
          Windows2003：在右边窗格中双击”关闭自动播放”，对话框中选择所有驱动器，确定即可。
          Windows2008：，在右边窗格中双击”关闭自动播放”，对话框中选择所有驱动器，确定即可。
适用版本：Windows Server 2003 、Windows 2000 Server、Windows Server 2008 X64

配置名称：SNMP默认口令修改
配置要求：如需启用SNMP服务，则修改默认的SNMP Community String设置。
操作指南：参考配置操作（适用2003）
          打开”控制面板”，打开”管理工具”中的”服务”，找到”SNMP Service”，单击右键打开”属性”面板中的”安全”选项卡。
          参考配置操作（适用2008 x64）
          进入”管理工具->服务器管理”，在”配置->服务”，找到”SNMP Service”，单击右键打开”属性”面板中的”安全”选项卡
检查方法：1、确认SNMP 服务已启动；          2、服务如启动，检查Community String是否使用默认public和private，如果没使用为符合要求
配置方法：在这个配置界面中，修改community strings，避免使用默认密码。
适用版本：Windows Server 2003、Windows Server 2008 X64

配置名称：启动项检查
配置要求：列出系统启动时自动加载的进程和服务列表，不在此列表的需关闭。
操作指南：参考配置操作
         “开始->运行->MSconfig”启动系统配置实用程序。
检查方法：查看是否有可疑启动项，对于无法确认程序，需要与管理员进行确认。
配置方法：直接将可以启动项前的勾选框勾选掉。
适用版本：Windows Server 2003 、Windows 2000 Server、Windows Server 2008 X64

配置名称：管理员账号更改名称
配置要求：对于管理员帐号，要求更改缺省帐户名称administrator
操作指南：参考配置操作（适用2003）
          进入”控制面板->管理工具->计算机管理”，在”系统工具->本地用户和组”
          参考配置操作（适用2008 x64）
          进入”管理工具->服务器管理->配置->本地用户和组”
检查方法：检测管理员帐户是否改名，已更名为符合要求
配置方法：“右键Administrator->属性”，更改名称即可
适用版本：Windows Server 2003、Windows Server 2008 X64

配置名称：配置登录失败账户锁定策略，超过8次登录失败锁定账号策略
配置要求：应配置当用户短时间内连续认证失败次数超过8次（不含8次），锁定该用户使用的账号；设置账户锁定时间为30分钟。
操作指南：参考配置操作（适用2003）
          进入”控制面板->管理工具->本地安全策略->帐户策略->帐户锁定策略->账户锁定时间->属性页” 
          参考配置操作（适用2008 x64）
          进入”管理工具->服务器管理->帐户策略->帐户锁定策略->账户锁定阀值->属性页” 
检查方法：1、”静态口令认证技术的设备用户是否连续认证失败次数超过8次（不含8次），锁定该用户的账号”；          2、检查是否设置账号锁定时间为30分钟或更长；
          符合以上2项检查为符合要求。
配置方法：1、在”账户锁定阀值”属性页中，设置为 8次；          2、在”账户锁定时间”属性页中，设置为30分钟
适用版本：Windows Server 2003、Windows Server 2008 X64

配置名称：检查Windows是否启用自带防火墙
配置要求：启用Windows 自带防火墙。根据业务需要限定允许访问网络的应用程序，和允许远程登陆该设备的IP地址范围。
操作指南：参考配置操作（适用2003）
          ”控制面板－>网络连接－>本地连接->高级选项” 
          参考配置操作（适用2008 x64）
          ”控制面板－>系统和安全－>Windows防火墙->打开或关闭Windows防火墙选项” 
检查方法：检查Windows是否启用自带防火墙”.
配置方法：1、启用Windows防火墙。
          在”例外”中配置允许业务所需的程序接入网络。
          在”例外->编辑->更改范围”编辑允许接入的网络地址范围。
适用版本：Windows Server 2003、Windows Server 2008 X64

配置名称：DEP功能启用
配置要求：对于Windows 2003及Windows 2008对Windows操作系统程序和服务启用系统自带DEP功能(数据执行保护)，防止在受保护内存位置运行有害代码。
操作指南：参考配置操作（适用2003、2008 x64）
         进入”控制面板->系统”，在”高级”选项卡的”性能”下的”设置”。进入 “数据执行保护”选项卡。
检查方法：检测Windows是否启用数据执行保护，启动为符合要求。
配置方法：在“数据执行保护”选项卡中，设置为”仅为基本 Windows 操作系统程序和服务启用DEP”。
适用版本：Windows Server 2003、Windows Server 2008 X64