Windows系統(tǒng)安全配置基線

1、精選優(yōu)質(zhì)文檔-傾情為你奉上精選優(yōu)質(zhì)文檔-傾情為你奉上專心-專注-專業(yè)專心-專注-專業(yè)精選優(yōu)質(zhì)文檔-傾情為你奉上專心-專注-專業(yè)Windows系統(tǒng)安全配置基線 目 錄 TOC o 1-3 h z u 概述目的本文規(guī)定了WINDOWS 操作系統(tǒng)主機(jī)應(yīng)當(dāng)遵循的操作系統(tǒng)安全性設(shè)置標(biāo)準(zhǔn)，本文檔旨在指導(dǎo)系統(tǒng)管理人員或安全檢查人員進(jìn)行WINDOWS 操作系統(tǒng)的安全合規(guī)性檢查和配置。適用范圍本配置標(biāo)準(zhǔn)的使用者包括：服務(wù)器系統(tǒng)管理員、安全管理員和相關(guān)使用人員。本配置標(biāo)準(zhǔn)適用的范圍包括： WINDOWS 服務(wù)器。適用版本適用于Windows XP 、Windows Server服務(wù)器。安裝前準(zhǔn)備工作需準(zhǔn)備的光盤（

2、1） 正版的Windows服務(wù)器操作系統(tǒng)光盤。（2） 服務(wù)器用殺毒軟件光盤。操作系統(tǒng)的基本安裝基本安裝 （1） 使用NTFS文件系統(tǒng)來(lái)最小化安裝操作系統(tǒng)。（2） 管理員賬號(hào)須設(shè)置較復(fù)雜的口令（由數(shù)字、大小寫字母和特殊字符組成），長(zhǎng)度在12位以上，其中管理員口令應(yīng)一機(jī)一密碼，不同機(jī)器之間不應(yīng)相同。（3） 斷開(kāi)網(wǎng)絡(luò)安裝完操作系統(tǒng)后，在業(yè)務(wù)網(wǎng)專用區(qū)域內(nèi)連接網(wǎng)絡(luò)進(jìn)行系統(tǒng)升級(jí)，并打開(kāi)Windows自動(dòng)更新服務(wù)。（4） 升級(jí)完成后，安裝前述光盤中的殺毒軟件并進(jìn)行更新。賬號(hào)管理、認(rèn)證授權(quán)賬號(hào)4.1.1管理缺省賬戶安全基線項(xiàng)目名稱操作系統(tǒng)缺省賬戶安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 對(duì)于管理員帳號(hào)，要求更改缺省帳戶名

3、稱；禁用guest（來(lái)賓）帳號(hào)。檢測(cè)操作步驟進(jìn)入“控制面板-管理工具-計(jì)算機(jī)管理”，在“系統(tǒng)工具-本地用戶和組”：缺省帳戶Administrator屬性Guest帳號(hào)-屬性基線符合性判定依據(jù)缺省賬戶Administrator名稱已更改Guest帳號(hào)已停用備注4.1.2刪除無(wú)用賬戶安全基線項(xiàng)目名稱操作系統(tǒng)缺省賬戶安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 刪除或鎖定與設(shè)備運(yùn)行、維護(hù)等與工作無(wú)關(guān)的賬號(hào)。檢測(cè)操作步驟1、參考配置操作進(jìn)入“控制面板-管理工具-計(jì)算機(jī)管理”，在“系統(tǒng)工具-本地用戶和組”：刪除或鎖定與設(shè)備運(yùn)行、維護(hù)等與工作無(wú)關(guān)的賬號(hào)?；€符合性判定依據(jù)1、判定條件結(jié)合要求和實(shí)際業(yè)務(wù)情況判斷符合要求，刪

4、除或鎖定與設(shè)備運(yùn)行、維護(hù)等與工作無(wú)關(guān)的賬號(hào)。2、檢測(cè)操作進(jìn)入“控制面板-管理工具-計(jì)算機(jī)管理”，在“系統(tǒng)工具-本地用戶和組”：查看是否刪除或鎖定與設(shè)備運(yùn)行、維護(hù)等與工作無(wú)關(guān)的賬號(hào)。備注4.1.3用戶權(quán)限分離安全基線項(xiàng)目名稱操作系統(tǒng)缺省賬戶安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 按照用戶分配賬號(hào)。根據(jù)系統(tǒng)的要求，設(shè)定不同的賬戶和賬戶組，管理員用戶，操作員用戶operator，審計(jì)用戶auditor等。檢測(cè)操作步驟1、參考配置操作進(jìn)入“控制面板-管理工具-計(jì)算機(jī)管理”，在“系統(tǒng)工具-本地用戶和組”：根據(jù)系統(tǒng)的要求，設(shè)定不同的賬戶和賬戶組，管理員用戶，操作員用戶和審計(jì)用戶納入user組。基線符合性判定依據(jù)1、

5、判定條件結(jié)合要求和實(shí)際業(yè)務(wù)情況判斷符合要求，根據(jù)系統(tǒng)的要求，設(shè)定不同的賬戶和賬戶組，管理員用戶，操作員用戶，審計(jì)用戶。2、檢測(cè)操作進(jìn)入“控制面板-管理工具-計(jì)算機(jī)管理”，在“系統(tǒng)工具-本地用戶和組”：查看根據(jù)系統(tǒng)的要求，設(shè)定不同的賬戶和賬戶組，管理員用戶，數(shù)據(jù)庫(kù)用戶，審計(jì)用戶。備注口令4.2.1密碼復(fù)雜度安全基線項(xiàng)目名稱操作系統(tǒng)密碼復(fù)雜度安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 最短密碼長(zhǎng)度12個(gè)字符，啟用本機(jī)組策略中密碼必須符合復(fù)雜性要求的策略。即密碼需要包含以下四種類別的字符： 英語(yǔ)大寫字母 A, B, C, Z 英語(yǔ)小寫字母 a, b, c, z 西方阿拉伯?dāng)?shù)字 0, 1, 2, 9 非字母數(shù)字字符

6、，如標(biāo)點(diǎn)符號(hào)，, #, $, %, &, *等檢測(cè)操作步驟進(jìn)入“控制面板-管理工具-本地安全策略”，在“帳戶策略-密碼策略”：查看是否“密碼必須符合復(fù)雜性要求”選擇“已啟動(dòng)”基線符合性判定依據(jù)“密碼必須符合復(fù)雜性要求”選擇“已啟動(dòng)”備注4.2.2密碼最長(zhǎng)生存期安全基線項(xiàng)目名稱操作系統(tǒng)密碼最長(zhǎng)生存期要求項(xiàng)安全基線項(xiàng)說(shuō)明 對(duì)于采用靜態(tài)口令認(rèn)證技術(shù)的系統(tǒng)，賬戶口令的生存期不長(zhǎng)于90天。檢測(cè)操作步驟進(jìn)入“控制面板-管理工具-本地安全策略”，在“帳戶策略-密碼策略”：查看“密碼最長(zhǎng)存留期”基線符合性判定依據(jù)“密碼最長(zhǎng)存留期”設(shè)置不大于“90天”備注4.2.3密碼歷史安全基線項(xiàng)目名稱操作系統(tǒng)密碼歷史安全基

7、線要求項(xiàng)安全基線項(xiàng)說(shuō)明 對(duì)于采用靜態(tài)口令認(rèn)證技術(shù)的設(shè)備，應(yīng)配置設(shè)備，使用戶不能重復(fù)使用最近5次（含5次）內(nèi)已使用的口令。檢測(cè)操作步驟1、參考配置操作進(jìn)入“控制面板-管理工具-本地安全策略”，在“帳戶策略-密碼策略”：“強(qiáng)制密碼歷史”設(shè)置為“記住5個(gè)密碼”基線符合性判定依據(jù)1、判定條件“強(qiáng)制密碼歷史”設(shè)置為“記住5個(gè)密碼”2、檢測(cè)操作進(jìn)入“控制面板-管理工具-本地安全策略”，在“帳戶策略-密碼策略”：查看是否“強(qiáng)制密碼歷史”設(shè)置為“記住5個(gè)密碼”備注4.2.4帳戶鎖定策略安全基線項(xiàng)目名稱操作系統(tǒng)賬戶鎖定策略安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 對(duì)于采用靜態(tài)口令認(rèn)證技術(shù)的設(shè)備，應(yīng)配置當(dāng)用戶連續(xù)認(rèn)證失敗次數(shù)

8、超過(guò)4次（不含5），鎖定該用戶使用的賬號(hào)。檢測(cè)操作步驟進(jìn)入“控制面板-管理工具-本地安全策略”，在“帳戶策略-帳戶鎖定策略”：查看“賬戶鎖定閥值”設(shè)置基線符合性判定依據(jù)“賬戶鎖定閥值”設(shè)置為小于或等于 3次，鎖定時(shí)間1分鐘。備注授權(quán)4.3.1遠(yuǎn)程關(guān)機(jī)安全基線項(xiàng)目名稱操作系統(tǒng)遠(yuǎn)程關(guān)機(jī)策略安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 在本地安全設(shè)置中從遠(yuǎn)端系統(tǒng)強(qiáng)制關(guān)機(jī)只指派給Administrators組。檢測(cè)操作步驟進(jìn)入“控制面板-管理工具-本地安全策略”，在“本地策略-用戶權(quán)利指派”:查看“從遠(yuǎn)端系統(tǒng)強(qiáng)制關(guān)機(jī)”設(shè)置基線符合性判定依據(jù)“從遠(yuǎn)端系統(tǒng)強(qiáng)制關(guān)機(jī)”設(shè)置為“只指派給Administrtors組”備注4.3

9、.2本地關(guān)機(jī)安全基線項(xiàng)目名稱操作系統(tǒng)本地關(guān)機(jī)策略安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 在本地安全設(shè)置中關(guān)閉系統(tǒng)僅指派給Administrators組。檢測(cè)操作步驟進(jìn)入“控制面板-管理工具-本地安全策略”，在“本地策略-用戶權(quán)利指派”:查看“關(guān)閉系統(tǒng)”設(shè)置基線符合性判定依據(jù)“關(guān)閉系統(tǒng)”設(shè)置為“只指派給Administrators組”備注4.3.3隱藏上次登錄名安全基線項(xiàng)目名稱操作系統(tǒng)本地登錄名隱藏策略安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 交互式登錄，不顯示上次登錄的用戶名檢測(cè)操作步驟運(yùn)行輸入“gpedit.msc”本地計(jì)算機(jī)策略windows設(shè)置安全設(shè)置本地策略安全選項(xiàng)下:啟用”交互式登錄:不顯示最后的用戶名”

10、基線符合性判定依據(jù)“交互式登錄:不顯示最后的用戶名”設(shè)置為“已啟用”備注4.3.4關(guān)機(jī)清理內(nèi)存頁(yè)面安全基線項(xiàng)目名稱操作系統(tǒng)關(guān)機(jī)清理內(nèi)存策略安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 關(guān)機(jī)時(shí)清理虛擬內(nèi)存頁(yè)面文件檢測(cè)操作步驟運(yùn)行輸入“gpedit.msc”本地計(jì)算機(jī)策略windows設(shè)置安全設(shè)置本地策略安全選項(xiàng)下:啟用”關(guān)機(jī):清理虛擬內(nèi)存頁(yè)面文件”基線符合性判定依據(jù)“關(guān)機(jī):清理虛擬內(nèi)存頁(yè)面文件”設(shè)置為“已啟用”備注4.3.5用戶權(quán)利指派安全基線項(xiàng)目名稱操作系統(tǒng)用戶權(quán)力指派策略安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 在本地安全設(shè)置中取得文件或其它對(duì)象的所有權(quán)僅指派給Administrators。檢測(cè)操作步驟進(jìn)入“控制面板-

11、管理工具-本地安全策略”，在“本地策略-用戶權(quán)利指派”：查看是否“取得文件或其它對(duì)象的所有權(quán)”設(shè)置基線符合性判定依據(jù)“取得文件或其它對(duì)象的所有權(quán)”設(shè)置為“只指派給Administrators組”備注日志配置操作日志配置5.1.1審核登錄安全基線項(xiàng)目名稱操作系統(tǒng)審核登錄策略安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 設(shè)備應(yīng)配置日志功能，對(duì)用戶登錄進(jìn)行記錄，記錄內(nèi)容包括用戶登錄使用的賬號(hào)，登錄是否成功，登錄時(shí)間，以及遠(yuǎn)程登錄時(shí)，用戶使用的IP地址。檢測(cè)操作步驟開(kāi)始-運(yùn)行- 執(zhí)行“ 控制面板-管理工具-本地安全策略-審核策略”審核登錄事件?；€符合性判定依據(jù)審核登錄事件，設(shè)置為成功和失敗都審核。備注5.1.2審核

12、策略更改安全基線項(xiàng)目名稱操作系統(tǒng)審核策略更改安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 啟用組策略中對(duì)Windows系統(tǒng)的審核策略更改，成功和失敗都要審核。檢測(cè)操作步驟進(jìn)入“控制面板-管理工具-本地安全策略”，在“本地策略-審核策略”中查看“審核策略更改”設(shè)置?；€符合性判定依據(jù)“審核策略更改”設(shè)置為“成功” 和“失敗”都要審核。備注5.1.3審核對(duì)象訪問(wèn)安全基線項(xiàng)目名稱操作系統(tǒng)審核對(duì)象訪問(wèn)安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 啟用組策略中對(duì)Windows系統(tǒng)的審核對(duì)象訪問(wèn)，成功和失敗都要審核。檢測(cè)操作步驟進(jìn)入“控制面板-管理工具-本地安全策略”，在“本地策略-審核策略”中：查看“審核對(duì)象訪問(wèn)”設(shè)置?；€符合性判定

13、依據(jù)“審核對(duì)象訪問(wèn)”設(shè)置為“成功”和“失敗”都要審核。備注5.1.4審核事件目錄服務(wù)器訪問(wèn)安全基線項(xiàng)目名稱操作系統(tǒng)審核事件目錄服務(wù)器訪問(wèn)策略安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 啟用組策略中對(duì)Windows系統(tǒng)的審核目錄服務(wù)訪問(wèn)，失敗。檢測(cè)操作步驟進(jìn)入“控制面板-管理工具-本地安全策略”，在“本地策略-審核策略”中：查看“審核目錄服務(wù)器訪問(wèn)”設(shè)置?；€符合性判定依據(jù)“審核目錄服務(wù)器訪問(wèn)”設(shè)置為“成功” 和“失敗”都要審核。備注5.1.5審核特權(quán)使用安全基線項(xiàng)目名稱操作系統(tǒng)審核特權(quán)使用策略安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 啟用組策略中對(duì)Windows系統(tǒng)的審核特權(quán)使用，成功和失敗都要審核。檢測(cè)操作步驟進(jìn)入“

14、控制面板-管理工具-本地安全策略”，在“本地策略-審核策略”中：查看“審核特權(quán)使用”設(shè)置?；€符合性判定依據(jù)“審核特權(quán)使用”設(shè)置為“成功” 和“失敗”都要審核。備注5.1.6審核系統(tǒng)事件安全基線項(xiàng)目名稱操作系統(tǒng)審核系統(tǒng)事件策略安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 啟用組策略中對(duì)Windows系統(tǒng)的審核系統(tǒng)事件，成功和失敗都要審核。檢測(cè)操作步驟進(jìn)入“控制面板-管理工具-本地安全策略”，在“本地策略-審核策略”中：查看“審核系統(tǒng)事件”設(shè)置?；€符合性判定依據(jù)“審核系統(tǒng)事件”設(shè)置為“成功” 和“失敗”都要審核。備注5.1.7審核賬戶管理安全基線項(xiàng)目名稱操作系統(tǒng)審核賬戶管理策略安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 啟

15、用組策略中對(duì)Windows系統(tǒng)的審核帳戶管理，成功和失敗都要審核。檢測(cè)操作步驟進(jìn)入“控制面板-管理工具-本地安全策略”，在“本地策略-審核策略”中：查看“審核賬戶管理” 設(shè)置。基線符合性判定依據(jù)“審核賬戶管理”設(shè)置為“成功” 和“失敗”都要審核。備注5.1.8審核過(guò)程追蹤安全基線項(xiàng)目名稱操作系統(tǒng)審核過(guò)程追蹤策略安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 啟用組策略中對(duì)Windows系統(tǒng)的審核過(guò)程追蹤失敗。檢測(cè)操作步驟進(jìn)入“控制面板-管理工具-本地安全策略”，在“本地策略-審核策略”中：查看“審核過(guò)程追蹤”設(shè)置?；€符合性判定依據(jù)“審核過(guò)程追蹤”設(shè)置為 “失敗”需要審核。備注5.1.9日志文件大小安全基線項(xiàng)目

16、名稱操作系統(tǒng)日志容量安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 設(shè)置應(yīng)用日志文件大小至少為8M，設(shè)置當(dāng)達(dá)到最大的日志尺寸時(shí)，按需要改寫事件。檢測(cè)操作步驟進(jìn)入“控制面板-管理工具-事件查看器”，在“事件查看器（本地）”中：查看“應(yīng)用日志” “系統(tǒng)日志” “安全日志”屬性中的日志大小 ,以及設(shè)置當(dāng)達(dá)到最大的日志尺寸時(shí)的相應(yīng)策略。基線符合性判定依據(jù)“應(yīng)用日志” “系統(tǒng)日志” “安全日志”屬性中的日志大小設(shè)置不小于“8M” ,設(shè)置當(dāng)達(dá)到最大的日志尺寸時(shí)，“按需要改寫事件”。備注其他配置操作共享文件夾及訪問(wèn)權(quán)限6.1.1關(guān)閉默認(rèn)共享安全基線項(xiàng)目名稱操作系統(tǒng)默認(rèn)共享安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 非域環(huán)境中，關(guān)閉Wind

17、ows硬盤默認(rèn)共享，例如C$，D$。檢測(cè)操作步驟進(jìn)入“開(kāi)始運(yùn)行Regedit”，進(jìn)入注冊(cè)表編輯器，查看 HKLMSystemCurrentControlSetServicesLanmanServerParametersAutoShareServer；基線符合性判定依據(jù)HKLMSystemCurrentControlSetServicesLanmanServerParametersAutoShareServer 鍵，值為 0。備注防病毒管理6.2.1防病毒軟件保護(hù)安全基線項(xiàng)目名稱操作系統(tǒng)防病毒保護(hù)安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 對(duì)Windows 2003服務(wù)器主機(jī)應(yīng)當(dāng)安裝部署服務(wù)器專版殺毒軟件，并

18、打開(kāi)自動(dòng)升級(jí)病毒庫(kù)選項(xiàng)。檢測(cè)操作步驟查看是否存在符合條件的殺毒軟件；點(diǎn)擊進(jìn)入殺毒軟件的操作界面，檢查是否開(kāi)啟自動(dòng)更新。基線符合性判定依據(jù)如不存在殺毒軟件或者沒(méi)打開(kāi)自動(dòng)更新即為不合規(guī)。備注Windows服務(wù)6.3.1 系統(tǒng)服務(wù)管理安全基線項(xiàng)目名稱操作系統(tǒng)系統(tǒng)服務(wù)管理安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 檢查系統(tǒng)開(kāi)機(jī)啟動(dòng)的服務(wù)，并根據(jù)實(shí)際情況開(kāi)啟/關(guān)閉服務(wù)，如：Messenger，Task Scheduler，Server，Workstation，Print Spooler，Alerter，Computer Browser，DHCP Client，Remote Registry Service，SNMP，

19、TCP/IP NetBIOS Helper，IPSEC Policy Agent等；檢測(cè)操作步驟打開(kāi)“控制面板”，打開(kāi)“管理工具”中的“服務(wù)”。 基線符合性判定依據(jù)關(guān)閉不需要的服務(wù)，并設(shè)置非開(kāi)機(jī)自動(dòng)啟動(dòng)項(xiàng)。詢問(wèn)管理員，在系統(tǒng)確實(shí)需要的情況下可開(kāi)啟相應(yīng)的服務(wù)，如SNMP等。備注系統(tǒng)管理員應(yīng)出具系統(tǒng)所必要的服務(wù)列表。查看所有服務(wù)，不在此列表的服務(wù)需關(guān)閉。訪問(wèn)控制6.4.1 限制Radmin管理地址安全基線項(xiàng)目名稱操作系統(tǒng)數(shù)據(jù)訪問(wèn)控制安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 通過(guò)限制Radmin管理地址，嚴(yán)格控制訪問(wèn)者來(lái)源檢測(cè)操作步驟1、參考配置操作開(kāi)始菜單Radminoperations for Remote

20、 Administrator server選擇Operations選擇Add添加168.8.44.0/255.255.255.0 168.8.43.0/255.255.255.0基線符合性判定依據(jù)1、判定條件在非管理網(wǎng)段嘗試進(jìn)行radmin連接備注中心機(jī)房以外的服務(wù)器管理暫時(shí)不做源地址限制。啟動(dòng)項(xiàng)6.4.1關(guān)閉Windows自動(dòng)播放功能安全基線項(xiàng)目名稱操作系統(tǒng)Windows自動(dòng)播放安全基線要求項(xiàng)安全基線項(xiàng)說(shuō)明 關(guān)閉Windows自動(dòng)播放功能。檢測(cè)操作步驟打開(kāi)“開(kāi)始運(yùn)行”，在對(duì)話框中輸入“gpedit.msc”命令，在出現(xiàn)“組策略”窗口中依次選擇“在計(jì)算機(jī)配置管理模板系統(tǒng)”，雙擊“關(guān)閉自動(dòng)播放”查看。基線符合性判定依據(jù)在“設(shè)置”選項(xiàng)卡中選“已啟用”選項(xiàng)。備注6.4.3配置屏保功能安全基線項(xiàng)目名稱操作系