Windows2000操作系統(tǒng)安全配置檢查表

Windows2000操作系統(tǒng)安全檢查表（草案）中國(guó)教育和科研計(jì)算機(jī)網(wǎng)緊急響應(yīng)組（CCERT）2003年3月前言步驟1 建議安裝過程中的建議安裝最新的系統(tǒng)補(bǔ)丁(ServicePack)與更新（Hotfix）程序?yàn)楣芾韱T（Administrator）賬號(hào)指定安全的口令A(yù)dministrator帳號(hào)重新命名禁用或刪除不必要的帳號(hào)關(guān)閉不必要的服務(wù)安裝防病毒軟件給所有必要的文件共享設(shè)置適當(dāng)?shù)脑L問控制權(quán)限激活系統(tǒng)的審計(jì)功能關(guān)于應(yīng)用軟件方面的建議附錄一、網(wǎng)絡(luò)上的參考資源附錄二、windows2000服務(wù)配置參考1 建議2 安裝過程中的建議3新（Hotfix)程序

安裝最新的系統(tǒng)補(bǔ)丁(ServicePack）與更Microsoft公司提供兩種類型的補(bǔ)?。篠ervicePack和Hotfix.ServicePackServicePack包括了以前發(fā)布的所有的hotfixServicePack,現(xiàn)在最新的補(bǔ)丁包是Service3（推薦安裝。您可以在下面的網(wǎng)址下載到最新的補(bǔ)丁包：ServicePack3AutomaticUpdates（自動(dòng)升級(jí))服務(wù)，該服務(wù)能夠在重要的Windows2000修補(bǔ)程序發(fā)布之時(shí)向您發(fā)出通知.AutomaticUpdates是一種有預(yù)見性的拉”服務(wù)，可以自動(dòng)下載和安裝WindowsWindowsHotfixServicePack全通知服務(wù)來發(fā)布安全公告。你可以訂閱微軟免費(fèi)的安全通知服務(wù)：在發(fā)布新的安全補(bǔ)丁時(shí),可以通過電子郵件通知你.如果公告建議你安裝hotfix，你應(yīng)該盡快下載并安裝這些hotfix。你也可以在下面的網(wǎng)址下載最新的Hotfix程序：4的口令

為管理員（Administrator）賬號(hào)指定安全Windows2000127個(gè)字符的口令。一般來說,強(qiáng)壯的口令應(yīng)該滿足以下條件：8個(gè)字符；不包含字典里的單詞、不包括姓氏的漢語(yǔ)拼音;同時(shí)包含多種類型的字符，比如大寫字母（A,B,C,Z)小寫字母（a，b,cz)o數(shù)字（0，1，2,…9）o標(biāo)點(diǎn)符號(hào)（＠,#,!，＄,%,&…）不要在不同的計(jì)算機(jī)上使用相同的口令.Administrator帳號(hào)重新命名由于Windows2000的默認(rèn)管理員帳號(hào)Administrator已眾所周知,該帳號(hào)通常稱為攻擊者猜測(cè)口令攻擊的對(duì)象.為了降低這種威脅,可以將帳號(hào)Administrator重新命名。操作步驟如下：雙擊“計(jì)算機(jī)管理"，打開后選擇目錄“系統(tǒng)工具"下的“本地用戶和組”,看到系統(tǒng)中的所有用戶列表；Administratoradministratoradminroot等；禁用或刪除不必要的帳號(hào)您應(yīng)該在計(jì)算機(jī)管理單元中查看系統(tǒng)的活動(dòng)帳號(hào)列表（)Guest，刪除或者禁用不再需要的帳戶。配置步驟如下:點(diǎn)擊“開始”>的所有用戶的狀態(tài).Windows2000Guest帳號(hào)，但你需要確認(rèn)一下。關(guān)閉不必要的服務(wù)每提供一種網(wǎng)絡(luò)服務(wù)就增加了一份安全威脅。所以我們建議您關(guān)閉所有不必要的網(wǎng)絡(luò)服務(wù),WebWindowsWebIIS系統(tǒng)存在著大量安全漏洞。,不要把所有的雞蛋都放在同一個(gè)籃web樣可以盡量的降低服務(wù)器的風(fēng)險(xiǎn)。通過開始—〉控制面板—〉管理工具—〉服務(wù),Windows2000的服務(wù)。微軟關(guān)于Windows2000的基準(zhǔn)服務(wù)配置，參見附錄二。安裝防病毒軟件機(jī)磁盤引導(dǎo)記錄、文件系統(tǒng)和內(nèi)存、以及電子郵件病毒。由于新的病毒和蠕蟲及其各種變種發(fā)展很快，我們強(qiáng)烈建議您及時(shí)更新病毒定義碼。關(guān)于防病毒軟件的選擇，建議您參考清華大學(xué)等各高校BBS系統(tǒng)中病毒欄目的相關(guān)評(píng)論和建議。9控制權(quán)限

給所有必要的文件共享設(shè)置適當(dāng)?shù)脑L問都應(yīng)當(dāng)設(shè)置合適的權(quán)限,以便使用戶擁有適當(dāng)?shù)墓蚕砑?jí)別訪問權(quán)（例如，Everyone=讀?。?。注意NTFS文件系統(tǒng)，才能對(duì)個(gè)別文件設(shè)置ACL以及共享級(jí)別權(quán)限.激活系統(tǒng)的審計(jì)功能Windows2000的安全審計(jì)功能在默認(rèn)安裝時(shí)是關(guān)閉的。激活此功能有利于管理員很好的掌握機(jī)器的狀態(tài),有利于系統(tǒng)的入侵檢測(cè)。你可以從日志中了解到機(jī)器是否在被人蠻力攻擊、非法的文件訪問等等。配置步驟如下：審核策略帳戶管理設(shè)置成功，失敗成功,失敗“開始">“設(shè)置">“管理工具”>“本地安全策略審核策略帳戶管理設(shè)置成功，失敗成功,失敗登錄事件登錄事件系統(tǒng)事件成功,失敗失敗成功，失敗成功，失敗失敗若想查看審核日志信息，可以用以下步驟:“程序”>“設(shè)置”>“控制面板">"關(guān)于應(yīng)用軟件方面的建議Internet上下載并運(yùn)行軟件時(shí)一定要謹(jǐn)慎,后門.如果您必須使用這些軟件，一定選擇可信度高的站點(diǎn)。不要輕易打開陌生人的郵件，特別是郵件中的附件。重要的數(shù)據(jù)一定要定期備份.附錄一、網(wǎng)絡(luò)上的參考資源微軟安全特性（中國(guó)微軟補(bǔ)丁下載(中國(guó)：CCERT安全資源：附錄二、windows2000服務(wù)配置參考服務(wù)全稱默認(rèn)基準(zhǔn)AlerterAlerter(服務(wù)全稱默認(rèn)基準(zhǔn)AlerterAlerter(警報(bào)器）自動(dòng)禁用AppMgmtApplicationManagement（應(yīng)用程序管理）手動(dòng)禁用ClipSrvClipBook(剪貼簿）手動(dòng)禁用EventSystemCOM+EventSystem（COM+事件系統(tǒng))手動(dòng)手動(dòng)BrowserComputerBrowser（計(jì)算機(jī)瀏覽器）自動(dòng)禁用DHCPDHCPClient（DHCP客戶）自動(dòng)自動(dòng)DfsDistributed（分布式文件系統(tǒng)）僅在域控制器自動(dòng)角色中啟用TrkWksDistributedLinkTrackingClient（分布式鏈接跟蹤客戶)自動(dòng)自動(dòng)TrkSrvDistributedLinkTrackingServer（分布式鏈接跟蹤服務(wù)器）手動(dòng)禁用MSDTCDistributedTransactionCoordinator（分布式事務(wù)協(xié)調(diào)器）自動(dòng)禁用DNSCacheDNSClient（DNS客戶）自動(dòng)自動(dòng)EventLogFaxNtFrsEventLog（)FaxService（傳真服務(wù)）（文件復(fù)制)手動(dòng)禁用IISADMINIISAdminService（IIS管理服務(wù)）自動(dòng)禁用CisvcSharedAccessIndexingService（索引服務(wù)）InternetConnectionSharing（Internet連接共享）手動(dòng)手動(dòng)禁用禁用IsmServIntersiteMessaging（站間消息傳遞）禁用禁用PolicyAgentKdcDmserverDmadminMessenger

IPSECPolicyAgent（IPSECService）（IPSEC策略代理程序（IPSEC服務(wù)）)KerberosKeyDistributionCenter(Kerberos密鑰分發(fā)中心）LicenseLoggingService（許可證記錄服務(wù)）LogicalDiskManager（邏輯磁盤管理器）LogicalDiskManagerAdministrativeService(邏輯磁盤管理器管理服務(wù)）Messenger（信使）

自動(dòng)禁用僅在DC角色中禁用啟用手動(dòng)手動(dòng)自動(dòng)禁用Netlogon

自動(dòng)NetLogon(網(wǎng)絡(luò)登錄） 自動(dòng)＊NetMeetingRemoteDesktopSharing（NetMeeting遠(yuǎn)程MnmsrvcNetmanNetDDENetDDEdsdm序）SysmonLog序）SysmonLogPerformanceLogsandAlerts（性能日志和警報(bào))手動(dòng)手動(dòng)PlugPLayPlugandPlay（即插即用)自動(dòng)自動(dòng)SpoolerPrintSpooler（打印后臺(tái)處理程序）自動(dòng)僅在“角色中啟用ProtectedStorageProtectedStorage（受保護(hù)存儲(chǔ)）自動(dòng)自動(dòng)RSVPQoSAdmissionControl許可控制(RSVP))手動(dòng)禁用

桌面共享)NetworkConnections(網(wǎng)絡(luò)連接）NetworkDDE(網(wǎng)絡(luò)DDE）NetworkDDEDSDM（網(wǎng)絡(luò)NetworkDDEDSDM）NTLMSecuritySupportProvider（NTLM安全支持提供程

手動(dòng)禁用手動(dòng)禁用打印”RasAutoRasManRpcSsRpclocator

eson（遠(yuǎn)程訪問自動(dòng)連接管理器）RemoteAccessConnectionManager（遠(yuǎn)程訪問連接管理器）RemoteProcedureCall（遠(yuǎn)程過程調(diào)用，RPC）RemoteProcedureCall(RPC）Locator（遠(yuǎn)程過程調(diào)用(RPC）定位器

手動(dòng)禁用僅在DC角色中手動(dòng)啟用RemoteRegistryRemoteRegistryRemoteRegistryService(遠(yuǎn)程注冊(cè)表服務(wù)）自動(dòng)自動(dòng)NtmsSvcRemovableStorage（可移動(dòng)存儲(chǔ)）自動(dòng)禁用RemoteAccessRoutingandRemoteAccess（路由和遠(yuǎn)程訪問）禁用禁用SeclogonRunAsService（RunAs服務(wù)）自動(dòng)禁用SamSsSecurityAccountsManager（安全帳戶管理器)自動(dòng)自動(dòng)WinMgmt手動(dòng)禁用規(guī)范）WMIWindowsManagementInstrumentationDriverExtensions(Windows管理規(guī)范驅(qū)動(dòng)程序擴(kuò)展）手動(dòng)手動(dòng)W32TimeWindowsTime(Windows時(shí)間服務(wù))自動(dòng)自動(dòng)*LanmanWorkstationWorkStation（工作站）自動(dòng)自動(dòng)W3svc僅在IIS角色中WorldWideWebPublishingService（萬(wàn)維網(wǎng)發(fā)布服務(wù)）自動(dòng)啟用LanmanserverServer（服務(wù)器)自動(dòng)自動(dòng)SMTPSVCeltProtocl）自動(dòng)禁用ScardSvrSmartCard（智能卡） 手動(dòng)禁用ScardDrvSmartCardHelper（智能卡助手） 手動(dòng)禁用SENSSystemEventNotification（系統(tǒng)事件通) 自動(dòng)自動(dòng)ScheduleTaskScheduler（任務(wù)計(jì)劃程序） 自動(dòng)禁用LmHostsTCP/IPNetBIOSHelperService(TCP/IPNetBIOS支持服自動(dòng)自動(dòng)務(wù))TapiSrvTelephony