系统安全配置技术规范Windows样本.doc

系统安全配备技术规范—Windows

版本
V0.9
日期
-06-03
文档编号

文档发布

212211文档阐明
（一）变更信息
版本号
变更日期
变更者
变更理由/变更内容
备注

（二）文档审核人
姓名
职位
签名
日期

目 录
1. 合用范畴 5
2. 帐号管理与授权 5
2.1 【基本】删除或锁定也许无用帐户 5
2.2 【基本】按照顾客角色分派不同权限帐号 5
2.3 【基本】口令方略设立不符合复杂度规定 6
2.4 【基本】设定不能重复使用口令 6
2.5 不使用系统默认顾客名 6
2.6 口令生存期不得长于90天 6
2.7 设定持续认证失败次数 7
2.8 远端系统强制关机权限设立 7
2.9 关闭系统权限设立 7
2.10 获得文献或其他对象所有权设立 7
2.11 将从本地登录设立为指定授权顾客 8
2.12 将从网络访问设立为指定授权顾客 8
3. 日记配备规定 8
3.1 【基本】审核方略设立中成功失败都要审核 8
3.2 【基本】设立日记查看器大小 9
4. IP合同安全规定 9
4.1 启动TCP/IP筛选 9
4.2 启用防火墙 10
4.3 启用SYN袭击保护 10
5. 服务配备规定 11
5.1 【基本】启用NTP服务 11
5.2 【基本】关闭不必要服务 11
5.3 【基本】关闭不必要启动项 12
5.4 【基本】关闭自动播放功能 12
5.5 【基本】审核HOST文献可疑条目 12
5.6 【基本】存在未知或无用应用程序 12
5.7 【基本】关闭默认共享 13
5.8 【基本】非everyone授权共享 13
5.9 【基本】SNMP Community String设立 13
5.10 【基本】删除可匿名访问共享 13
5.11 关闭远程注册表 14
5.12 对于远程登陆帐号，设立不活动断开时间为1小时 14
5.13 IIS服务补丁更新 14
6. 其他配备规定 15
6.1 【基本】安装防病毒软件 15
6.2 【基本】配备WSUS补丁更新服务器 15
6.3 【基本】Service Pack补丁更新 15
6.4 【基本】Hotfix补丁更新 16
6.5 设立带密码屏幕保护 16
6.6 交互式登录不显示上次登录顾客名 16

1. 合用范畴
如无特殊阐明，本规范所有配备项合用于Windows操作系统 、系列版本。其中标示为“基本”字样配备项，均为我司对此类系统基本安全配备规定；未标示“基本”字样配备项，请各系统管理员视实际需求酌情遵从。
2. 帐号管理与授权
1
2
2.1 【基本】删除或锁定也许无用帐户
配备项描述
删除或锁定无用帐户，定期清理无用账户，防止过期顾客非法登入操作系统
检查办法
进入“控制面板->管理工具->计算机管理->系统工具->本地顾客和组”：
审核不必要顾客和组，审核帐户从属组权限，审核组顾客。
操作环节
依照系统规定和实际业务状况，设定不同帐户和帐户组，如管理员顾客、数据库顾客、审计顾客、宾客顾客等。删除或锁定与设备运营、维护等与工作无关帐户
回退操作
回退到原有配备设立
操作风险
需要确认帐户用途
2.2 【基本】按照顾客角色分派不同权限帐号
配备项描述
按照顾客角色分派不同权限帐号，保证顾客权限最小化
检查办法
进入“控制面板->管理工具->计算机管理->系统工具->本地顾客和组”：
审核顾客和组，审核帐户从属组权限，审核组顾客。
操作环节
依照系统规定和实际业务状况，设定不同帐户和帐户组，如管理员顾客、数据库顾客、审计顾客、宾客顾客等。
回退操作
回退到原有配备设立
操作风险
需要确认帐户用途，确认顾客所需权限

2.3 【基本】口令方略设立不符合复杂度规定
配备项描述
口令方略设立不符合复杂度规定，口令过于简朴，易被黑客破译
检查办法
进入“控制面板->管理工具->本地安全方略”，在“帐户方略->密码方略”中：
检查“密码必要符合复杂度规定”设立
操作环节
设立“密码必要符合复杂度规定”已启动
回退操作
回退到原有配备设立
操作风险
低风险

2.4 【基本】设定不能重复使用口令
配备项描述
设定不能重复使用近来5次（含5次）内已使用口令
检查办法
进入“控制面板->管理工具->本地安全方略”，在“帐户方略->密码方略”中：
检查“强制密码历史”设立
操作环节
设立“强制密码历史”不不大于等于5
回退操作
回退到原有配备设立
操作风险
低风险
2.5 不使用系统默认顾客名
配备项描述
administrator、guest等默认帐户使用默认顾客名，当袭击者发起穷举袭击时，使用默认顾客名，会大大减少袭击者袭击难度
检查办法
进入“控制面板->管理工具->计算机管理->系统工具->本地顾客和组”：
检查administrator、guest与否存在。
操作环节
administrator、guest重命名
回退操作
回退到原有配备设立
操作风险
也许导致某些自动登录服务异常
2.6 口令生存期不得长于90天
配备项描述
口令生存期不得长于90天，应定期更改顾客口令
检查办法
进入“控制面板->管理工具->本地安全方略”，在“帐户方略->密码方略”中：
检查“密码最长存留期”设立
操作环节
设立“密码最长存留期”不大于等于90
回退操作
回退到原有配备设立
操作风险
低风险
2.7 设定持续认证失败次数
配备项描述
设定持续认证失败次数超过6次（不含6次）锁定该账号
检查办法
进入“控制面板->管理工具->本地安全方略”，在“帐户方略->帐户锁定方略”中：
检查“帐户锁定阀值”设立
操作环节
设立“帐户锁定阀值”不大于等于6
回退操作
回退到原有配备设立
操作风险
也许导致恶意尝试锁定帐户
2.8 远端系统强制关机权限设立
配备项描述
将从远端系统强制关机仅指派给Administrators组，避免普通顾客拥有额外系统控制权限
检查办法
进入“控制面板->管理工具->本地安全方略”，在“本地方略->顾客权利指派”中：
检查“从远端系统强制关机”设立
操作环节
设立“从远端系统强制关机”删除除Administrators以外其她项
回退操作
回退到原有配备设立
操作风险
也许导致某些系统功能异常或应用非正常运营
2.9 关闭系统权限设立
配备项描述
将关闭系统仅指派给Administrators组，避免普通顾客拥有额外系统控制权限
检查办法
进入“控制面板->管理工具->本地安全方略”，在“本地方略->顾客权利指派”中：
检查“关闭系统”设立
操作环节
设立“关闭系统”删除除Administrators以外其她项
回退操作
回退到原有配备设立
操作风险
也许导致某些系统功能异常或应用非正常运营
2.10 获得文献或其他对象所有权设立
配备项描述
将获得文献或其他对象所有权设立仅指派给Administrators组，避免普通顾客拥有额外系统控制权限
检查办法
进入“控制面板->管理工具->本地安全方略”，在“本地方略->顾客权利指派”中：
检查“获得文献或其他对象所有权”设立
操作环节
设立“获得文献或其他对象所有权”删除除Administrators以外其她项
回 退
回退到原有配备设立
操作风险
也许导致某些系统功能异常或应用非正常运营
2.11 将从本地登录设立为指定授权顾客
配备项描述
将从本地登录设立为指定授权顾客，将登陆权限赋予指定顾客
检查办法
进入“控制面板->管理工具->本地安全方略”，在“本地安全方略->顾客权利指派”中：
检查“容许在本地登录”设立
操作环节
设立“容许在本地登录”只保存授权顾客，删除其她项
回退操作
回退到原有配备设立
操作风险
也许导致某些系统功能异常或应用非正常运营
2.12 将从网络访问设立为指定授权顾客
配备项描述
将从网络访问设立为指定授权顾客
检查办法
进入“控制面板->管理工具->本地安全方略”，在“本地方略->顾客权利指派”中：
检查“从网络访问”设立
操作环节
设立“从网络访问”只保存授权顾客，删除其她项
回退操作
回退到原有配备设立
操作风险
也许导致某些系统功能异常或应用非正常运营
3. 日记配备规定
3
3.1 【基本】审核方略设立中成功失败都要审核
配备项描述
记录系统所有审核信息，审核方略设立中成功失败都要审核
检查办法
进入“控制面板->管理工具->本地安全方略”，在“本地方略->审核方略”中：
查看与否符合操作中提到各原则
操作环节
将不符合评估内容项进行加固，安全原则设立如下：
审核方略更改：成功和失败
审核登录事件：成功和失败
审核系统事件：成功和失败
审核帐户登录事件：成功和失败
审核帐户管理：成功和失败
审核对象访问：成功和失败
审核特权使用：成功和失败
审核目录服务访问：成功和失败
审核过程跟踪：失败
其她设立无规定。
回退操作
回退到原有配备设立
操作风险
启动无用审核也许减少系统性能并占用一定磁盘空间
3.2 【基本】设立日记查看器大小
配备项描述
将应用、系统、安全日记查看器大小设立为至少8192KB
检查办法
进入“控制面板->管理工具->事件查看器”，在“事件查看器（本地）”中：（在应用程序日记、安全日记和系统日记上点右键，看属性中日记大小上限设立，单位为KB。）
查看与否符合操作中提到各原则
操作环节
将不符合评估内容项进行加固，应用日记容量为8192KB，安全日记容量为8192KB，系统日记容量为8192KB，设立当达到最大日记大小时，“按需要覆盖事件”。并且顾客有流程定期转存日记
回退操作
回退到原有配备设立
操作风险
低风险
4. IP合同安全规定
4
4.1 启动TCP/IP筛选
配备项描述
对于不自带windows防火墙系统，需启动TCP/IP筛选，切只能开放业务所需要TCP、UDP端口和IP合同
检查办法
先请系统管理员出示业务所需端口列表。
进入“控制面板－>网络连接－>本地连接－>Internet合同（TCP/IP）属性－>高档TCP/IP设立”，在“选项”属性中启用网络连接上TCP/IP筛选，依照列表查看与否只开放业务所需要TCP、UDP端口和IP合同。
操作环节
注意异常端口，与管理员追查异常端口有关项。对没有自带防火墙Windows系统，启用Windows系统IP安全机制(IPSec)或网络连接上TCP/IP筛选，只开放业务所需要TCP、UDP端口和IP合同。
回退操作
回退到原有配备设立
操作风险
必要对的设立网络访问控制方略，否则也许导致某些应用无法正常访问网络
4.2 启用防火墙
配备项描述
启用Windows自带防火墙，且依照业务需要限定容许访问网络应用程序，和容许远程登陆该设备IP地址范畴
检查办法
进入“控制面板－>网络连接－>本地连接”，在高档选项设立中，查看与否启用Windows防火墙。
查看与否在“例外”中配备容许业务所需程序接入网络。
查看与否在“例外->编辑->更改范畴”编辑容许接入网络地址范畴。
操作环节
将不符合评估内容项进行加固，启用Windows自带防火墙。依照业务需要限定容许访问网络应用程序，和容许远程登陆该设备IP地址范畴。
回退操作
回退到原有配备设立
操作风险
必要对的设立网络访问控制方略，否则也许导致某些应用无法正常访问网络
4.3 启用SYN袭击保护
配备项描述
启用SYN袭击保护，当袭击者发起SYN袭击时，避免CPU和内存资源被过度消耗
检查办法
在“开始->运营->键入regedit”。
启用 SYN 袭击保护命名值位于注册表项 HKEY_LOCAL_MACHINE\ SYSTEM\CurrentControlSet\Services 之下：
值名称：SynAttackProtect
Windows推荐值：2
Windows推荐值：1
如下某些中所有项和值均位于注册表项 HKEY_LOCAL_MACHINE\ SYSTEM\CurrentControlSet\Services 之下：
指定必要在触发 SYN flood 保护之前超过 TCP 连接祈求阈值：
值名称：TcpMaxPortsExhausted
推荐值：5
启用 SynAttackProtect 后，该值指定 SYN_RCVD 状态中 TCP 连接阈值，超过 SynAttackProtect 时，触发 SYN flood 保护：
值名称：TcpMaxHalfOpen
推荐值数据：500
启用 SynAttackProtect 后，指定至少发送了一次重传 SYN_RCVD 状态中 TCP 连接阈值，超过 SynAttackProtect 时，触发 SYN flood 保护：
值名称：TcpMaxHalfOpenRetried
推荐值数据：400
操作环节
1、备份注册表原有配备设立
2、将不符合评估内容项进行加固，启用SYN袭击保护：
指定触发SYN洪水袭击保护所必要超过TCP连接祈求数阀值为5；
指定处在 SYN_RCVD 状态 TCP 连接数阈值为500；
指定处在至少已发送一次重传 SYN_RCVD 状态中 TCP 连接数阈值为400。
回退操作
回退到原有配备设立
操作风险
必要对的设立网络访问控制方略，否则也许导致某些应用无法正常访问网络
5. 服务配备规定
5
5.1 【基本】启用NTP服务
配备项描述
启用NTP服务，配备统一服务器时钟，应启动NTP服务向网络内指定NTP server同步时钟。
检查办法
对于已加入域服务器，系统将自动与域控服务器同步时钟；
对于未加入域服务器，需按如下环节配备。
操作环节
点击桌面右下角时钟栏，启动“更改日期和时钟设立”-“internet时间”
启动“自动与internet时间服务器同步”选型，在服务器栏中填写NTP serverIP地址，然后点击“及时更新”
回退操作
恢复系统原有NTP配备
操作风险
需要时间源，中风险，系统时间更改
5.2 【基本】关闭不必要服务
配备项描述
列出所需要服务列表(涉及所需系统服务)，不在此列表服务需关闭
检查办法
进入“控制面板->管理工具->计算机管理”，进入“服务和应用程序”：
查看所有服务，不在此列表服务需关闭。
操作环节
关闭不需要服务
回退操作
回退到原有配备设立
操作风险
关闭或停止某些服务也许导致应用运营异常
5.3 【基本】关闭不必要启动项
配备项描述
关闭不必要启动项，优化系统资源，同步减少引入 不必要系统漏洞
检查办法
“开始->运营->MSconfig”启动菜单中检查启动项
操作环节
关闭不必要启动项
回退操作
回退到原有配备设立
操作风险
需要确认启动项与否必要
5.4 【基本】关闭自动播放功能
配备项描述
关闭自动播放功能，避免执行未经扫描或确认文献，从而引入木马或病毒
检查办法
点击开始→运营→输入gpedit.msc，打开组方略编辑器，计算机配备→管理模板→系统，在右边窗格中双击“关闭自动播放”，检查 “关闭自动播放”项设立
操作环节
在“关闭自动播放”对话框中，选取“已启用”，并选取“所有驱动器”，拟定即可
回退操作
回退到原有配备设立
操作风险
低风险
5.5 【基本】审核HOST文献可疑条目
配备项描述
删除HOST文献下可疑条目
检查办法
查看与否符合操作中提到原则，检查C:\windows\system32\drivers\etc目录下用于静态DNS解析HOSTS文献内容与否正常
操作环节
1、备份HOSTS文献
2、将不符合评估内容项进行加固，保证C:\windows\system32\drivers\etc目录下用于静态DNS解析HOSTS文献内容正常，对于未知条目可以与管理员追查
回退操作
将备份HOSTS文献替代更改文献
操作风险
与系统管理员确认后可执行加固
5.6 【基本】存在未知或无用应用程序
配备项描述
存在未知或无用应用程序，应定期清理应用程序列表中无用或未知程序，防止系统被植入木马或病毒
检查办法
检查“添加或删除程序”面板中列表
操作环节
备份需要协助应用程序配备文献
不要安装不必要应用程序，向管理员确承认卸载应用软件项
回 退
重新安装卸载应用重新，恢复配备文献
操作风险
需要确认应用与否必要，也许需要重启系统
5.7 【基本】关闭默认共享
配备项描述
关闭默认共享，未经确认共享操作，特别是对everyone共享，会对信息安全导致严重威胁
检查办法
net share或计算机管理--共享
操作环节
关闭Windows硬盘默认共享，例如ADMIN$，C$，D$。
进入“开始－>运营－>Regedit”，进入注册表编辑器，更改注册表键值：
在HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters\下，增长REG_DWORD类型AutoShareServer 键，值为0。
回退操作
回退到原有配备设立
操作风险
也许导致某些必要使用共享应用非正常运营
5.8 【基本】非everyone授权共享
配备项描述
共享文献夹中，设立只容许授权账户拥有权限共享此文献夹
检查办法
检查共享文献夹中授权顾客
操作环节
设立共享文献夹中授权顾客为指定顾客，而非everyone
回退操作
回退到原有配备设立
操作风险
须经测试，也许导致某些使用共享应用异常
5.9 【基本】SNMP Community String设立
配备项描述
如需启用SNMP服务，修改默认SNMP Community String设立
检查办法
进入“控制面板->管理工具->计算机管理”，进入“服务和应用程序”：
检查“SNMP Service”， “属性”面板中“安全”选项卡community strings设立
操作环节
community strings改为其她，不是默认“public”
回退操作
回退到原有配备设立
操作风险
也许导致服务不正常
5.10 【基本】删除可匿名访问共享
配备项描述
删除可匿名访问共享，共享文献应明确共享对象，且不容许匿名访问
检查办法
进入“控制面板->管理工具->本地安全方略”，在“本地方略->安全选项”中：
检查“网络访问：可匿名访问共享”设立
操作环节
删除“网络访问：可匿名访问共享”中所有项
回退操作
回退到原有配备设立
操作风险
也许导致某些系统功能异常或应用非正常运营
5.11 关闭远程注册表
配备项描述
关闭远程注册表，防止顾客远程修改或查看系统注册表
检查办法
进入“控制面板->管理工具->计算机管理”，进入“服务和应用程序”：
检查“Remote Registry”
操作环节
设立“Remote Registry”已停用
回退操作
回退到原有配备设立
操作风险
某些应用也许需要此功能
5.12 对于远程登陆帐号，设立不活动断开时间为1小时
配备项描述
对于远程登陆帐号，设立不活动断开时间为1小时，长时间空闲账户将自动退出
检查办法
进入“控制面板->管理工具->本地安全方略”，在“本地方略->安全选项”中：
检查“Microsoft 网络服务器：在挂起会话前所需空闲时间”设立
操作环节
设立“Microsoft 网络服务器：在挂起会话前所需空闲时间”不大于等于1小时
回退操作
回退到原有配备设立
操作风险
也许导致某些应用运营异常
5.13 IIS服务补丁更新
配备项描述
如需启用IIS服务，IIS服务补丁需及时更新
检查办法
检查IIS版本
操作环节
安装IIS 补丁包或升级到IIS6.0
回退操作
卸载IIS 补丁包
操作风险
也许导致服务不正常
6. 其他配备规定
6
6.1 【基本】安装防病毒软件
配备项描述
安装防病毒软件和防病毒软件并及时升级
检查办法
检查杀毒软件安装和升级状况
操作环节
安装杀毒软件并升级到最新版本
回退操作
卸载杀毒软件或回退到此前版本
操作风险
需要重启并也许误删正常系统或应用文献
6.2 【基本】配备WSUS补丁更新服务器
配备项描述
指定系统获取补丁位置，将更新源指向WSUS服务器
检查办法
1.执行regedit调出注册表编辑器
2.查看参数
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"和"WUStatusServer"，确认其与否为"http://10.23.134.8"
操作环节
管理员使用域账号登录\\10.23.134.8\wsus-reg，下载WSUS配备程序，配备程序涉及：
办公服务器组：相应注册表文献为serverbg.reg
业务服务器组：相应注册表文献为serveryw.reg
顾客依照业务需要选取下载相应配备程序，执行完*.reg文献后，重启automatic update服务，并在命令行下执行wuauclt /detectnow，启动客户端积极触发更新机制。
回退操作
修改注册表配备，恢复更新服务器指向
操作风险
需要重启且未经测试补丁也许导致应用运营异常

6.3 【基本】Service Pack补丁更新
配备项描述
Service Pack补丁未及时更新，将为袭击者提供入侵漏洞
检查办法
检查Service Pack补丁版本
操作环节
安装最新Service Pack补丁包
回退操作
卸载Service Pack补丁包
操作风险
需要重启且未经测试补丁也许导致应用运营异常
6.4 【基本】Hotfix补丁更新
配备项描述
Hotfix补丁更新，将为袭击者提供入侵漏洞
检查办法
检查Hotfix补丁版本
操作环节
安装最新Hotfix补丁包
回退操作
卸载Hotfix补丁包
操作风险
需要重启且未经测试补丁也许导致应用运营异常
6.5 设立带密码屏幕保护
配备项描述
设立带密码屏幕保护，并将时间设定为5分钟，防止合法顾客未及时退出登录，导致数据泄露
检查办法
进入“控制面板－>显示－>屏幕保护程序”：
查看与否符合操作中提到原则
操作环节
将不符合评估内容项进行加固，查看与否启用屏幕保护程序，设立等待时间为“5分钟”，启用“在恢复时使用密码保护”。
回退操作
回退到原有配备设立
操作风险
低风险
6.6 交互式登录不显示上次登录顾客名
配备项描述
交互式登录未设立不显示上次登录顾客名，袭击者可以此获取系统顾客信息，减少袭击难度
检查办法
进入“控制面板->管理工具->本地安全方略”，在“本地方略->安全选项”中：
检查“交互式登录：不显示上次顾客名”设立
操作环节
设立“交互式登录：不显示上次顾客名”为已启动
回退操作
回退到原有配备设立
操作风险
低风险