Windows系统安全基线-Toy模板网

这篇具有很好参考价值的文章主要介绍了Windows系统安全基线。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

前言

系统安全基线

一、安全基线概述

1.操作系统安全基线

服务器安全基线是为了满足安全规范要求，服务器必须要达到的安全（最低）标准

主要有以下作用
1）设置口令复杂度策略，防止暴力破解密码；
2）控制用户或文件权限，减少被攻击后的影响；
3）最小化安装操作系统，防止不必要的服务带来的安全问题。
安全基线在银行、证券、运营商、互联网行业等信息安全领域的应用范围非常广泛
通常包含：操作系统、网络设备、数据库等
Windows系统安全配置
1）用户管理
2）密码策略管理
3）共享管理
4）文件权限管理
5）用户权限管理
6）日志审核管理
7）远程管理
8）其他安全选项

二、系统账户安全

1.控制密码安全

本地安全策略：指的是为保护本计算机资源而配置的规则
本地安全策略工具：开始→管理工具→本地安全策略
Windows系统安全基线

账户策略：控制用户账户如何与计算机交互
密码策略：确定密码的设置，如密码复杂性和密码长度等
账户锁定策略：确定账户锁定的条件和时间
本地策略：审核策略、用户权限分配、安全选项

2.密码策略

1）密码必须符合复杂性要求

不能包含用户的账户名
包含以下四类字符中的三类字符：大写字母（A到Z），小写字母（a到z），数字（0到9），非字母字符（例如!、$、#、%）等

2）密码长度最小值
3）密码最长使用期限（默认42天）
4）密码最短使用期限
5）强制密码历史

3.账户锁定策略

配置账户锁定策略，防止暴力破解攻击
Windows系统安全基线

账户锁定时间（在自动解锁之前保持锁定的分钟数）
账户锁定阈值（登陆尝试失败的次数）
重置账户锁定计数器（多长时间内累加失败次数）

例：密码策略应用

本案例要求在WinSvr2016中设置密码策略，以实现账户安全的要求，相关说明如下：
1）以管理员登录，打开“本地安全策略”
2）设置账户策略中密码策略，密码必须符合复杂性要求：启用
3）设置密码长度最小值：8个
4）验证密码策略

步骤一：以管理员登录，打开“本地安全策略”
以administrator登录电脑，依次单击“开始”–>“Windows管理工具”–>“本地安全策略”

打开“本地安全策略”窗口
步骤二：设置账户策略中密码策略
1）依次展开“账户策略”–>“密码策略”

2）双击窗口右侧“密码必须符合复杂性要求”，设置为“开启”

3）双击窗口右侧“密码长度最小值”，设置为“8个”

4）最终“密码策略”设置结果
步骤三：验证密码策略、
1）验证密码策略，打开“本地用和组”管理窗口，修改用户“guojing”的密码

输入简单的密码“123456”，弹出对话框显示“密码不满足密码策略的要求”

输入复杂的密码“Aa123456”，弹出对话框显示“密码已设置”

例：账户锁定策略应用

本案例要求在WinSvr2016中设置账户锁定策略，以实现账户安全的要求，相关说明如下。
1）以管理员登录，打开“本地安全策略”
2）设置账户策略中账户锁定策略，账户锁定阈值：3
3）账户锁定时间：10分钟
4）验证账户锁定策略

步骤一：设置账户策略中账户锁定策略
1）依次展开“账户策略”–>“账户锁定策略”

2）双击窗口右侧“账户锁定阈值”，修改为“3次无效登录”锁定账户

3）双击窗口右侧“账户锁定时间”，修改为“10分钟“

4）最终“账户锁定策略”设置结果
步骤二：验证账户锁定策略
1）验证“账户锁定策略”，切换账户使用“guojing”登录，先输入3次错误的密码，当输入第4次时，显示“引用的账户当前已锁定，且可能无法登录

需要等待10分钟后账户“guojing”自动解锁，或使用管理员登录后到“本地用和组”管理窗口中“手动解锁”

三、本地策略

本地策略适用于计算机，包括以下策略：

审核策略：设置计算机上的安全日志中的日志记录
用户权限分配：设置用户和组的权限
安全选项：为计算机指定安全设置

1.审核策略

配置以安全日志的方式记录安全相关事件

审核策略更改，记录对策略的修改事件
审核登陆事件，记录用户登陆成功或失败事件
审核账户管理，记录用户添加/删除/重命名/禁用/启用等事件
审核对象访问，记录对非目录（Active Directory）访问的事件
审核进程跟踪，记录与进程相关的事件
审核目录服务访问，记录对目录（Active Directory）访问的事件
审核权限使用，记录用户权限使用的事件
审核系统事件，记录对OS进行以下设置的事件（更改系统事件、安全启动或关闭系统、加载可扩展身份验证组件、由于审核系统失败而导致已审核事件丢失、安全日志大小超过可配置的警告或阈值级别）
审核账户登陆事件，记录每次验证账户凭证时的事件

2.用户权限分配

设置用户和组的权限

允许通过远程桌面服务登陆
允许本地登陆
拒绝本地登陆
更改系统时间
备份文件和目录

3.安全选项配置

交互式登陆：无需按Ctrl+Alt+Del，默认禁用
交互式登陆：提示用户在密码过期之前更改密码，默认5天
交互式登陆：不显示最后的用户名，默认禁用
关机：允许系统在未登录的情况下关闭，默认禁用
…

例：审核策略应用

本案例要求在WinSvr2016中设置审核策略，以实现本地计算机安全的要求，相关说明如下。
1）以管理员登录，打开“本地安全策略”
2）设置审核策略，设置审核账户管理：成功、失败
3）分别验证设置本地策略的效果

步骤一：设置审核策略
1）打开“本地安全策略”窗口，依次展开“本地策略”–>“审核策略”

2）在窗口右侧，双击“审核账户管理”，在“审核账户管理属性”对话框中，勾选“成功”和“失败”

3）验证审核策略效果，重命名guojing帐户名为jinggege，在控制面板中，双击“管理工具-事件查看器-Windows日志-安全”，双击“用户账户管理事件”在弹出的对话框中，查看账户管理事件

例：用户权限配置应用

本案例要求在WinSvr2016中设置用户权限策略，以实现本地计算机安全的要求，相关说明如下：
1）以管理员登录，打开“本地安全策略”设置用户权限分配
2）设置拒绝本地登录：huangrong
3）设置本地关机：只有管理员用户可以本地关系统操作系统
4）验证设用户权限分配效果

步骤一：设置用户权限分配
1）打开“本地安全策略”窗口，依次展开“本地策略”–>“用户权限分配”

2）在窗口右侧双击“拒绝本地登录”，在“拒绝本地登录属性”对话框，添加“huangrong”用户

3）在窗口右侧双击“关闭系统”，在“关闭系统属性”对话框，删除其他用户及组仅保留Administrators组

4）验证用户权限分配，注销登录系统输入用户名huangrong和正确的密码，显示“不允许使用你正在尝试的登录方式，……”

例：安全选项配置应用

本案例要求在WinSvr2016中设置安全选项策略，以实现本地计算机安全的要求，相关说明如下：
1）设置安全选项，交互式登录: 不显示最后的用户名：启用
2）设置安全选项，交互式登录: 无需按 Ctrl+Alt+Del：启用
3）验证安全选项策略的效果

步骤一：设置安全选项
1）打开“本地安全策略”窗口，依次展开“本地策略”–>“安全选项”

2）在窗口右侧双击“交互式登录:不显示最后的用户名”，在其属性对话框，选中“已启用”

3）在窗口右侧双击“交互式登录: 无需按 Ctrl+Alt+Del”，在其属性对话框，选中“已启用”
Windows系统安全基线
4）最终“安全选项”设置结果

步骤二：验证设置本地策略的效果
1）验证“安全选项”，切换到用户登录界面，发现“无需按Ctrl+Alt+Del” ，而且不显示“最后的登录名”

2）输入用户名huangrong和正确的密码，显示“不允许使用你正在尝试的登录方式，……”

四、系统账户安全加固

1.Windows账户管理

多用户系统
Windows不应只有一个管理员用户，应根据业务需求，设定不同的用户和用户组，如管理员用户、web用户、数据库用户
定期检查用户，删除无用、过期的账户
应保证所有用户均为有效且在用
禁用Guest用户
系统应禁用Guest账户，Guest账户默认不开启
账户管理
更改默认管理员账户（应更改默认管理员administrator的名称，防止暴力破解等问题）
不显示最后得到用户名（用户登陆出后，下次登陆时，不应显示上次登陆用户的名称）
检测方法
控制面板-系统和安全-管理工具-计算机管理
控制面板-系统和安全-管理工具-本地安全策略
查看当前系统账户
1）打开cmd查看当前系统账户
2）开始→控制面板→管理工具→计算机管理，进入本地用户和组，查看用户
3）打开注册表，查看用户和组HKEY_LOCAL_MACHINE/SAM/SAM/Domains/Account/Users/

2.共享安全加固

关闭默认共享
关闭Windows默认共享
例如：Admin$，C $，D $等
检测方法
打开cmd，输入net share查看目前的共享
控制面板→系统和安全→管理工具→计算机管理→共享文件夹→共享
删除本机默认共享
1）利用net命令删除（本方法停止共享，立即生效，但是重启系统后，默认共享会自动恢复）
net share ipc$ /delete
net share admin$ /delete
net share c$ /delete
net share c$ /delete
net share c$ /delete
2）关闭磁盘与Admin默认共享
①在注册表编辑器，找到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters
②双击右侧窗口的“AutoShareServer”项将键值由1改为0，“AutoShareSks”项将键值由1改为0
③如果没有“AutoShareServer”项或“AutoShareSks”项，可新建一个再改键值
④重启后生效，以后重启也不会再出现共享
停止共享服务
1）打开服务管理器
2）共享服务对应的名称时“Server”（在进程中的名称为services）
3）双击“Server”，在“常规”标签中把“启动类型”更改为“已禁用”
4）单击下面“服务状态”的“停止”按钮，再确认就可以

例：查看账户信息

本案例要求在Windows系统中查看用户信息，相关说明如下。
1）以管理员登录，进入命令提示环境查看用户
2）打开注册表查看用户

步骤一：以管理员登录，运行“命令提示环境”，查看用户信息
以administrator登录电脑，运行–>“cmd”–>“打开命令提示环境”，输入net user命令查看系统用户信息
步骤二：打开注册表查看用户信息
1）运行“regedit”打开注册表

2）依次展开“HKEY_LOCAL_MACHINE\SAM\SAM”右击SAM选择权限，添加Administrator用户勾选完全控制权限

3）查看HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names下的键值为用户名

4）用户名键值下的值，对应的Users下的键

5）Users下的F键值，为权限设置信息

例：关闭默认共享

本案例要求在Windows系统中关闭默认共享，提高系统安全，相关说明如下。
1）在注册表编辑器，找到"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters"项
2）“ AutoShareSks”项关闭磁盘默认共享
3）“AutoShareServer”项关闭Admin默认共享

步骤一：打开注册表找到parameters"项，编辑注册表关闭默认共享
1）进入Windows命令提示环境，输入net share已查看默认共享有C $、Admin $

2）以管理员登录，打开“注册表”，查
找"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters"项

3）“parameter”项右侧窗口中查找“AutoShareSks”项，如果没有 “AutoShareSks”项，可自己新建一个键值DWORD(32位)值(D)，双击“AutoShareSks”项将键值由1改为0

4）“parameter”项右侧窗口中查找"AutoShareServer"项，如果没有 “AutoShareServer”项，可自己新建一个键值DWORD(32位)值(D)，双击“AutoShareServer”项将键值由1改为0

5）重启系统运行命令提示环境，输入net share已查看不到磁盘与Admin共享

例：系统服务加固

本例要求为Windows系统服务加固，禁用以下服务：
1）IP Helper、Base Filtering Engine、Print Spooler
2）Security Center、Server、SSDP Discovery
Top
3）TCP/IP NetBIOS Helper
4）Windows Defender Service文章来源地址https://www.toymoban.com/news/detail-473425.html