系统安全配置技术规范WindowsWord下载.docx
《系统安全配置技术规范WindowsWord下载.docx》由会员分享，可在线阅读，更多相关《系统安全配置技术规范WindowsWord下载.docx（20页珍藏版）》请在冰豆网上搜索。
职位
签名
1.适用范围
如无特殊说明，本规范所有配置项适用于Windows操作系统2003、2008系列版本。
其中标示为“基本”字样的配置项，均为本公司对此类系统的基本安全配置要求；
未标示“基本”字样的配置项，请各系统管理员视实际需求酌情遵从。
2.帐号管理与授权
1
2
2.1【基本】删除或锁定可能无用的帐户
配置项描述
删除或锁定无用的帐户，定期清理无用账户，防止过期用户非法登入操作系统
检查方法
进入“控制面板->
管理工具->
计算机管理->
系统工具->
本地用户和组”：
审核不必要的用户和组，审核帐户隶属的组权限，审核组用户。
操作步骤
根据系统的要求和实际业务情况，设定不同的帐户和帐户组，如管理员用户、数据库用户、审计用户、来宾用户等。
删除或锁定与设备运行、维护等与工作无关的帐户
回退操作
回退到原有的配置设置
操作风险
需要确认帐户用途
2.2【基本】按照用户角色分配不同权限的帐号
按照用户角色分配不同权限的帐号，保证用户权限最小化
审核用户和组，审核帐户隶属的组权限，审核组用户。
需要确认帐户用途，确认用户所需权限
2.3【基本】口令策略设置不符合复杂度要求
口令策略设置不符合复杂度要求，口令过于简单，易被黑客破译
本地安全策略”，在“帐户策略->
密码策略”中：
检查“密码必须符合复杂度要求”设置
设置“密码必须符合复杂度要求”已开启
低风险
2.4【基本】设定不能重复使用口令
设定不能重复使用最近5次（含5次）内已使用的口令
检查“强制密码历史”设置
设置“强制密码历史”大于等于5
2.5不使用系统默认用户名
administrator、guest等默认帐户使用默认用户名，当攻击者发起穷举攻击时，使用默认用户名，会大大降低攻击者的攻击难度
检查administrator、guest是否存在。
administrator、guest重命名
可能导致某些自动登录的服务异常
2.6口令生存期不得长于90天
口令生存期不得长于90天，应定期更改用户口令
检查“密码最长存留期”设置
设置“密码最长存留期”小于等于90
2.7设定连续认证失败次数
设定连续认证失败次数超过6次（不含6次）锁定该账号
帐户锁定策略”中：
检查“帐户锁定阀值”设置
设置“帐户锁定阀值”小于等于6
可能导致恶意尝试锁定帐户
2.8远端系统强制关机的权限设置
将从远端系统强制关机仅指派给Administrators组，避免普通用户拥有额外的系统控制权限
本地安全策略”，在“本地策略->
用户权利指派”中：
检查“从远端系统强制关机”设置
设置“从远端系统强制关机”删除除Administrators以外其他项
可能导致某些系统功能异常或应用非正常运行
2.9关闭系统的权限设置
将关闭系统仅指派给Administrators组，避免普通用户拥有额外的系统控制权限
检查“关闭系统”设置
设置“关闭系统”删除除Administrators以外其他项
2.10取得文件或其它对象的所有权设置
将取得文件或其它对象的所有权设置仅指派给Administrators组，避免普通用户拥有额外的系统控制权限
检查“取得文件或其它对象的所有权”设置
设置“取得文件或其它对象的所有权”删除除Administrators以外其他项
回退
2.11将从本地登录设置为指定授权用户
将从本地登录设置为指定授权用户，将登陆权限赋予指定用户
本地安全策略”，在“本地安全策略->
检查“允许在本地登录”设置
设置“允许在本地登录”只保留授权用户，删除其他项
2.12将从网络访问设置为指定授权用户
将从网络访问设置为指定授权用户
检查“从网络访问”设置
设置“从网络访问”只保留授权用户，删除其他项
3.日志配置要求
3
3.1【基本】审核策略设置中成功失败都要审核
记录系统的所有审核信息，审核策略设置中成功失败都要审核
审核策略”中：
查看是否符合操作中提到的各标准
将不符合评估内容项进行加固，安全标准设置如下：
审核策略更改：
成功和失败
审核登录事件：
审核系统事件：
审核帐户登录事件：
审核帐户管理：
审核对象访问：
审核特权使用：
审核目录服务访问：
审核过程跟踪：
失败
其他设置无要求。
开启无用的审核可能降低系统性能并占用一定磁盘空间
3.2【基本】设置日志查看器大小
将应用、系统、安全日志查看器大小设置为至少8192KB
事件查看器”，在“事件查看器（本地）”中：
（在应用程序日志、安全日志和系统日志上点右键，看属性中的日志大小上限设置，单位为KB。
）
将不符合评估内容项进行加固，应用日志的容量为8192KB，安全日志的容量为8192KB，系统日志的容量为8192KB，设置当达到最大的日志大小时，“按需要覆盖事件”。
并且用户有流程定期转存日志
4.IP协议安全要求
4
4.1开启TCP/IP筛选
对于不自带windows防火墙的系统，需开启TCP/IP筛选，切只能开放业务所需要的TCP、UDP端口和IP协议
先请系统管理员出示业务所需端口列表。
进入“控制面板－>
网络连接－>
本地连接－>
Internet协议（TCP/IP）属性－>
高级TCP/IP设置”，在“选项”的属性中启用网络连接上的TCP/IP筛选，根据列表查看是否只开放业务所需要的TCP、UDP端口和IP协议。
注意异常端口，与管理员追查异常端口相关项。
对没有自带防火墙的Windows系统，启用Windows系统的IP安全机制（IPSec）或网络连接上的TCP/IP筛选，只开放业务所需要的TCP、UDP端口和IP协议。
必须正确设置网络访问控制策略，否则可能导致某些应用无法正常访问网络
4.2启用防火墙
启用Windows自带防火墙，且根据业务需要限定允许访问网络的应用程序，和允许远程登陆该设备的IP地址范围
本地连接”，在高级选项的设置中，查看是否启用Windows防火墙。
查看是否在“例外”中配置允许业务所需的程序接入网络。
查看是否在“例外->
编辑->
更改范围”编辑允许接入的网络地址范围。
将不符合评估内容项进行加固，启用Windows自带防火墙。
根据业务需要限定允许访问网络的应用程序，和允许远程登陆该设备的IP地址范围。
4.3启用SYN攻击保护
启用SYN攻击保护，当攻击者发起SYN攻击时，避免CPU和内存资源被过度消耗
在“开始->
运行->
键入regedit”。
启用SYN攻击保护的命名值位于注册表项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services之下：
值名称：
SynAttackProtect
Windows2000推荐值：
Windows2003推荐值：
以下部分中的所有项和值均位于注册表项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services之下：
指定必须在触发SYNflood保护之前超过的TCP连接请求阈值：
TcpMaxPortsExhausted
推荐值：
5
启用SynAttackProtect后，该值指定SYN_RCVD状态中的TCP连接阈值，超过SynAttackProtect时，触发SYNflood保护：
TcpMaxHalfOpen
推荐值数据：
500
启用SynAttackProtect后，指定至少发送了一次重传的SYN_RCVD状态中的TCP连接阈值，超过SynAttackProtect时，触发SYNflood保护：
TcpMaxHalfOpenRetried
400
1、备份注册表原有的配置设置
2、将不符合评估内容项进行加固，启用SYN攻击保护：
指定触发SYN洪水攻击
升级会员 