Windows终端安全配置手册Word文档下载推荐.docx

Windows终端安全配置手册Word文档下载推荐.docx

《Windows终端安全配置手册Word文档下载推荐.docx》由会员分享，可在线阅读，更多相关《Windows终端安全配置手册Word文档下载推荐.docx（27页珍藏版）》请在冰豆网上搜索。

勾取“账号已禁用”。

点击“确定”后，在guest账号上会出现一个向下的箭头号，表明操作成功。

（禁止其他不用的账户，可按此方法操作）

1.3账号锁定策略

按住“Win”键+“R”键，打开“运行”窗口，输入“gpedit.msc”，打开“组策略”窗口。

在“组策略”窗口中，选择“计算机配置”->

“Windows设置”->

“安全设置”->

“账户策略”->

“账户锁定策略”，进入“账户锁定策略”窗口。

在此窗口中，双击“帐户锁定阈值”，设置错误密码输入次数后点击“确定”，同时会弹出提醒，点击确定。

同样在“账户锁定策略”窗口，双击“账户锁定时间”，设置锁定时间后，点击“确定”。

备注：

锁定策略对administrator这个内置账户无效。

2用户密码策略

按住“Win”键+“R”键，打开“运行”窗口，输入gpedit.msc后回车。

依次找到“计算机配置”->

Windows设置”->

“密码策略”，将其中进行如下图所示的修改。

3屏幕保护锁屏

右击桌面空白处，选择“个性化”。

选择“屏幕保护程序”。

设置屏幕保护等待分钟数，建议设置为“5”分钟，并勾选“在恢复时显示登录屏幕”，点击“应用”后，单击“确定”完成。

4审核策略

安全设置”->

“本地策略”->

“审核策略”。

如双击“审核账户登录事件”，勾取“成功”和“失败”，之后确定。

推荐要审核的项目如下：

审核策略更改：

成功，失败。

审核登录事件：

审核对象访问：

失败。

审核对象追踪：

审核目录服务访问：

审核特权使用：

审核系统事件：

审核账户登录事件：

审核账户管理：

5用户权利分配

5.1从远端系统强制关机

“用户权限分配”，查看是否“从远端系统强制关机”设置为“只指派给Administrators组”。

5.2关闭系统

查看是否“关闭系统”设置为“只指派给Administrators组”。

5.3取得文件或其它对象的所有权

查看是否“取得文件或其它对象的所有权”设置为“只指派给Administrators组”。

6关闭系统默认共享

按住”Win”键+”R”键，打开“运行”窗口，输入regedit后回车。

HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters\下，增加REG_DWORD类型的AutoShareServer键，值为0，增加REG_DWORD类型的AutoShareWks键，值为0。

7关闭自动播放

按住”Win”键+”R”键，打开“运行”窗口，输入gpedit.msc后回车。

打开“组策略”。

在左窗格的“本地计算机策略”下，展开“计算机配置→管理模板→所有设置”，然后在右窗格的“设置”标题下，找到“关闭自动播放”，双击“关闭自动播放”，进入设置界面。

选择“已启用”，下面的设置窗口选择“所有驱动器”。

8关闭不必要的服务

8.1关闭不必要的windows系统服务

关闭windows系统服务里不必要且危险的服务，RemoteRegistry服务和Telnet服务（win7以后产品没有默认安装）。

在XP或者win2003上关闭Telnet服务，参照下面关闭RemoteRegistry服务的方法。

按住“Win”键+“R”键，打开“运行”窗口，输入services.msc后回车。

找到“RemoteRegistry”服务，点击“停止”。

右击“RemoteRegistry”服务属性，在“启动类型”处选择“禁止”，之后点击“应用”和“确定”。

8.2关闭其他软件安装的不必要服务

按住“Win”键+“R”键，打开“运行”窗口，输入msconfig后回车。

在“系统配置”窗口中选择“服务”->

“隐藏所以Microsoft服务（H）”打钩，则显示所有非Microsoft服务，将不必要服务前面的钩去掉，点击“应用”和“确定”。

在系统配置”窗口中选择“启动”，查看哪些服务是开机启动，将没必要的开机启动服务前面的钩去掉。

9补丁更新

终端电脑同步补丁服务器10.201.102.9（深圳移动内网补丁服务器），将wsus.reg文件双击导入注册表，wsus.reg内容如下：

WindowsRegistryEditorVersion5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\windows\WindowsUpdate]

"

WUServer"

="

http:

//10.201.102.9"

WUStatusServer"

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\windows\WindowsUpdate\AU]

NoAutoUpdate"

=dword:

00000000

AUOptions"

00000003

ScheduledInstallDay"

ScheduledInstallTime"

UseWUServer"

00000001

NoAutoRebootWithLoggedOnUsers"

导入成功后更新组策略，同步补丁，双击wsus.bat文件，wsus.bat文件内容如下：

@echooff

gpupdate/force

wuauclt/detectnow

10防病毒软件

终端电脑需安装防病毒软件，深圳移动网管网区域安装趋势防病毒软件，通过web页面的形式安装，URL如下：

（注意请使用IE浏览器）

https:

//10.201.102.2/officescan/console/html/ClientInstall/

第一次输入此URL可能会出现，如下情况：

选择“工具”->

”兼容性视图设置”。

点击“添加”，将10.201.102.2添加到“已添加到兼容性视图中的网站（W）”，点击“关闭”。

点击“立即安装”。

11终端监控软件

接入深圳移动网管网区域的终端电脑需要安装启明星辰天珣内网安全风险管理与审计系统客户端软件，下载链接如下：

//10.201.102.81:

8833/Download/ClientSetup.exe

下载好后，软件会自动启动安装，安装步骤如下：

12卸载不必要软件

卸载不必要的软件，可减少系统被攻击的几率，进而提高系统的安全性。

接入深圳移动网管网区域的终端电脑除杀毒软件、IE浏览器、天珣客户端软件、业务用到的软件外，其他的软件如QQ、迅雷等必须卸载，卸载软件方法如下：

按住”Win”键+”R”键，打开“运行”窗口，输入appwiz.cpl后回车。

13配置合规检查

深圳移动windows系统配置合规检查，请参照其内部资料文档《合规管理平台使用指引-Windows终端.pptx》，在“安全合规管理平台”上进行安全合规配置和弱口令检查，根据安全合规检查的要求，每台工作终端的配置合规率必须达到85%以上，并且杜绝弱口令。