终端合规安全设置文档.docx

终端合规安全设置文档.docx

《终端合规安全设置文档.docx》由会员分享，可在线阅读，更多相关《终端合规安全设置文档.docx（16页珍藏版）》请在冰豆网上搜索。

终端合规安全设置文档

终端合规安全设置文档（window平台）

1、身份鉴别策略组检测

1、密码策略和账户策略

密码长度最小值大于等于8个字符

密码最短使用期限大于等于2天

密码最长使用期限小于等于90天

保留密码历史数量大于等于5个

复位账户锁定计数器大于等于15分钟

账户锁定时间大于等于15分钟

账户锁定阈值小于等于10次

（1）进入控制面板->管理工具->本地安全策略

（2）分别设置密码策略和账户锁定策略

密码长度最小值：

>=8个字符

密码最短使用期限：

>=2天

密码最长使用期限：

<=90天，但不能为0，0代表永不过期。

强制密码历史：

>=5个

账户锁定时间：

>=15分钟

账户锁定阈值：

<=10次无效登录，但不能为0次。

重置账户锁定计数器：

>=15分钟之后

2、自动登录

（1）按“WIN+R”键，输入“controluserpasswords2”。

（2）在“用户账户”中：

选择自动登录的账户，点击“要使用本计算机，用户必须输入用户名和密码”，并重新设置新密码。

因为win7下无该选项，故参考win10版本。

2、访问控制策略组

1、账户检测

空密码账户

弱密码账户

禁用来宾帐户

隐藏账户

进入控制面板->管理工具->计算机管理

空密码：

账户密码为空，修改建议：

右键->设置密码

弱密码：

（Weakpasswords）即容易破译的密码，多为简单的数字组合、帐号相同的数字组合、键盘上的临近键或常见姓名，例如“123456”、“abc123”、“Michael”等。

，修改建议：

右键->设置密码

来宾账户：

在计算机中，Guest是指让给客人访问电脑系统的帐户。

与“Administrator”和“User”不同的，通常这个帐户没有修改系统设置和进行安装程序的权限，也没有创建修改任何文档的权限，只能是读取计算机系统信息和文件。

由于黑客和病毒的原因，一般情况下是不推荐使用此帐户，最好是不要开启这个帐户。

修改建议：

双击Guest用户->选择账户已禁用。

隐藏账户：

在控制面板与开机选择中看不见的账户。

它可以用输账号密码的方式进入。

修改建议：

右键->删除。

2、共享检测

默认共享

共享文件夹

进入“控制面板->管理工具->计算机管理”

默认共享：

删除

共享文件夹：

设置共享权限或者删除掉共享

3、安全审计策略组检测

1、安全审计策略

系统事件审核

登录事件审核

对象访问事件审核

特权使用事件审核

进程跟踪事件审核

策略更改事件审核

账户管理事件审核

目录服务访问事件审核

账户登录事件审核

进入“控制面板->管理工具->本地安全策略”

在“本地策略->审核策略”中：

所有项都设置为“成功”和“失败”都要审核

4、剩余信息防护策略组检测

1、关机检测

进入“控制面板->管理工具->本地安全策略”

在“本地策略->安全选项”中：

将“关机：

清除虚拟内存页面文件”，双击，修改状态为“已启用”

2、登录检测

进入“控制面板->管理工具->本地安全策略”

在“本地策略->安全选项”中：

将“交互式登录：

不显示最后的用户名”，双击，修改状态为“已启用”

5、入侵防范检测

1、Windows防火墙

进入“控制面板->windows防火墙”

在“启用或关闭防火墙/自定义设置”中：

将“专用网络设置”和“公用网络设置”都开启Windows防火墙。

检查WindowsFirewall服务是否开启，如下所示

2、自动更新

开启自动更新，检查WindowsUpdate服务是否开启，如下所示：

按“WIN+R”键，输入gpedit.msc,找到“Window更新”或“WindowsUpdate”，双击右边的“配置自动更新”选项

若“配置自动更新”选择“5-允许本地管理员选择设置”，则需在控制面板进行进一步设置。

进入“控制面板->WindowsUpdate”，PS:

win10及后续高版本的系统中，控制面板无此设置项，默认开启自动更新.

在“重要更新”中：

选择“自动安装更新（推荐）”。

3、非必须服务

Ftp服务已禁用

Telnet服务已禁用

进入“控制面板->管理工具->服务”

双击“Telnet”服务：

服务状态改为“已停止”。

双击“Microsoftftpsvc”服务：

服务状态改为“已停止”，操作同上。

4、防暴力破解

需要借助工具

6、恶意代码防范

需要借助工具