windows加固手册.docx

1、windows加固手册longjilongjilongjilongji密 级：内部 信息安全加固手册WINDOWS系统Ver:1.0二零零五年四月文档修改记录修改日期修改人修改说明版本号2006-07-29V1.01 补丁类 41.1 最新的Service Pack 41.2 最新的Hotfixs 42 端口服务类 52.1 禁止alert服务 52.2 禁止Messenger服务 62.3 禁止Telnet服务 63系统参数类 73.1禁止自动登录 73.2禁止在蓝屏后自动启动机器 83.4 3.5防止计算机浏览器欺骗攻击 84网络参数类 94.1防止碎片包攻击 95用户管理、访问控制、审计

2、功能类 105.1验证Passwd强度 105.2密码长度 115.3密码使用时间 125.4账号登录事件审计 135.5账号管理审计 155.6目录服务访问审计 165.7登录事件审计 185.8对象访问审计 195.9策略更改审计 215.10特权使用审计 225.11进程跟踪审计 245.12系统事件审计 255.13失败登录账号锁定 275.14失败登录账号锁定时间 285.15登录时间到期时自动退出登录 295.17不显示上次登录的用户名 305.18防止系统保持计算机账号和口令 315.19防止用户安装打印机驱动程序 325.20恢复控制台禁止管理员自动登录 333 防病毒 353

3、.1 安装防病毒软件及其更新 35补丁类最新的Service Pack风险描述是否已经安装了最新的Service Pack风险等级风险高加固建议从微软的更新网站上下载最新的补丁进行安装加固存在的风险 需要重启系统加固风险规避方法加固成果升级后能避免攻击者利用微软已公布的漏洞进行攻击加固具体方法WindowsSP补丁（如WIN2000的SP3）包可以用介质升级；最好选择可以恢复系统的安装方式新烟集团意见新烟集团管理员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不

4、同意（描述不同意的原因） 签名（签字确认）最新的Hotfixs风险描述是否已经安装了最新的Hotfixs风险等级风险高加固建议从微软的更新网站上下载最新的补丁进行安装加固存在的风险 可能需要重新启动系统加固风险规避方法加固成果升级后能避免攻击者利用微软已公布的漏洞进行攻击加固具体方法WIN2000的HOTFIX可以直接点击开始菜单的Windows Update，直接到 升级，最好选择可以恢复系统的安装方式新烟集团意见新烟集团管理员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见： 同意 需要修改（描述

5、修改的意见） 不同意（描述不同意的原因） 签名（签字确认）端口服务类禁止alert服务风险描述通知所选用户和计算机有关系统管理级警报。风险等级风险低加固建议将alert服务停止或者禁用加固存在的风险 加固成果加固具体方法1、打开 控制面板-管理工具-服务窗口2、查看alert服务是否已启动3、将服务停止，将其启动类型由“自动”改为“手动”或者“禁用”。新烟集团意见新烟集团管理员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确

6、认）禁止Messenger服务风险描述用于把Alerter服务器的消息发送给网络上的其它机器风险等级风险低加固建议将Messenger服务停止或者禁用加固存在的风险 加固成果不会把Alerter服务器的消息发送给网络上的其它机器加固具体方法1、打开 控制面板-管理工具-服务窗口2、查看Messenger服务是否已启动3、将服务停止，将其启动类型由“自动”改为“手动”或者“禁用”。新烟集团意见新烟集团管理员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述

7、不同意的原因） 签名（签字确认）禁止Telnet服务风险描述该服务在缺省时被安装.用于基于命令行方式的远程管理, 但是该协议在网络上一明文传输数据. 风险等级风险高加固建议将Telnet服务停止或者禁用，如果需要进行命令行方式的远程管理, 建议使用SSH来作为替代加固存在的风险 加固成果避免入侵者通过监控Telnet协议端口获得敏感信息加固具体方法1、打开 控制面板-管理工具-服务窗口2、查看Telnet服务是否已启动3、将服务停止，将其启动类型由“自动”改为“手动”或者“禁用”。新烟集团意见新烟集团管理员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签

8、名（签字确认）厂商意见厂商维护人员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）3系统参数类3.1禁止自动登录风险描述自动登录会把用户名和口令以明文的形式保存在注册表中，因此需要禁止自动登录风险等级风险高加固建议修改注册表相关键值来禁止自动登录加固存在的风险 加固风险规避方法加固成果禁止了系统自动登录，避免其它用户从注册表中获得其它用户及其口令加固具体方法1、运行中输入regedit2、修改键值HKLMSoftwareMicrosoftWindows NT CurrentVersionWinlogonAutoAdminLogon 为(RE

9、G_DWORD) 0新烟集团意见新烟集团管理员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）3.2禁止在蓝屏后自动启动机器风险描述防止有恶意用户故意制造程序错误来重起机器以进行某些操作风险等级风险低加固建议修改注册表相关键值来禁止在蓝屏后自动启动机器加固存在的风险 加固风险规避方法加固成果用户在输入口令时都会用星号遮掩加固具体方法1、运行中输入regedit2、修改键值HKLMSystem CurrentControlSetContr

10、olCrashControlAutoReboot 为(REG_DWORD) 0新烟集团意见新烟集团管理员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）3.4 3.5防止计算机浏览器欺骗攻击风险描述虽然建议终端用户关闭他们的计算机浏览服务,但是也可能不是每个用户都会去执行.该注册表选项在计算机浏览服务被允许时提供对该服务弱点的保护.更详细的信息可以在风险等级风险中加固建议修改注册表相关键值来防止计算机浏览器欺骗攻击加固存在的风险 加固风

11、险规避方法加固成果防止计算机浏览器欺骗攻击加固具体方法1、运行中输入regedit2、修改键值HKLMSystem CurrentControlSetServicesMrxSmbParametersRefuseReset 为(REG_DWORD) 1新烟集团意见新烟集团管理员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）4网络参数类4.1防止碎片包攻击风险描述帮助防止碎片包攻击风险等级风险中加固建议修改注册表相关键值来帮助防止碎片包攻

12、击加固存在的风险 加固风险规避方法加固成果能帮助防止碎片包攻击加固具体方法1、运行中输入regedit2、修改键值HKLMSystemCurrentControlSet ServicesTcpipParametersEnablePMTUDiscovery 为(REG_DWORD) 1新烟集团意见新烟集团管理员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）5用户管理、访问控制、审计功能类5.1验证Passwd强度风险描述验证系统已经存在

13、的Passwd强度风险等级风险高加固建议核查具有空口令的用户和弱密码的用户，passwd强度来增强系统安全性加固存在的风险 可能造成某些其他系统来使用弱口令登陆本系统用户来做同步备份或操作的脚本失效加固风险规避方法加固成果增强用户密码的强度，大大降低用户密码被猜解的可能性加固具体方法验证系统口令强度，对弱口令的用户重新做口令加固。新烟集团意见新烟集团管理员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）5.2密码长度风险描述密码长度太短

14、会造成很容易被猜解风险等级 风险中加固建议设定密码最低长度将能很好增强系统密码安全性加固存在的风险 加固风险规避方法加固成果加固后能增强用户口令保护强度加固具体方法 WIN2000系统，1. 运行secpol.msc命令2. 打开“本地安全设置”对话框，依次展开“帐户策略密码策略”3. 查看是否具有设置4. 密码策略，密码长度大于8位、必须启用密码复杂性要求； WINNT系统 没有密码策略，提高安全意识，设置合理口令。注意事项： 由于WINNT系统没有密码策略设置选项，管理员应重视手动增强WINNT系统的密码增强设置。新烟集团意见新烟集团管理员对本条风险加固的意见： 同意 需要修改（描述修改的

15、意见） 不同意（描述不同意的原因） 签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）5.3密码使用时间风险描述一个密码长时间使用会比较容易被猜解风险等级风险中加固建议设定密码最长使用时间将能很好增强系统密码安全性加固存在的风险 加固风险规避方法加固成果加固后能增强用户口令保护强度加固具体方法WIN2000系统，运行secpol.msc命令打开“本地安全设置”对话框，依次展开“帐户策略密码策略”查看是否具有设置密码策略，最短存留期大于5天、最长存留期小于90天WINNT系统 没有密码策略，提高安全意识，设置

16、合理口令。注意事项： 由于WINNT系统没有密码策略设置选项，管理员应重视手动增强WINNT系统的密码增强设置。新烟集团意见新烟集团管理员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）5.4账号登录事件审计风险描述修改账号登录事件审计风险等级风险低加固建议增强账号登录事件审计将能很好增强系统日志审核安全性加固存在的风险 加固风险规避方法加固成果加固后能掌握更多日志信息便于系统安全审查加固具体方法 WIN2000系统1、

17、运行中输入secpol.msc命令2、打开“本地安全设置”对话框，依次展开“本地策略审核策略”，是否具有审核策略；2、 修改审核策略如下：审核帐户登录事件 成功, 失败 WINNT系统 1、 点击“开始-程序-管理工具-事件查看器”， 2、 选择“查看”菜单是否为“所有事件”。WINNT没有此设置项，查看时通过选择“筛选事件”可以使管理更加关注系统的异常行为，管理员要密切关注登录事件的失败记录、特权使用的失败记录以及其他异常行为等。例如C:WINNTsystem32目录的安全审计。新烟集团意见新烟集团管理员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签

18、名（签字确认）厂商意见厂商维护人员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）5.5账号管理审计风险描述修改账号管理审计风险等级风险低加固建议增强账号管理审计将能很好增强系统日志审核安全性加固存在的风险 加固风险规避方法加固成果可以跟踪账号的创建,改名,用户组的创建和改名,账号口令的更改等.加固后能掌握更多日志信息便于系统安全审查加固具体方法 WIN2000系统1、运行中输入secpol.msc命令2、打开“本地安全设置”对话框，依次展开“本地策略审核策略”，是否具有审核策略；3、 修改审核策略如下：审核帐户管理 成功, 失败 WINN

19、T系统 1、 点击“开始-程序-管理工具-事件查看器”， 2、 选择“查看”菜单是否为“所有事件”。WINNT没有此设置项，查看时通过选择“筛选事件”可以使管理更加关注系统的异常行为，管理员要密切关注登录事件的失败记录、特权使用的失败记录以及其他异常行为等。例如C:WINNTsystem32目录的安全审计。新烟集团意见新烟集团管理员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）5.6目录服务访问审计风险描述修改目录服务

20、访问审计风险等级风险低加固建议增强目录服务访问审计将能很好增强系统日志审核安全性加固存在的风险 加固风险规避方法加固成果加固后能掌握更多日志信息便于系统安全审查加固具体方法（仅域控制器才需要审计目录服务访问） WIN2000系统1、运行中输入secpol.msc命令2、打开“本地安全设置”对话框，依次展开“本地策略审核策略”，是否具有审核策略；4、 修改审核策略如下：审核目录服务访问 成功, 失败 WINNT系统 1、 点击“开始-程序-管理工具-事件查看器”， 2、 选择“查看”菜单是否为“所有事件”。WINNT没有此设置项，查看时通过选择“筛选事件”可以使管理更加关注系统的异常行为，管理员

21、要密切关注登录事件的失败记录、特权使用的失败记录以及其他异常行为等。例如C:WINNTsystem32目录的安全审计。新烟集团意见新烟集团管理员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）5.7登录事件审计风险描述修改登录事件审计风险等级风险低加固建议增强登录事件审计将能很好增强系统日志审核安全性加固存在的风险 加固风险规避方法加固成果加固后能掌握更多日志信息便于系统安全审查加固具体方法 WIN2000系统1、运行中

22、输入secpol.msc命令2、打开“本地安全设置”对话框，依次展开“本地策略审核策略”，是否具有审核策略；5、 修改审核策略如下：审核登录事件 成功, 失败 WINNT系统 1、 点击“开始-程序-管理工具-事件查看器”， 2、 选择“查看”菜单是否为“所有事件”。WINNT没有此设置项，查看时通过选择“筛选事件”可以使管理更加关注系统的异常行为，管理员要密切关注登录事件的失败记录、特权使用的失败记录以及其他异常行为等。例如C:WINNTsystem32目录的安全审计。新烟集团意见新烟集团管理员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确

23、认）厂商意见厂商维护人员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）5.8对象访问审计风险描述修改对象访问审计风险等级风险低加固建议增强对象访问审计将能很好增强系统日志审核安全性加固存在的风险 加固风险规避方法加固成果用于跟踪特定用户对特定文件的访问，加固后能掌握更多日志信息便于系统安全审查加固具体方法 WIN2000系统1、运行中输入secpol.msc命令2、打开“本地安全设置”对话框，依次展开“本地策略审核策略”，是否具有审核策略；6、 修改审核策略如下：审核对象访问 失败 WINNT系统 1、 点击“开始-程序-管理工具-事件查

24、看器”， 2、 选择“查看”菜单是否为“所有事件”。WINNT没有此设置项，查看时通过选择“筛选事件”可以使管理更加关注系统的异常行为，管理员要密切关注登录事件的失败记录、特权使用的失败记录以及其他异常行为等。例如C:WINNTsystem32目录的安全审计。新烟集团意见新烟集团管理员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）5.9策略更改审计风险描述修改策略更改审计风险等级风险低加固建议增强策略更改审计将能很好增

25、强系统日志审核安全性加固存在的风险 加固风险规避方法加固成果加固后能掌握更多日志信息便于系统安全审查加固具体方法 WIN2000系统1、运行中输入secpol.msc命令2、打开“本地安全设置”对话框，依次展开“本地策略审核策略”，是否具有审核策略；7、 修改审核策略如下：审核策略更改 成功, 失败 WINNT系统 1、 点击“开始-程序-管理工具-事件查看器”， 2、 选择“查看”菜单是否为“所有事件”。WINNT没有此设置项，查看时通过选择“筛选事件”可以使管理更加关注系统的异常行为，管理员要密切关注登录事件的失败记录、特权使用的失败记录以及其他异常行为等。例如C:WINNTsystem3

26、2目录的安全审计。新烟集团意见新烟集团管理员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）5.10特权使用审计风险描述修改特权使用审计风险等级风险低加固建议增强特权使用审计将能很好增强系统日志审核安全性加固存在的风险 加固风险规避方法加固成果用于跟踪用户对超出赋予权限的使用，加固后能掌握更多日志信息便于系统安全审查加固具体方法 WIN2000系统1、运行中输入secpol.msc命令2、打开“本地安全设置”对话框，依次

27、展开“本地策略审核策略”，是否具有审核策略；8、 修改审核策略如下：审核特权使用 失败 WINNT系统 1、 点击“开始-程序-管理工具-事件查看器”， 2、 选择“查看”菜单是否为“所有事件”。WINNT没有此设置项，查看时通过选择“筛选事件”可以使管理更加关注系统的异常行为，管理员要密切关注登录事件的失败记录、特权使用的失败记录以及其他异常行为等。例如C:WINNTsystem32目录的安全审计。新烟集团意见新烟集团管理员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见： 同意 需要修改（描述修改的意见） 不同意（描述不同意的原因） 签名（签字确认）5.11进程跟踪审计风