组策略设系列篇之“安全选项”1.doc

组策略设置系列篇之“安全选项”-1 设置, 选项 组策略的“安全选项”部分启用或禁用数字数据签名、Administrator 和 Guest 帐户名、软盘驱动器和 CD-ROM 驱动器的访问、驱动程序安装操作和登录提示的计算机安全设置。 安全选项设置 您可以在组策略对象编辑器的下列位置配置安全选项设置：计算机配置\Windows 设置\安全设置\ 本地策略\安全选项 帐户：管理员帐户状态 此策略设置启用或禁用 Administrator 帐户的正常操作条件。如果以安全模式启动计算机，Administrator 帐户总是处于启用状态，而与如何配置此策略设置无关。 “帐户：管理员帐户状态”设置的可能值为：? 已启用 ? 已禁用 ? 没有定义 漏洞：在某些组织中，维持定期更改本地帐户的密码这项常规计划可能会是很大的管理挑战。因此，您可能需要禁用内置的 Administrator 帐户，而不是依赖常规密码更改来保护其免受攻击。需要禁用此内置帐户的另一个原因就是，无论经过多少次登录失败它都不会被锁定，这使得它成为强力攻击（尝试猜测密码）的主要目标。另外，此帐户还有一个众所周知的安全标识符 (SID)，而且第三方工具允许使用 SID 而非帐户名来进行身份验证。此功能意味着，即使您重命名 Administrator 帐户，攻击者也可能使用该 SID 登录来发起强力攻击。 对策：将“帐户：管理员帐户状态”设置配置为“已禁用”，以便在正常的系统启动中不能再使用内置的 Administrator 帐户。 潜在影响：如果禁用 Administrator 帐户，在某些情况下可能会造成维护问题。例如，在域环境中，如果成员计算机和域控制器间的安全通道因任何原因而失败，而且没有其他本地 Administrator 帐户，则您必须以安全模式重新启动才能修复这个中断安全通道的问题。 如果当前的 Administrator 密码不满足密码要求，则 Administrator 帐户被禁用之后，无法重新启用。如果出现这种情况，Administrators 组的另一个成员必须使用“本地用户和组”工具来为该 Administrator 帐户设置密码。 帐户：来宾帐户状态 此策略设置确定是启用还是禁用来宾帐户。 “帐户：来宾帐户状态”设置的可能值为：? 已启用 ? 已禁用 ? 没有定义 漏洞：默认 Guest 帐户允许未经身份验证的网络用户以没有密码的 Guest 身份登录。这些未经授权的用户能够通过网络访问 Guest 帐户可访问的任何资源。此功能意味着任何具有允许 Guest 帐户、Guests 组或 Everyone 组进行访问的权限的网络共享资源，都可以通过网络对其进行访问，这可能导致数据暴露或损坏。 对策：将“帐户：来宾帐户状态”设置配置为“已禁用”，以便内置的 Guest 帐户不再可用。 潜在影响：所有的网络用户都将必须先进行身份验证，才能访问共享资源。如果禁用 Guest 帐户，并且“网络访问：共享和安全模式”选项设置为“仅来宾”，则那些由 Microsoft 网络服务器（SMB 服务）执行的网络登录将失败。对于大多数组织来说，此策略设置的影响应该会很小，因为它是 Microsoft Windows? 2000、Windows XP 和 Windows Server? 2003 中的默认设置。 帐户：使用空白密码的本地帐户只允许进行控制台登录 此策略设置确定是否允许使用空白密码的本地帐户通过网络服务（如终端服务、Telnet 和文件传输协议 (FTP)）进行远程交互式登录。如果启用此策略设置，则本地帐户必须有一个非空密码，才能从远程客户端执行交互式或网络登录。 “帐户：使用空白密码的本地帐户只允许进行控制台登录”设置的可能值为： ? 已启用 ? 已禁用 ? 没有定义 注意：此策略设置不影响在控制台上以物理方式执行的交互式登录，也不影响使用域帐户的登录。 警告：使用远程交互式登录的第三方应用程序有可能跳过此策略设置。 漏洞：空白密码会对计算机安全造成严重威胁，应当通过组织的策略和适当的技术措施来禁止。实际上，Windows Server 2003 Active Directory? 目录服务域的默认设置需要至少包含七个字符的复杂密码。但是，如果能够创建新帐户的用户跳过基于域的密码策略，则他们可以创建具有空白密码的帐户。例如，某个用户可以构建一个独立的计算机，创建一个或多个具有空白密码的帐户，然后将该计算机加入到域中。具有空白密码的本地帐户仍将正常工作。任何人如果知道其中一个未受保护的帐户的名称，都可以用它来登录。 对策