Windows操作系统安全配置规范.docVIP

PAGE 1 第 PAGE 1 页 共 NUMPAGES 25 页 WINDOWS操作系统安装加固手册 目录 TOC \o 1-3 \h \z \u 1 WINDOWS设备安全配置要求 2 1.1 账号管理、认证授权 2 1.1.1 账号 2 1.1.2 口令 4 1.1.3 授权 6 1.2 日志配置操作 9 1.3 IP协议安全配置操作 14 1.4 设备其他配置操作 17 1.4.1 屏幕保护 17 1.4.2 共享文件夹及访问权限 18 进入“开始－运行－Regedit”，进入注册表编辑器， 18 1.4.3 补丁管理 19 1.4.4 防病毒管理 20 1.4.5 Windows服务 21 1.4.6 启动项 23  本规范所指的设备为Windows系统设备。本规范明确了运行Windows操作系统的设备在安全配置方面的基本要求。在未特别说明的情况下，均适用于所有运行的Windows操作系统，包括Windows 2000、Windows XP、Windows2003以及各版本中的Sever、Professional版本。 WINDOWS设备安全配置要求 本规范从Windows系统设备的认证授权功能、安全日志功能以及IP网络安全功能，和其他自身安全配置功能四个方面提出安全要求。 账号管理、认证授权 认证功能用于确认登录系统的用户真实身份。认证功能的具体实现方式包括静态口令、动态口令、指纹等生物鉴别技术等。授权功能赋予系统账号的操作权限，并限制用户进行超越其账号权限的操作。 账号 编号：安全要求-设备-通用-配置--1 要求内容 按照用户分配账号。根据系统的要求，设定不同的账户和账户组，管理员用户，数据库用户，审计用户，来宾用户等。 操作指南 1、参考配置操作 进入“控制面板-管理工具-计算机管理”，在“系统工具-本地用户和组”： 根据系统的要求，设定不同的账户和账户组，管理员用户，数据库用户，审计用户，来宾用户。 检测方法 判定条件 结合要求和实际业务情况判断符合要求，根据系统的要求，设定不同的账户和账户组，管理员用户，数据库用户，审计用户，来宾用户。 2、检测操作 进入“控制面板-管理工具-计算机管理”，在“系统工具-本地用户和组”： 查看根据系统的要求，设定不同的账户和账户组，管理员用户，数据库用户，审计用户，来宾用户。 编号：安全要求-设备-WINDOWS-配置-2-可选 要求内容 删除或锁定与设备运行、维护等与工作无关的账号。 操作指南 1、参考配置操作 进入“控制面板-管理工具-计算机管理”，在“系统工具-本地用户和组”： 删除或锁定与设备运行、维护等与工作无关的账号。 检测方法 1、判定条件 结合要求和实际业务情况判断符合要求，删除或锁定与设备运行、维护等与工作无关的账号。 2、检测操作 进入“控制面板-管理工具-计算机管理”，在“系统工具-本地用户和组”： 查看是否删除或锁定与设备运行、维护等与工作无关的账号。 编号：安全要求-设备-WINDOWS-配置-3-可选 要求内容 对于管理员帐号，要求更改缺省帐户名称；禁用guest（来宾）帐号。 操作指南 1、参考配置操作 进入“控制面板-管理工具-计算机管理”，在“系统工具-本地用户和组”： Administrator－属性－ 更改名称 Guest帐号-属性－ 已停用 检测方法 1、判定条件 缺省账户Administrator名称已更改。 Guest帐号已停用。 2、检测操作 进入“控制面板-管理工具-计算机管理”，在“系统工具-本地用户和组”： 缺省帐户－属性－ 更改名称 Guest帐号-属性－ 已停用 口令 编号：安全要求-设备-WINDOWS-配置-4 要求内容 最短密码长度 6个字符，启用本机组策略中密码必须符合复杂性要求的策略。即密码至少包含以下四种类别的字符中的三种： 英语大写字母 A, B, C, … Z 英语小写字母 a, b, c, … z 西方阿拉伯数字 0, 1, 2, … 9 非字母数字字符，如标点符号，@, #, $, %, , *等 操作指南 1、参考配置操作 进入“控制面板-管理工具-本地安全策略”，在“帐户策略-密码策略”： “密码必须符合复杂性要求”选择“已启动” 检测方法 1、判定条件 “密码必须符合复杂性要求”选择“已启动” 2、检测操作 进入“控制面板-管理工具-本地安全策略”，在“帐户策略-密码策略”： 查看是否“密码必须符合复杂性要求”选择“已启动” 编号：安全要求-设备-WINDOWS-配置-35 要求内容 对于采用静态口令认证技术的设备，账户口令的生存期不长于90天。 操作指南