Windows安全配置規(guī)范

1、Windows 安全配置規(guī)范2010年 11月第1章概述1.1適用范圍本規(guī)范明確了 Windows操作系統(tǒng)在安全配置方面的基本要求，可作為編制設(shè) 備入網(wǎng)測試、安全驗收、安全檢查規(guī)范等文檔的參考。適用于中國電信所有運行的 Windows操作系統(tǒng)，包括Windows2000、Windows XP、Windows2003, Windows7 , Windows 2008 以及各版本中的 SeVer、 PrOfeSSi Onal 版本。第2章安全配置要求2.1賬號編號：1要求內(nèi)容應(yīng)按照不冋的用戶分配不冋的賬號，避免不冋用戶間共享賬號，避免用戶賬號和設(shè)備間通信使用的賬號共享。操作指南1、參考配置操作進入

2、“控制面板- 管理工具- 計算機管理”，在“系統(tǒng)工具- 本地用戶和組”：根據(jù)系統(tǒng)的要求，設(shè)定不冋的賬戶和賬戶組。檢測方法1、判定條件結(jié)合要求和實際業(yè)務(wù)情況判斷符合要求，根據(jù)系統(tǒng)的要求，設(shè)定不同的賬戶和賬戶組2、檢測操作進入“控制面板- 管理工具- 計算機管理”，在“系統(tǒng)工具- 本地 用戶和組”：查看根據(jù)系統(tǒng)的要求，設(shè)定不冋的賬戶和賬戶組編號：2要求內(nèi)容應(yīng)刪除與運行、維護等工作無關(guān)的賬號。操作指南1參考配置操作A）可使用用戶管理工具：開始-運行-ComPmgmt.msc-本地用戶和組-用戶B）也可以通過net命令：刪除賬號： net USer accou nt/del 停用賬號： net USe

3、r acco Un t/active:no1.判定條件結(jié)合要求和實際業(yè)務(wù)情況判斷符合要求，刪除或鎖定與設(shè)備運行、維護檢測方法等與工作無關(guān)的賬號。注：主要指測試帳戶、共享帳號、已經(jīng)不用賬號等2.檢測操作開始-運行-ComPmgmt.msc-本地用戶和組-用戶編號：3要求內(nèi)容重命名 Administrator ;禁用guest （來兵）帳號。操作指南1、參考配置操作進入“控制面板- 管理工具- 計算機管理”，在“系統(tǒng)工具- 本地 用戶和組”：Administrator 屬性一 更改名稱GUeSt帳號- 屬性 已停用檢測方法1、判定條件缺省賬戶Administrator 名稱已更改。GUeSt帳號已

4、停用。2、檢測操作進入“控制面板- 管理工具- 計算機管理”，在“系統(tǒng)工具- 本地用戶和組”：缺省帳戶一 屬性一 更改名稱GUeSt帳號- 屬性 已停用2.2 口令編號：1要求內(nèi)容密碼長度要求：最少8位密碼復(fù)雜度要求：至少包含以下四種類別的字符中的三種：英語大寫字母 A, B, C,Z英語小寫字母 a, b, c,z阿拉伯?dāng)?shù)字0, 1,2,9非字母數(shù)字字符，如標(biāo)點符號，, #, $, %, &, *等操作指南1、參考配置操作進入“控制面板- 管理工具- 本地安全策略”，在“帳戶策略- 密碼策略”：“密碼必須符合復(fù)雜性要求”選擇“已啟動”檢測方法1、判定條件“密碼必須符合復(fù)雜性要求”選擇“已啟動

5、”2、檢測操作進入“控制面板- 管理工具- 本地安全策略”，在“帳戶策略- 密碼策略”：查看是否“密碼必須符合復(fù)雜性要求”選擇“已啟動”編號：2要求內(nèi)容對于米用靜態(tài)口令認(rèn)證技術(shù)的設(shè)備，賬戶口令的生存期不長于90天。操作指南1、參考配置操作進入“控制面板- 管理工具- 本地安全策略”，在“帳戶策略- 密碼策略”：“密碼最長存留期”設(shè)置為“90天”檢測方法1、判定條件“密碼最長存留期”設(shè)置為“ 90天”2、檢測操作進入“控制面板- 管理工具- 本地安全策略”，在“帳戶策略- 密 碼策略”：查看是否“密碼最長存留期”設(shè)置為“90天”編號：3要求內(nèi)容對于米用靜態(tài)口令認(rèn)證技術(shù)的設(shè)備，應(yīng)配置設(shè)備，使用戶不

6、能重復(fù)使用最近5次（含5次）內(nèi)已使用的口令。操作指南1、參考配置操作進入“控制面板- 管理工具- 本地安全策略”，在“帳戶策略- 密碼策略”：“強制密碼歷史”設(shè)置為“記住5個密碼”檢測方法1、判定條件“強制密碼歷史”設(shè)置為“記住5個密碼”2、檢測操作進入“控制面板- 管理工具- 本地安全策略”，在“帳戶策略- 密碼策略”：查看是否“強制密碼歷史”設(shè)置為“記住5個密碼”編號：4要求內(nèi)容對于米用靜態(tài)口令認(rèn)證技術(shù)的設(shè)備，應(yīng)配置當(dāng)用戶連續(xù)認(rèn)證失敗次數(shù)超過6次（不含6次），鎖定該用戶使用的賬號。操作指南1、參考配置操作進入“控制面板- 管理工具- 本地安全策略”，在“帳戶策略- 帳戶鎖定策略”：“賬戶鎖

7、定閥值”設(shè)置為 6次檢測方法1、判定條件“賬戶鎖定閥值”設(shè)置為小于或等于6次2、檢測操作進入“控制面板- 管理工具- 本地安全策略”，在“帳戶策略- 帳 戶鎖定策略”：查看是否“賬戶鎖定閥值”設(shè)置為小于等于6次補充說明：設(shè)置不當(dāng)可能導(dǎo)致賬號大面積鎖定，在域環(huán)境中應(yīng)小心設(shè)置，Admi ni Strator賬號本身不會被鎖疋。2.3授權(quán)編號：1要求內(nèi)容本地、遠端系統(tǒng)強制關(guān)機只指派給Admi ni StratOrS組。操作指南1、參考配置操作進入“控制面板- 管理工具- 本地安全策略”，在“本地策略- 用戶權(quán)利指派”：關(guān)閉系統(tǒng)設(shè)置為只指派給AdminiStratOrS組從遠程系統(tǒng)強制關(guān)機設(shè)置為只指派

8、給AdminiStratOrS組檢測方法1、判定條件關(guān)閉系統(tǒng)設(shè)置為只指派給AdminiStratOrS組從遠端系統(tǒng)強制關(guān)機 設(shè)置為 只指派給AdminiStrtOrS組2、檢測操作進入“控制面板- 管理工具- 本地安全策略”，在“本地策略- 用戶權(quán)利指派”：查看關(guān)閉系統(tǒng)設(shè)置為只指派給AdminiStratOrS組查看是否“從遠端系統(tǒng)強制關(guān)機”設(shè)置為“只指派給Admi nistrators組”要求內(nèi)容在本地安全設(shè)置中取得文件或其它對象的所有權(quán)僅指派給編號：2要求內(nèi)容在本地安全設(shè)置中取得文件或其它對象的所有權(quán)僅指派給Admi nistrators 。操作指南1、參考配置操作進入“控制面板- 管理工

9、具- 本地安全策略”，在“本地策略- 用戶權(quán)利指派”：“取得文件或其它對象的所有權(quán)”設(shè)置為“只指派給Admi nistrators組”檢測方法1、判定條件“取得文件或其它對象的所有權(quán)”設(shè)置為“只指派給Admi nistrators組”2、檢測操作進入“控制面板- 管理工具- 本地安全策略”，在“本地策略- 用戶權(quán)利指派”：查看是否“取得文件或其它對象的所有權(quán)”設(shè)置為“只指派給Admi nistrators組”編號：3要求內(nèi)容在本地安全設(shè)置中只允許授權(quán)帳號本地、遠程訪問登陸此計算機。操作指南1、參考配置操作進入“控制面板- 管理工具- 本地安全策略”，在“本地策略- 用 戶權(quán)利指派”“從本地登陸

10、此計算機”設(shè)置為“指定授權(quán)用戶”“從網(wǎng)絡(luò)訪問此計算機”設(shè)置為“指定授權(quán)用戶”檢測方法1、判定條件“從本地登陸此計算機”設(shè)置為“指定授權(quán)用戶”“從網(wǎng)絡(luò)訪問此計算機”設(shè)置為“指定授權(quán)用戶”2、檢測操作進入“控制面板- 管理工具- 本地安全策略”，在“本地策略- 用 戶權(quán)利指派”查看是否“從本地登陸此計算機”設(shè)置為“指定授權(quán)用戶” 查看是否“從網(wǎng)絡(luò)訪問此計算機”設(shè)置為“指定授權(quán)用戶”2.4 補丁編號：1要求內(nèi)容在不影響業(yè)務(wù)的情況下，應(yīng)安裝最新的SerViCe PaCk補丁集。對 服務(wù)器系統(tǒng)應(yīng)先進行兼容性測試。操作指南1、參考配置操作安裝最新的SerViCe PaCk 補丁集，以及最新的 HotfiX

11、 補丁。目前 Windows XP 的 SerViCe PaCk 為 SP3。Windows2000 的 SerViCe PaCk 為 SP4,Windows 2003 的 SerViCe PaCk 為 SP2檢測方法1、判定條件2、檢測操作進入控制面板- 添加或刪除程序- 顯示更新打鉤，查看是否 XP系 統(tǒng)已安裝SP3 Win2000系統(tǒng)已安裝SP4, Win2003系統(tǒng)已安裝SP2。冋時檢查所有的hotfix ,并查看系統(tǒng)安裝的最后一個補丁的發(fā)布日期是否與最近最新發(fā)布的補丁日期一致。2.5防護軟件編號：1 （可選）要求內(nèi)容啟用自帶防火墻或安裝第三方威脅防護軟件。 根據(jù)業(yè)務(wù)需要限定允 許訪問

12、網(wǎng)絡(luò)的應(yīng)用程序，和允許遠程登陸該設(shè)備的IP地址范圍。操作指南1、參考配置操作（以啟動自帶防火墻為例）進入“控制面板 網(wǎng)絡(luò)連接 本地連接”，在高級選項的設(shè)置中啟用Windows防火墻。在“例外”中配置允許業(yè)務(wù)所需的程序接入網(wǎng)絡(luò)。在“例外- 編輯- 更改范圍”編輯允許接入的網(wǎng)絡(luò)地址范圍。檢測方法1、判定條件啟用Windows防火墻?！袄狻敝性试S接入網(wǎng)絡(luò)的程序均為業(yè)務(wù)所需。2、檢測操作進入“控制面板 網(wǎng)絡(luò)連接 本地連接”，在高級選項的設(shè)置中， 查看是否啟用Win dows防火墻。查看是否在“例外”中配置允許業(yè)務(wù)所需的程序接入網(wǎng)絡(luò)。查看是否在“例外-編輯- 更改范圍”編輯允許接入的網(wǎng)絡(luò)地址范 圍。2

13、.6防病毒軟件編號：1要求內(nèi)容安裝防病毒軟件，并及時更新。操作指南1、參考配置操作安裝防病毒軟件，并及時更新。檢測方法1、判定條件已安裝放病毒軟件，病毒碼更新時間不早于 1個月，各系統(tǒng)病毒碼 升級時間要求參見各系統(tǒng)相關(guān)規(guī)定。2、檢測操作控制面板-添加或刪除程序，是否安裝有防病毒軟件。 打開防病毒 軟件控制面板，查看病毒碼更新日期。2.8日志安全要求編號：1要求內(nèi)容設(shè)備應(yīng)配置日志功能，對用戶登錄進行記錄，記錄內(nèi)容包括用戶登 錄使用的賬號，登錄是否成功，登錄時間，以及遠程登錄時，用戶 使用的IP地址。操作指南1、參考配置操作開始- 運行- 執(zhí)行“控制面板- 管理工具- 本地安全策略- 審核策略”審

14、核登錄事件，雙擊，設(shè)置為成功和失敗都審核。檢測方法1、判定條件審核登錄事件，設(shè)置為成功和失敗都審核。2、檢測操作開始- 運行- 執(zhí)行“控制面板- 管理工具- 本地安全策略- 審核策略”審核登錄事件，雙擊，查看是否設(shè)置為成功和失敗都審核。編號：2要求內(nèi)容開啟審核策略，以便出現(xiàn)安全問題后進行追查操作指南1、參考配置操作對審核策略進行檢查：開始-運行 -gpedit.msc計算機配置-Windows設(shè)置-安全設(shè)置-本地策略-審核策略 以下審核是必須開啟的，其他的可以根據(jù)需要增加：審核系統(tǒng)登陸事件成功，失敗審核帳戶管理成功，失敗審核登陸事件成功，失敗審核對象訪問成功審核策略更改成功，失敗審核特權(quán)使用成

15、功，失敗審核系統(tǒng)事件成功，失敗2、補充說明可能會使日志量猛增檢測方法1、判定條件嘗試對被添加了訪冋審核的對象進行訪冋，然后查看安全日志中是否會有相關(guān)記錄， 或通過其他手段激化以配置的審核策略，并觀察日志中的記錄情況，如果存在記錄條目，則配置成功。2、檢測操作編號：3要求內(nèi)容設(shè)置日志容量和覆蓋規(guī)則，保證日志存儲操作指南1、參考配置操作開始-運行-eventvwr右鍵選擇日志，屬性，根據(jù)實際需求設(shè)置：日志文件大小超過上線時的處理方式（建議日志記錄天數(shù)不小于60天）2、補充說明建議對每個日志均進行如上操作，同時應(yīng)保證磁盤空間檢測方法1、判定條件2、檢測操作開始-運行-eventvwr，右鍵選擇日志，

16、屬性，查看日志上線及超過上線時的處理方式2.7 Windows服務(wù)編號：1要求內(nèi)容關(guān)閉不必要的服務(wù)操作指南1、參考配置操作進入“控制面板- 管理工具- 計算機管理”，進入“服務(wù)和應(yīng)用程 序”：查看所有服務(wù)，不在此列表的服務(wù)需關(guān)閉?？山玫姆?wù)及其相關(guān)說明如附表所示檢測方法1、判定條件系統(tǒng)管理員應(yīng)出具系統(tǒng)所必要的服務(wù)列表。 查看所有服務(wù)，不在此列表的服務(wù)需關(guān)閉。2、檢測操作進入“控制面板- 管理工具- 計算機管理”，進入“服務(wù)和應(yīng)用程序”：查看所有服務(wù)，不在此列表的服務(wù)是否已關(guān)閉。編號：2要求內(nèi)容如需啟用SNM服務(wù)，則修改默認(rèn)的 SNMPCommUnity String設(shè)置。操作指南1、參考配置

17、操作打開“控制面板”，打開“管理工具”中的“服務(wù)”，找到“ SNMPSerViCe ”，單擊右鍵打開“屬性”面板中的“安全”選項卡，在這個配置界面中，可以修改CommU nity Stri ngs,也就是微軟所說的“團體名稱”。檢測方法1、判定條件community Strings已改，不是默認(rèn)的“ PUbIiC ”2、檢測操作打開“控制面板”， 打開“管理工具”中的“服務(wù)”，找到“ SNMPSerViCe ”，單擊右鍵打開“屬性”面板中的“安全”選項卡，在 這個配置界面中，查看CommUnity Strings ,也就是微軟所說的團 體名稱”。編號：3要求內(nèi)容如對互聯(lián)網(wǎng)開放 Win dows

18、Termi nial 服務(wù)(RemOte DeSktOP),需修改默認(rèn)服務(wù)端口。操作指南1、參考配置操作運行Regedt32并轉(zhuǎn)到此項：HKEY_LOCAL_MACHINESyStemCUrre ntCo ntrolSetCo ntrolTermi nalSerVerWi nStatio nsRDP-Tcp找到“POrtNUmber ”子項，會看到默認(rèn)值 OooooD3D,它是3389的十六進制表示形式。使用十六進制數(shù)值修改此端口號，并保存新值。檢測方法1、判定條件找到“ PortNUmber ”子項，設(shè)定值非 OooooD3D,即十進制33892、檢測操作運行Regedt32 ,找到此項并判

19、斷。2.8啟動項要求內(nèi)容關(guān)閉無效啟動項操作指南1、參考配置操作開始- 運行-MSconfig ”啟動菜單中，取消不必要的啟動項。檢測方法1、判定條件2、檢測操作系統(tǒng)管理員提供業(yè)務(wù)必須的自動加載進程和服務(wù)列表文檔。查看 開始- 運行-MSconfig 啟動菜單：不需要的自動加載進程是否已禁用和取消。2.9關(guān)閉自動播放功能編號：1要求內(nèi)容關(guān)閉Windows自動播放功能操作指南1、參考配置操作點擊開始運行輸入 gpedit.msc ，打開組策略編輯器，瀏覽到計算機配置管理模板系統(tǒng)，在右邊窗格中雙擊“關(guān)閉自動播放”，對話框中選擇所有驅(qū)動器，確定即可。檢測方法1、判定條件所有驅(qū)動器均“關(guān)閉自動播放”2、

20、檢測操作“關(guān)閉自動播放”配置已啟用，啟用范圍：所有驅(qū)動器。2.10共享文件夾編號：1要求內(nèi)容關(guān)閉 Windows硬盤默認(rèn)共享，例如C$, D&操作指南1、參考配置操作進入“開始 運行Regedit ”，進入注冊表編輯器，更改注冊表鍵值：在HKLMSystemCurre ntCo ntrolSet下，增加 REG_DWORDl型的AUtOShareSerVer 鍵，值為 0。檢測方法1、判定條件HKLMSystemCurre ntCo ntrolSet增加了 REG_DWORD型的 AUtOShareSerVer 鍵，值為 0。2、檢測操作進入“開始 運行Regedit ”，進入注冊表編輯器，更

21、改注冊表鍵值：增加 REG_DWORD型的 AUtOShareSerVer 鍵，值為 0。編號：2要求內(nèi)容設(shè)置共享文件夾的訪問權(quán)限， 只允許授權(quán)的賬戶擁有權(quán)限共享此文 件夾。操作指南1、參考配置操作進入“控制面板- 管理工具- 計算機管理”，進入“系統(tǒng)工具 共 享文件夾”：查看每個共享文件夾的共享權(quán)限，只將權(quán)限授權(quán)于指定賬戶。檢測方法1、判定條件查看每個共享文件夾的共享權(quán)限僅限于業(yè)務(wù)需要，不設(shè)置成為a”every One 。2、檢測操作進入“控制面板- 管理工具- 計算機管理”，進入“系統(tǒng)工具 共 享文件夾”：查看每個共享文件夾的共享權(quán)限。2.11使用NTFS文件系統(tǒng)要求內(nèi)容在不毀壞數(shù)據(jù)的情況

22、下，將FAT分區(qū)改為NTFS格式操作指南1、參考配置操作將FAT卷轉(zhuǎn)換成NTFS分區(qū)CoNVERTvolume/FS:NTFS/V/CvtAreafiIe nameNoSeCUrity XVolume指定驅(qū)動器號（后面加一個冒號）、裝載點或卷名/FS:NTFS 指定要被轉(zhuǎn)換成 NTFS的卷/V指定CONVERT應(yīng)該用詳述模式運行/CvtArea:file name將根目錄中的一個接續(xù)文件指定為NTFS系統(tǒng)文件的占位符/NoSecurity指疋每個人都可以訪冋轉(zhuǎn)換的文件和目錄的女全設(shè)置/X如果必要，先強行卸載卷，有打開的句柄則無效例如：COVert C : /FS:NTFS備注：在有其他非 Wl

23、N系統(tǒng)訪問、存在數(shù)據(jù)共享的情況下，不建議將FAT分區(qū)改為NTFS格式檢測方法1、判定條件2、檢測操作Ld常規(guī)I工具硬件共享I安全I配蔽ISySteB 運行，然后在打開行里輸入 regedit ,然后單擊確疋，查看相關(guān)注冊表項進行查看；使用空連接掃描工具無法遠程枚舉用戶名和用戶組附表：端口及服務(wù)服務(wù)名稱端口服務(wù)說明關(guān)閉方法處置建議系統(tǒng)服務(wù)部分echo7/TCPRFC862聲協(xié)議關(guān)閉Simple TCP/IP Services服務(wù)。建議關(guān)閉echo7/UDPRFC862聲協(xié)議discard9/UDPRFC863廢除協(xié)議discard9/TCPRFC863廢除協(xié)議daytime13/UDPRFC86

24、7白天協(xié)議daytime13/TCPRFC867白天協(xié)議qotd17/TCPRFC865白天協(xié)議的引用qotd17/UDPRFC865白天協(xié)議的引用Charge n19/TCPRFC864字符產(chǎn)生協(xié)議Charge n19/UDPRFC864字符產(chǎn)生協(xié)議ftp21/TCP文件傳輸協(xié)議（控制）關(guān)閉FTPPUbIiShi ngService服務(wù)。根據(jù)情況選擇開放SmtP25/TCP簡單郵件發(fā)送協(xié)議關(guān)閉Simple MailTra nsport Protocol服務(wù)。建議關(guān)閉n ameserver42/TCPWlNS主機名服務(wù)關(guān)閉WindowsInternet NameService服務(wù)。建議關(guān)閉42

25、/UDPdomai n53/UDP域名服務(wù)器關(guān)閉DNS Server服務(wù)。根據(jù)情況選擇開放53/TCP根據(jù)情況選擇開放dhcps67/UDPDHCP服務(wù)器/In ter net連接共享關(guān)閉Simple TCP/IP Services服務(wù)。建議關(guān)閉dhcpc68/UDPDHCF協(xié)議客戶端關(guān)閉DHCP Client服務(wù)。建議關(guān)閉http80/TCPHTTP萬維網(wǎng)發(fā)布服務(wù)關(guān)閉World WideWeb PUbIiShi ngService服務(wù)。根據(jù)情況選擇開放epmap135/TCPRPC服務(wù)系統(tǒng)基本服務(wù)無法關(guān)閉135/UDP無法關(guān)閉n etbios-ns137/UDPNetBIOS名稱解析在網(wǎng)卡的

26、TCP/IP選 項中WINS頁勾選 禁用TCP/IP上的 NETBIOS根據(jù)情況選擇開放n etbios-dgm138/UDPNetBIOS數(shù)據(jù)報服務(wù)根據(jù)情況選擇開放n etbios-ss n139/TCPNetBIOS會話服務(wù)系統(tǒng)基本服務(wù)無法關(guān)閉SnmP161/UDPSNMP服務(wù)關(guān)閉SNMP 服務(wù)根據(jù)情況選擇開放https443/TCP安全超文本傳輸協(xié)議關(guān)閉World WideWeb PUbIiShi ngService服務(wù)根據(jù)情況選擇開放microsoft-ds445/UDPSMB服務(wù)器運行 regedit ,打開 HKEY_LOCAL_MACHIr ESystemCurre ntC on t