win安全基线参考.pdfVIP

一、身份鉴别策略组

1.1

密码策略

1.2

账户策略

1.3

自动登陆

二、访问控制策略组

2.1

账户检测

2.2

共享检测

三、安全审计策略组检测

3.1

安全审计策略

四、剩余信息保护策略组检测

4.1

关机检测

4.2

登陆检测

五、入侵防范检测

5.1

Windows防火墙

5.2

自动更新

5.3

非必须服务

5.4

防暴力破解

六、恶意代码防范

6.1

防恶意代码

文档说明:

本文档旨在指导系统运维管理人员或安全检查人员进行Windows账户以及系统配置相关合规性检

查、安全配置指导及解决方案建议。使用本文档指导修改生产环境配置之前应提前进行充分测试验

证，避免对生产业务造成干扰。

一、身份鉴别策略组

1.1

密码策略

密码长度最小值大于等于8个字符

密码最短使用期限大于等于2天

密码最长使用期限小于等于90天

保留密码历史数量大于等于5个

●加固方案­参考配置操作：

1.进入“控制面板-管理工具-本地安全策略”

2.在“账户策略-密码策略”中：

密码长度最小值：=8个字符

密码最短使用期限：=2天

密码最长使用期限：=90天，但不能为0，0代表永不过期。

强制密码历史：=5个

1.2

账户策略

复位账户锁定计数器大于等于15分钟

账户锁定时间大于等于15分钟

账户锁定阈值小于等于10次

●加固方案­参考配置操作：

1.进入“控制面板-管理工具-本地安全策略”

2.在“账户策略-账户锁定策略”中：

账户锁定时间：=15分钟

账户锁定阈值：=10次无效登录，但不能为0次。

重置账户锁定计数器：=15分钟之后

1.3

自动登陆

自动登陆账户

●

加固方案­参考配置操作：

1.

按“WIN+R”键，输入“control

userpasswords2”。

2.

在“用户账户”中：选择自动登陆的账户，点击“要使用本计算机，用户必须输入用户名和密

码”，并重新设置新密码。

二、访问控制策略组

2.1

账户检测

空密码账户

弱密码账户

禁用来宾帐户

隐藏账户

●

加固方案­参考配置操作：

1.

进入“控制面板-管理工具-计算机管理”

2.

在“本地用户和组-用户”中：

空密码：账户密码为空，修改建议：右键-设置密码

弱密码：(Weak

passwords)即容易破译的密码，多为简单的数字组合、帐号相同的数字组

合、键盘上的临近键或常见姓名，例

如“123456”、“abc123”、“Michael”等。修改建议：右键-设置密码

来宾账户：在计算机中，Guest是指让给客人访问电脑系统的帐户。

与“Administrator”和“User”不同的，通常这个帐户没有修改

系统设置和进行

安装程序的权限，也没有创建修改任何文档的权限，只能是读取计算机系统信息和

文件。由于黑客和病毒的原因，一般情况下是不推荐使用此帐户，最好是不要开启

这个帐户。修改建议：双击Guest用户-选择账户已禁用。

隐藏账户：在控制面板与开机选择中看不见的账户。它可以用输账号密码的方式进入。修改建

议：右键-删除。

2.2

共享检测

默认共享

共享文件夹

●

加固方案­参考配置操作：

1.

进入“控制面板-管理工具-计算机管理”

2.

在“共享文件夹-共享”中：

默认共享：删除

共享文件夹：设置共享权限或者删除掉共享

三、安全审计策略组检测

3.1

安全审计策略

系统事件审核

登陆事件审核

对象访问事件审核

特权使用事件审核

进程跟踪事件审核

策略更改事件审核

账户管理事件审核

目录服务访问事件审核

账户登陆事件审核

●

加固方案­参考配置操作：