Windows安全基线

MicrosoftWindows安全配置基线2/19版本变更记录版本号主要修改内容制作人日期审核人日期批准人日期3/19目录0目的...........................................................................................................................................41帐户管理、认证授权...............................................................................................................41.1帐户...............................................................................................................................41.2口令...............................................................................................................................51.3授权...............................................................................................................................62日志配置操作...........................................................................................................................82.1日志配置.......................................................................................................................83IP协议安全配置....................................................................................................................123.1IP协议........................................................................................................................124设备其他配置操作.................................................................................................................134.1共享文件夹及访问权限.............................................................................................134.2防病毒管理.................................................................................................................134.3Windows服务.............................................................................................................144.4启动项.........................................................................................................................164.5屏幕保护.....................................................................................................................174.6远程登录控制.............................................................................................................174.7补丁管理.....................................................................................................................184/190目的本文档规定了XX有限公司所维护管理的Windows操作系统的主机应当遵循的操作系统安全性设置标准，旨在指导系统管理人员或安全检查人员进行Windows操作系统的安全合规性检查和配置。适用范围：适用于XX有限公司。1帐户管理、认证授权1.1帐户1.1.1管理缺省帐户安全基线项目名称操作系统缺省帐户安全基线要求项安全基线编号SBL-Windows-01-01-01安全基线项说明对于管理员帐号，要求更改缺省帐户名称；禁用guest（来宾）帐号。检测操作步骤进入“控制面板-管理工具-计算机管理”，在“系统工具-本地用户和组”：缺省帐户Administrator－属性Guest帐号-属性基线符合性判定依据缺省帐户Administrator名称已更改。Guest帐号已停用。备注1.1.2按照用户分配帐户*安全基线项目名称操作系统用户帐户划分安全基线要求项安全基线编号SBL-Windows-01-01-02安全基线项说明按照用户分配帐户。根据系统的要求，设定不同的帐户和帐户组，管理员用户，数据库用户，审计用户，来宾用户等。检测操作步骤进入“控制面板-管理工具-计算机管理”，在“系统工具-本地用户和组”：根据系统的要求，设定不同的帐户和帐户组，管理员用户，数据库用户，审计用户，来宾用户。基线符合性判定依据结合要求和实际业务情况判断符合要求，根据系统的要求，设定不同的帐户和帐户组，管理员用户，数据库用户，审计用户，来宾用户。5/19备注手工判断，需要根据实际情况判断帐户用途1.1.3删除与设备无关帐户*安全基线项目名称操作系统与设备无关帐户安全基线要求项安全基线编号SBL-Windows-01-01-03安全基线项说明删除或锁定与设备运行、维护等与工作无关的帐户检测操作步骤进入“控制面板-管理工具-计算机管理”，在“系统工具-本地用户和组”：删除或锁定与设备运行、维护等与工作无关的帐户。基线符合性判定依据结合要求和实际业务情况判断符合要求，删除或锁定与设备运行、维护等与工作无关的帐户。进入“控制面板-管理工具-计算机管理”，在“系统工具-本地用户和组”：查看是否删除或锁定与设备运行、维护等与工作无关的帐户。备注手工判断，需要根据实际情况判断帐户是否为无关帐户1.2口令1.2.1密码复杂度安全基线项目名称操作系统密码复杂度安全基线要求项安全基线编号SBL-Windows-01-02-01安全基线项说明最短密码长度8个字符，启用本机组策略中密码必须符合复杂性要求的策略。即密码至少包含以下四种类别的字符中的3种：英语大写字母A,B,C,…Z英语小写字母a,b,c,…z西方阿拉伯数字0,1,2,…9非字母数字字符，如标点符号，@,#,$,%,&,*等检测操作步骤进入“控制面板-管理工具-本地安全策略”，在“帐户策略-密码策略”：查看是否“密码必须符合复杂性要求”选择“已启动”基线符合性判定依据“密码最小长度”大于等于8“密码必须符合复杂性要求”选择“已启动”6/19备注1.2.2密码最长留存期安全基线项目名称操作系统密码历史安全基线要求项安全基线编号SBL-Windows-01-02-02安全基线项说明对于采用静态口令认证技术的设备，帐户口令的生存期不长于90天。检测操作步骤进入“控制面板-管理工具-本地安全策略”，在“帐户策略-密码策略”：查看“密码最长存留期”基线符合性判定依据“密码最长存留期”设置不大于“90天”备注1.2.3帐户锁定策略安全基线项目名称操作系统帐户锁定策略安全基线要求项安全基线编号SBL-Windows-01-02-03安全基线项说明对于采用静态口令认证技术的设备，应配置当用户连续认证失败次数超过6次，锁定该用户使用的帐户。检测操作步骤进入“控制面板-管理工具-本地安全策略”，在“帐户策略-帐户锁定策略”：查看“帐户锁定阀值”设置基线符合性判定依据“帐户锁定阀值”设置为小于或等于6次备注1.3授权1.3.1远程关机安全基线项目名称操作系统远程关机策略安全基线要求项安全基线编号SBL-Windows-01-03-01安全基线项说明在本地安全设置中从远端系统强制关机只指派给Administrators组。检测操作步骤进入“控制面板-管理工具-本地安全策略”，在“本地策略-用户权利指派”:7/19查看“从远端系统强制关机”设置基线符合性判定依据“从远端系统强制关机”设置为“只指派给Administrtors组”备注1.3.2本地关机安全基线项目名称操作系统本地关机策略安全基线要求项安全基线编号SBL-Windows-01-03-02安全基线项说明在本地安全设置中关闭系统仅指派给Administrators组。检测操作步骤进入“控制面板-管理工具-本地安全策略”，在“本地策略-用户权利指派”:查看“关闭系统”设置基线符合性判定依据“关闭系统”设置为“只指派给Administrators组”备注1.3.3用户权利指派*安全基线项目名称操作系统用户权力指派策略安全基线要求项安全基线编号SBL-Windows-01-03-03安全基线项说明在本地安全设置中取得文件或其它对象的所有权仅指派给Administrators。检测操作步骤进入“控制面板-管理工具-本地安全策略”，在“本地策略-用户权利指派”：查看是否“取得文件或其它对象的所有权”设置基线符合性判定依据“取得文件或其它对象的所有权”设置为“只指派给Administrators组”备注手工检查1.3.4授权帐户登陆*安全基线项目名称操作系统用户授权登陆安全基线要求项安全基线编号SBL-Windows-01-03-04安全基线项说明在本地安全设置中配置指定授权用户允许本地登陆此计算机。8/19检测操作步骤进入“控制面板-管理工具-本地安全策略”，在“本地策略-用户权利指派”“从本地登陆此计算机”设置为“指定授权用户”基线符合性判定依据“从本地登陆此计算机”设置为“指定授权用户”，进入“控制面板-管理工具-本地安全策略”，在“本地策略-用户权利指派”查看是否“从本地登陆此计算机”设置为“指定授权用户”备注手工判断是否授权1.3.5授权帐户从网络访问*安全基线项目名称操作系统用户授权从网络访问安全基线要求项安全基线编号SBL-Windows-01-03-05安全基线项说明在组策略中只允许授权帐号从网络访问(包括网络共享等，但不包括终端服务)此计算机。检测操作步骤进入“控制面板-管理工具-本地安全策略”，在“本地策略-用户权利指派”“从网络访问此计算机”设置为“指定授权用户”基线符合性判定依据“从网络访问此计算机”设置为“指定授权用