Microsoft Windows安全配置基线.doc

中国移动集团管理信息系统部安全加固项目 中国移动集团公司第 1 页 共 18 页 WindowsWindows 系统安全配置基线系统安全配置基线 中国移动通信有限公司中国移动通信有限公司 管理信息系统部管理信息系统部 2009 年 01 月 中国移动集团管理信息系统部安全加固项目 中国移动集团公司第 2 页 共 18 页 版本版本版本控制信息版本控制信息更新日期更新日期更新人更新人审批人审批人 V1 0创建2009 年 1 月 备注 备注 1 若此文档需要日后更新 请创建人填写版本控制表格 否则删除版本控制表格 中国移动集团管理信息系统部安全加固项目 中国移动集团公司第 3 页 共 18 页 目目 录录 第第 1 章章概述概述 1 1 1目的 1 1 2适用范围 1 1 3适用版本 1 1 4实施 1 1 5例外条款 1 第第 2 章章账号管理 认证授权账号管理 认证授权 2 2 1账号 2 2 1 1管理缺省账户 2 2 2口令 2 2 2 1密码复杂度 2 2 2 2密码历史 3 2 2 3 帐户锁定策略 3 2 3授权 4 2 3 1远程关机 4 2 3 2本地关机 4 2 3 3用户权利指派 4 第第 3 章章日志配置操作日志配置操作 6 3 1日志配置 6 3 1 1审核登录 6 3 1 2审核策略更改 6 3 1 3审核对象访问 7 3 1 4审核事件目录服务器访问 7 3 1 5审核特权使用 7 3 1 6审核系统事件 8 3 1 7审核账户管理 8 3 1 8审核过程追踪 8 3 1 9日志文件大小 9 第第 4 章章IP 协议安全配置协议安全配置 10 4 1IP 协议 10 4 1 1启用SYN攻击保护 10 第第 5 章章设备其他配置操作设备其他配置操作 12 5 1共享文件夹及访问权限 12 5 1 1关闭默认共享 12 5 2防病毒管理 12 5 2 1数据执行保护 12 5 3WINDOWS服务 13 5 3 1 SNMP服务管理 13 中国移动集团管理信息系统部安全加固项目 中国移动集团公司第 4 页 共 18 页 5 4启动项 13 5 4 1关闭Windows自动播放功能 13 第第 6 章章评审与修订评审与修订 14 中国移动集团管理信息系统部安全加固项目 中国移动集团公司第 1 页 共 18 页 第第 1 章章概述概述 1 1 目的目的 本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的 WINDOWS 操 作系统的主机应当遵循的操作系统安全性设置标准 本文档旨在指导系统管理人员或安全 检查人员进行 WINDOWS 操作系统的安全合规性检查和配置 1 2 适用范围适用范围 本配置标准的使用者包括 服务器系统管理员 应用管理员 网络安全管理员 本配置标准适用的范围包括 中国移动总部和各省公司信息化部门维护管理的 WINDOWS 服务器系统 1 3 适用版本适用版本 WINDOWS 系列服务器 1 4 实施实施 本标准的解释权和修改权属于中国移动集团管理信息系统部 在本标准的执行过程中 若有任何疑问或建议 应及时反馈 本标准发布之日起生效 1 5 例外条款例外条款 欲申请本标准的例外条款 申请人必须准备书面申请文件 说明业务需求和原因 送 交中国移动通信有限公司管理信息系统部进行审批备案 中国移动集团管理信息系统部安全加固项目 中国移动集团公司第 2 页 共 18 页 第第 2 章章账号管理 认证授权账号管理 认证授权 2 1 账号账号 2 1 1 管理缺省账户管理缺省账户 安全基线项安全基线项 目名称目名称 操作系统缺省账户安全基线要求项 安全基线编安全基线编 号号 SBL Windows 02 01 01 安全基线项安全基线项 说明说明 对于管理员帐号 要求更改缺省帐户名称 禁用 guest 来宾 帐号 检测操作步检测操作步 骤骤 进入 控制面板 管理工具 计算机管理 在 系统工具 本地用户和组 缺省帐户 Administrator 属性 Guest 帐号 属性 基线符合性基线符合性 判定依据判定依据 缺省账户 Administrator 名称已更改 Guest 帐号已停用 备注备注 2 2 口令口令 2 2 1 密码复杂度密码复杂度 安全基线项安全基线项 目名称目名称 操作系统密码复杂度安全基线要求项 安全基线编安全基线编 号号 SBL Windows 02 02 01 安全基线项安全基线项 说明说明 最短密码长度 6 个字符 启用本机组策略中密码必须符合复杂性要求的策 略 即密码至少包含以下四种类别的字符中的三种 英语大写字母 A B C Z 英语小写字母 a b c z 中国移动集团管理信息系统部安全加固项目 中国移动集团公司第 3 页 共 18 页 西方阿拉伯数字 0 1 2 9 非字母数字字符 如标点符号 HKEY LOCAL MACHINE SYSTEM CurrentControlSet Services TcpMaxPort sExhausted HKEY LOCAL MACHINE SYSTEM CurrentControlSet Services TcpMaxHalf Open HKEY LOCAL MACHINE SYSTEM CurrentControlSet Services TcpMaxHalf OpenRetried 基线符合性基线符合性 判定依据判定依据 HKEY LOCAL MACHINE SYSTEM CurrentControlSet Services SynAttackPr otect 推荐值 2 HKEY LOCAL MACHINE SYSTEM CurrentControlSet Services TcpMaxPort sExhausted 推荐值 5 HKEY LOCAL MACHINE SYSTEM CurrentControlSet Services TcpMaxHalf Open 推荐值数据 500 中国移动集团管理信息系统部安全加固项目 中国移动集团公司第 11 页 共 18 页 HKEY LOCAL MACHINE SYSTEM CurrentControlSet Services TcpMaxHalf OpenRetried 推荐值数据 400 备注备注 中国移动集团管理信息系统部安全加固项目 中国移动集团公司第 12 页 共 18 页 第第 5 章章设备其他配置操作设备其他配置操作 5 1 共享文件夹及访问权限共享文件夹及访问权限 5 1 1 关闭默认共享关闭默认共享 安全基线项安全基线项 目名称目名称 操作系统默认共享安全基线要求项 安全基线编安全基线编 号号 SBL Windows 05 01 01 安全基线项安全基线项 说明说明 非域环境中 关闭 Windows 硬盘默认共享 例如 C D 检测操作步检测操作步 骤骤 进入 开始 运行 Regedit 进入注册表编辑器 查看 HKLM System CurrentControlSet Services LanmanServer Parameters AutoShare Server 基线符合性基线符合性 判定依据判定依据 HKLM System CurrentControlSet Services LanmanServer Parameters AutoShare Server 键 值为 0 备注备注 5 2 防病毒管理防病毒管理 5 2 1 数据执行保护数据执行保护 安全基线项安全基线项 目名称目名称 操作系统数据执行保护安全基线要求项 安全基线编安全基线编 号号 SBL Windows 05 02 01 安全基线项安全基线项 说明说明 对于 Windows XP SP2 及 Windows 2003 对 Windows 操作系统程序和服务启 用系统自带 DEP 功能 数据执行保护 防止在受保护内存位置运行有害代 码 检测操作步检测操作步 骤骤 进入 控制面板 系统 在 高级 选项卡的 性能 下的 设置 进入 数据执行保护 选项卡 查看 仅为基本 Windows 操作系统程序 和服务启用 DEP 中国移动集团管理信息系统部安全加固项目 中国移动集团公司第 13 页 共 18 页 基线符合性基线符合性 判定依据判定依据 数据执行保护 选项卡已设置为 仅为基本 Windows 操作系统程序和 服务启用 DEP 备注备注 5 3 Windows 服务服务 5 3 1 SNMP 服务管理服务管理 安全基线项安全基线项 目名称目名称 操作系统 SNMP 服务管理安全基线要求项 安全基线编安全基线编 号号 SBL Windows 05 03 01 安全基线项安全基线项 说明说明 如需启用 SNMP 服务 则修改默认的 SNMP Community String 设置 检测操作步检测操作步 骤骤 打开 控制面板 打开 管理工具 中的 服务 找到 SNMP Service 单击右键打开 属性 面板中的 安全 选项卡 在这个配置界面中 查看 community strings 也就是微软所说的 团体名称 基线符合性基线符合性 判定依据判定依据 community strings 已改 不是默认的 public 备注备注 5 4 启动项启动项 5 4 1 关闭关闭 Windows 自动播放功能自动播放功能 安全基线项安全基线项 目名称目名称 操作系统 Windows 自动播放安全基线要求项 安全基线编安全基线编 号号 SBL Windows 05 04 01 安全基线项安全基线项 说明说明 关闭 Windows 自动播放功能 检测操作步检测操作步 骤骤 打开 开始 运行 在对话框