使用安全模板配置安全策略-操作步骤

实验四使用安全模板配置安全策略一操作步骤

1.设置工具

（1）首先打开一个空的MMC控制台。点击“开始”一“运行”，输入“mmc”,

按Enter键打开一个空白的MMC控制台。

（2）在该控制台中，点击“文件”一“添加/删除管理单元”，打开“添加/删除

管理单元”对话框，点击“添加”打开“添加独立管理单元”对话框，在管理单

元清单中选择“安全模板”，依次点击“添加”、“关闭”、“确定”。接下来就可以

开始设置安全模板了。

如图:

2.创建模板

（1）下面从头开始构建一个模板。右击模板的路径（选择具体保存路径,如

C:security）,然后选择菜单“新加模板”，输入模板的名称，假设是simple。新的

模板将在左边窗格中作为一个节点列出，位于预制的模板之下。

右键“新加模板”

3.配置模板

账户策略:

(1)选择“账户策略”一〉“密码策略”，实现1.密码使用必须符合复杂性要求

2.密码长度最小值为6位3.密码最长使用时间为42天4.强制密码历史为2

个。如图所示。____

(2)选择“账户策略”一〉“账户锁定策略”，实现5.尝试3次无效登录后锁

定帐户6.锁定账户时间为10分钟7.账户锁定阈值为30分钟。如下图所示。

本地策略:

（1）选择“本地策略”一〉“审核策略”，实现：1.审核策略更改配置：成功

和失败2.审核登录事件配置：成功3.审核账户登录事件配置成功和失败。

如下图所示。

7控制台1

文件a）费作@）查看9收律夹@）窗口世）帮助出）

小-»I勾函即©函

（2）选择“本地策略”一>“用户权限分配”，实现：4更改系统时间于Administrators

和Users组5.关闭系统应用于Administrators>fllUsers组。如下图所示。

文件建）|操作Q）直看9收强荚（Q）窗口世）帮助出）

。■|囱画IX窗1ml图期

%控制台根节点,安全根版tyAMi.pl八本增策略,用户权限分配

,rai-is策略I讨邕机设g

!@rootzac蟆1备份文件和目录没有定义

s0zecurcdc固创建标记对象没有定义

a尚创建全局对象没有定义

s阂创建页面文件没有定义

33跚创建永久共享对象没有定义

sinP1

寻

QS帐阊从扩展坞中取出计空机

珞没有定义

.号

回跚从阳访问此计算机

略没有定义

策

串

磁

略

.回毂从磴关嫡制关机没有定义

.锁

口

哥

融

会

M僦圜调试程序投有定义

，

本

;另

珞鼓）说整进程的内存配额没有定义

^

策

略

直掰更改系妖时间Userx>Adninistrators

l±lW

破

权

0配

^区关闭系线Users,Adninistrators

项

4选

2麻剧首座由核和安全日志没有定义

-古

W1阙还原文件和目录没有定义

受

2隧

-能助拒绝本地登录

芯没有定义

3多

注阊拒绝从网络访问这台计复机没杳定义

-阖

文嬲拒绝作为霰务登录没有定义

三

明拒绝作为批处理作业暨录没有定义

阊内存中核定页面没有定义

is«n加告单一进程沿有定义

（3）选择“本地策略”一＞“安全选项”，实现：6.不需要按Ctrl+Alt+Del启用7.

登录时屏幕上不要显示上次登录帐户8.禁用来宾帐户状态。如下图所示。（将蓝

色阴影部分改为已启用）

7控蒯台1

文件《）操作⑥查看&）收藏买@）窗口Q）帮助第

£“自的X囱目|自国

%控制台根节点,安全长校\已\“«：3门八日”1・\本地策略\安全选项-1□!x|

1*1,33«S«C1S|讨苴机设置

rootsac^Microsoft网络服务器:数字筌名的退没有定义

s3securedc破Microsoft网络服务器.数字签名的通一没有定义

E5securews^Microsoft网络服务器在挂起台语之没有定义

㈤了setupsecurity^Nicroxoft网络客户端：发送未加密的.没有定义

h_3C\s«cur:ty^Microsoft网络客户端；数字签名的通.没有定义

Hsimple毂］Microsoft网络客户端：数字答名的通没有定义

B审帐户策昭践确恢复控猊台：允许对所有驱动器和.没有定义

:用邂密码策略

长哥帐户包定策咯题故随恢复控制台：允许自动系统管理级没有定义

辍美机浴除盅拟内存页面文件没有定义

£K«rb«ros黄昭

回关机.允许系妩在未登录前关机

三闰本地策略没有定义

由四审核策略叵交互式登录不显示上次的用户名已禁用

3用户权限分配剧交互式量录不需要按CTRL+ALT+DEL已启用

庄3安全选项毂交互式登录会话政定时显示用户信息没有定义

闰于件日志演交互式置录可被续存的前次登录个数没有定义

,3受限售场姐辎交互式登录要求域控制器身份验证以没有定义

将系线照务强交互式登录要求智能卡没有定义

H注册表毅）交互式登录用户讯图宜录时消息标题没有定义

W文件系妩联交互式登录：用尸试隙登录时消息文字没有定义

殿］交互式登录在毋的到期前提示用尸史没有定义

面交1T式专录智能卡移除潮作用有定义

事件日志：

（1）选择“事件日志”，实现：1.安全日志保留天数：7天2.安全日志的保留方

法：按需要覆盖事件3.安全日志最大值：20480KB4.系统日志保留天数：14

天。如下图所示。

前控制台1

文件①）操作®查看9收盘夹◎）国口8帮助QP

O-»|S的|X囹哈|自羽

7控制台根节点，安全模板,c八M.cuit八事件日总,1□X|

国回i«s&clE-I策略I计茸机设置

阙安全日志保留天数7^

圜安全日志的保留方法按天数

SJ®securews展）安全日志最大值20480KB

fflsetupsecurity侬）系携日志保留方法按天数

EC'\z«curity

没

0Q5simple演浜统日志大小是大伯有定义

义

E等帐户策略蜀限制本地来宾组访问安全日志没有定

义

:由⑶空吗策略没伯定

国限制本地米真组访问系以日志

义

时国俅尸版定策略没有定

龈）限制本地来玄俎访问医用程序日志

没有定

回Korb^roz策略义

朗应用程序日志保留方法

没有定

HJ本地策略义

匐应用程序日志保留天数

没百定

S3审核策略义

3用户权限分配联）应用程序日志大小最大值

田卫安全选项

国事件日志

_3受限辖蜘组

_3系统服务

M注册表

魂文件系找

LJ___________I

受限制的组:

(1)选择“受限制的组”，实现：1.设置一下Administrator组。只允许本地的

Administrator帐户力「入Administrators组。

(a)右键“添加组”

(b)添加Administrator组，并将Administrator帐户加入Administrators组。

系统服务:

（1）选择“系统服务”，实现：1.禁用IndexingService服务2.禁用Telnet服务

3.禁用WirelessConfiguration服务。如下图所示。

%控制台1-1□1x|

文件任）携作"）S^（v）收藏夹©）国口⑥帮助QD

卤画|X行固曾回

控制台根节点,安全程板\c:Security\3i・ple\系统聚务__________________________x|

,J控制台根节点服务名，1启动1枚限■1

□停安全模板池ErrorReportingService没有定义没有定义

EC.\'ftTNII01fS\stcurity\ter.p]%EventLog没有定义没有定义

团0cwipatws%FileReplication没有定义没有定义

his«cdc%FTPPublishingService没有定义没有定义

E逐hiz«cvs

%HelpandSupport没有定义没有定义

S密ies&cls

%HTTPSSL没有定义没有定义

(3®rootsec

^>HunaaInterfaceDevic...没有定义没有定义

M-^asecuredc—

%HSAdmnService没有定义没有定义

5«cur«wz

%IMXHCD-BsungCtM...没有定义没有定义

Ssetupsecurity

用没有乂

白3C.\securityL^Indexin<Service

E)弓simpleWintersiteMessaging没有定义没有定义

+豆帐户策略论IPSECServices没有定义没有定义

加怎本地策略逐KerberosKeyDistribu...没有定义没有定义

田孚件日志^LicenseLo^inc没有定义没有定义

J受限辖财姐^LogicalDiskManager没有定义没有定义

系统照务^LogicalDiskManager...没有定义没有定义

3注册表没有定义没有定义

将文件系疣霓^MicroxofASearch没有定义没有定义

^MicrosoftSoftwareSh...没有定义没有定义

±]_________________________|1J^MSSOLSERVER沿有定义沿芍■至义

1/

7控制台1-1□1x|

文件优）操作®查看纪|收漉夹@）团口⑺帮助如

0=14|H）03＞自@应回

%控制台根节点,安全破根\C：\it八三:系疑*务

_)控制台根节点服务名,nssb।权限

s国安全模板*SnortCard没有定义没有定义

E常C:\WINDOWS\xcurily\tsp】^>SpecialAdnirdstratio...没有定义没有定义

S5compatws险SQLSERVERAGEKT没有定义没有定义

困•蜃hisecdc

^^SystcfTiEventNoti£ica...没有定义没有定义

i困蜃h\xc”

%>TaskScheduler没有定义没有定义

Efaiezacls

%TCP/IPNetBIOSHelper没有定义没有定义

S凌rootsec

Telephony没有定义没有定义

囱■securede

史1Telnet已禁用没有定义

CDsecurews

^g>T«rn)nalSorvic”没有定义

没

satups«curity有定义

^^TerninalServicesSes...没有定义

有定义

S泊C:\xecurity没

Theses没有定义

有定义

Ssimple没

国逆帐户频^>TPAutoCowwctService没有定义

有定义

没

黑^TPVCGatewayService没有定义

有

本地黄监定义

没

田事件日志UmnterruptiblePower...没有定义

有

定义

没

冕>VirtuQDiskSorvic«没有定义

有

J3受跟常则犯定义

没

国系统服务areSnapshotProvider没有定义

有

定义1

没

X注册表逊VM*areTools没有定义

有

定义

没

•3文件系豌淞四3。物理磁盘助手服务

没有定义有

定义

没

没有定义有

定义

^^^VoluneShadowCopy勺

没

<1IH^WebClient济有凄义

7控制台1-1□1x|

文件更）操作3）查看9收藏夹@）窗口⑺帮助也）

8■»|囱画|X青器|图画

文件系统:

(1)选择“文件系统”,实现：1.设置C:新建文件夹的ACL（accesscontrollist）访

问控制表，只允许Administrator帐户有•权限访问。

（a）右键“添加文件”

Tn控制台1

文件g澡作®查看9收藏夹©）困口⑥帮助国）

数据库安全设查XSyste・Dri▼,小初建文件*:

安全

组或用户名称&）：

AdministratorsI^TUDENTl\Administrators)

0□▲

完全控制0□一

修改

0口

读取和执行

0口

列出文件夹内容

0口

读取一

0口d

写入

特别权限或高级设置，话单击“高级”。高级叟）|

确定I取消I应用㈤

%笠制台1-1□1x|

文件d）操作Q）查看9收就夹Q）亩口世）帮助出）

》一国画哈自E3

以上完成了所以设置。

4.保存安全模板

选择“simple”右犍一〉“另存为”一〉保存到C:\security

5.应用安全模板

1.以“Administrator”成员的身份登录。

2.单击开始，单击运行，在打开框中键入mmc,然后单击确定。

3.在文件菜单上，单行“添加/删除管理单元”。

4.单击添加、“安全配置和分析”、添加，单击关闭，然后单击确定。

5.在控制台树中，右键单击“安全配置和分析”，然后单击打开数据

库。输入新的数据库名,如“simple”

单击“打开”，选择要导入的安全模板C:\security\simple.inf

点击“打开”，如图

6.分析计算机安全设置。右击安全配置和分析，在弹出的快捷菜单中

选择“立即分析计算机”命令

7.在屏幕上出现的执行分析对话框中，接受“错误日志文件路径”

框中显示的默认日志文件路径，或指定所需的位置.，然后单击确定。

点击“确定”按钮

8.将对该模板安全设置与现有的计算机设置进行比较。

备注：此时，不会对计算机进行任何更改。此过程的结果表明模板中

的安全设置与实际系统设置有何区别。

可以查看安全性分析结果,在“安全配置和分析”管理控制台中，

展开“安全配置和分析”，单击要查看安全（例如密码策略）。在右侧窗

口中，“策略”列表中显示了分析结果；“数据库设置”列表显示模板

中的安全值；“计算机设置”列表显示系统中的当前安全策略。

分析状态标记如下。

红色的“X”表明与基木配置有差异。

绿色的“复选标记”表明与基本配置一致。

没有图标表明模板中不包含安全属性，因此不分析。

例如，“密码必须符合复杂性要求”策略，在安全数据库中的策

略为“启用。而在本地的系统设置为“停用”，分析状态标记为红色

的“X”，表示配置不同。

%控制G1________________________________________________-1□!x

文件3）操作⑥查看9收被夹电）窗口型）格助Q0

©而曲|图回

17m控蒯台根H点'安全配置和分析,本地策略,用户权跟分配,1□Ix|

口控制台根节点策用/1数据庙设置1计篁:机设置1.

F学安全配置和分析函备份文件和目录没有定义BackupOperator...

日野帐尸策略阙创建标记对象没有定义

a仔密吗策略震］创建全局对象没有定义SERVICE,Adminis...

田尊帐户锁定策略

跚创建页面文件没有定义Administrators

日封本地策略阙创建永久共享对象没有定义

Ji品审核策略跚从扩展场中取出计尊机

没有定义PowerUsers/Adm...

醴从网络访问此计算机

田3安全选项没有定义BackupOperator...

躅从远程系统强制关机没有定义Administrators

由另事件日志

照］调试程序没有定义Administrators

田3受限制的组

跚调整进程的内存配额没有定义Administrators,...

由匚®系统服务

算更改系统时间

田日注册表Administrators,..PowerUsers,Adm...

田笛文件系统您关闭系统Adninistrators/…BackupOperator...

疑管理审核和安全日志没有定义Administrators

跚还原文件和目录没有定义BackupOperator...

嬲拒绝本地登录没有定义STUDEKri\ASPNET...

跚拒绝从网斜访问这台讨邕机没有定义STUDEHT1\SUPPOR...

畿拒绝作为服务登录没有定义

H1>1阙拒绝作为批处理作业登录没有定义

4*.有上.T-1.LiV»■--L'n・、.

_________

涓控蒯台1

文件也）操作@）置看9收藏夹@）囱口®）招助国）

4=-►回西|哈因0D

徐控制台根节点,安全配置和分析'本地策略，安全选项上回凶

」控制告根节点I窈据库设置I计则相

分析

没有

Id学安全配置和分析眼）DCOM：在安全描述符定义语言…

析

法有

S寻帐户策略暖］DCOW：在安全描述符定义语言..分

析

启

月

殁有

分n

:由哥密码策略展］Microsoft网络服务器：当登..己n

【

析

禁

月

投有

分

:出事帐尸锁定策略己g

幽Microsoft网络服务器：数字..■

析

禁

没有

分

月(

己I

白同本地策咯［^Microsoft网络服务器.数字..I-

析

没有

分