办公终端安全基线配置规范

办公终端安全基线配置规范文档编号：ITS-SEC-2024-001（示例编号，发布前由信息安全部门正式赋号）

适用范围：全公司Windows办公终端（台式机、笔记本）、接入办公网的移动终端

发布部门：信息技术部·信息安全组

版本：V1.0（发布日期与生效日期由IT部门在OA正式发文时填写）一、总则1.1编制目的终端是攻击链的最终落点：绝大多数勒索病毒、数据泄露事件的初始入侵路径是「钓鱼邮件→员工点击→恶意载荷在终端执行→横向扩散至文件服务器」。本规范的目的不是罗列安全工具清单，而是把终端侧每一道防线固化为可检查、可验收、可追责的配置项，使任何一台办公终端在交付使用前就处于「默认安全」状态，而不是「出了事再补」。1.2编制依据•《中华人民共和国网络安全法》•《中华人民共和国数据安全法》•GB/T22239-2019《信息安全技术网络安全等级保护基本要求》•公司《信息安全管理制度》《员工保密协议》1.3术语与适用对象术语定义办公终端由公司配发、接入办公网或VPN的Windows台式机/笔记本特权终端IT运维、财务、高管等可访问核心系统的终端，执行更严格基线基线符合率单台终端通过项数/基线总项数，合格线为95%（特权终端100%）标准镜像IT部统一制作的操作系统安装映像，预置本规范全部配置二、基线配置要求本章是规范的核心，所有配置项均给出「配置值+为什么+违反后果」，验收时逐项打勾。2.1身份认证为什么：弱口令和长期不换的口令是终端被入侵成本最低的入口。若口令被撞库成功，攻击者可直接以合法身份登录，绕过所有基于「陌生人」假设的防护。序号配置项基线要求责任方A1口令复杂度长度≥12位，含大写、小写、数字、符号中至少3类全体员工A2口令有效期90天强制更换，新旧口令不得重复最近5次域控策略A3账户锁定连续5次失败锁定30分钟域控策略A4多因素认证访问VPN、邮箱、核心业务系统必须启用MFA（App动态口令或硬件Key）全体员工A5屏幕锁定无操作10分钟自动锁屏，唤醒需重新认证标准镜像预置异常处置：员工忘记口令的，凭工牌至IT服务台现场重置；严禁通过电话、微信、邮件向任何人（包括自称IT人员）透露口令或验证码——IT部任何场景下都不会索要口令，收到此类索要即为钓鱼，须15分钟内上报security@。2.2系统与补丁为什么：补丁是针对已知漏洞的官方修复，未被修补的高危漏洞等于给攻击者留了带说明书的门。1.操作系统统一使用标准镜像部署，严禁自行重装系统或使用非授权镜像（非授权镜像可能预置后门，且脱离域管控后杀毒与补丁策略全部失效；重装需求统一提交IT服务台，2个工作日内完成）。2.高危漏洞补丁（CVSS≥7.0）：发布后7日内完成全网安装；一般补丁30日内完成。3.补丁推送由WSUS/SCCM统一下发，终端不得关闭自动更新服务。4.操作系统生命周期：已停止安全更新的系统（如Windows7/8）发现一台、隔离一台，30日内完成更换或升级，过渡期必须部署网络隔离+加强监控。5.出问题怎么办：补丁导致业务软件不兼容的，员工4小时内提交工单，IT在24小时内给出回滚方案（卸载该补丁并列入白名单待验），同时该终端临时纳入重点监控名单。2.3恶意代码防护•终端必须安装公司统一EDR/杀毒软件，实时防护、行为监控、云端查杀三项功能全部开启，严禁卸载、退出或禁用进程（杀毒软件是最后一道主动防线，退出后勒索病毒可在数分钟内加密整个共享盘；发现被禁用的终端立即断网并通知安全组）。•病毒库更新间隔不得超过24小时，由管理端每日核查，连续3天未更新的终端自动下发强制更新。•每周日凌晨2:00执行全盘扫描，扫描结果自动上报管理端。2.4网络配置•办公终端IP、DNS由DHCP统一分配，严禁私自改静态IP、私接随身WiFi/随身路由（私接设备会把办公网桥接到不可控网络，形成绕过边界防火墙的隐蔽通道；发现即断网并按违规事件处理）。•有线办公区执行802.1X准入：未注册、不合规终端只能访问隔离VLAN（仅补丁修复和合规检查）。•远程办公一律走公司VPN，VPN客户端拆分隧道功能关闭（防家宽网络直接访问内网）。•优先使用公司配发的4G/5G上网卡出外网；若不具备条件，可使用受控家庭宽带+VPN；严禁在办公终端上连接公共WiFi办公（公共WiFi存在中间人劫持风险，凭据可被截获）。2.5数据与外设管控•终端磁盘全盘加密（BitLocker），恢复密钥统一托管至AD。•U盘等移动介质默认禁用读写；确有需要的，申请经部门经理+安全组双重审批后发放白名单加密U盘。•敏感数据（客户信息、源代码、财务数据）严禁存放在本地桌面/下载目录和未经审批的个人网盘，统一存放于加密共享盘或DLP受控目录（本地明文存储一旦终端丢失或中勒索病毒，数据不可恢复且构成泄露事件）。•发往外部邮箱的附件经DLP内容识别，命中敏感规则的需二次审批放行。三、分级管理为什么分级：一刀切会浪费管理资源，也会压垮业务效率——财务一台终端泄露的损失抵得上普通岗位十台，所以高风险岗位必须付出更高管理成本。级别适用对象附加要求普通终端一般办公岗执行第二章全部基线特权终端系统管理员、DBA、财务、高管基线符合率100%；本地管理员权限回收；操作全程录屏审计；邮件外发全量审批研发终端开发、测试岗代码仓库访问绑定MFA+IP白名单；源代码目录DLP加密；生产环境凭据严禁落盘本地特权终端人员名单由各部门每季度初5个工作日内报安全组复核，离岗、转岗3个工作日内同步撤销特权。四、合规检查与验收本章解决「基线写了没人查等于没写」的问题，检查动作全部量化到频次和责任人。4.1检查机制1.自动化核查：管理平台每日采集终端配置（杀毒状态、补丁水平、加密状态、违规进程），不合规项自动生成工单派发至终端使用人及其部门主管，要求3个工作日内整改，逾期升级至安全组。2.人工抽查：安全组每月按不低于终端总数10%的比例现场抽查，重点核查自动化无法覆盖项（贴在显示器上的密码便签、私接设备、口令是否写在共享文档）。3.年度审计：每年一次全量基线复审，输出《终端安全基线符合率报告》报信息安全委员会，符合率低于90%的部门由部门负责人提交书面整改计划，30日内复测。4.2验收标准新终端交付使用前，IT服务台按《终端基线交付检查表》（附件1）逐项验收，全部通过方可开通办公网权限；不通过的仅允许接入隔离VLAN。五、违规事件处置违规按影响分三级，每级明确判定标准、启动权限和处置时限：级别判定标准启动与处置一般违规未及时装补丁、杀毒库过期、轻微策略绕过管理平台自动告警，IT运维1个工作日内闭环较重违规私接网络设备、绕过DLP外发文件、共享账户安全组2小时内响应，断网整改，部门通报，纳入年度考核重大事件终端确认中马、勒索病毒加密、敏感数据外泄安全组15分钟内响应：立即断网（拔网线/关WiFi，严禁直接关机——关机会丢失内存取证数据），隔离样本，评估横向扩散面，按《信息安全事件应急预案》升级至管理层，重大事件24小时内报属地网信/公安部门违规处置完成后5个工作日内由安全组出具复盘报告，明确根因、责任人、整改项及验证时间，纳入下一季度检查重点——形成「发现-处置-复盘-改进」的PDCA闭环。六、培训与责任•新员工入职7日内完成信息安全在线课程（含钓鱼邮件演练），考核80分以上方可开通核心系统权限。•全员每季度接受一次钓鱼邮件实战演练，中招者须在3个工作日内完成补课，连续两次中招的通报部门主管。•终端安全第一责任人为终端使用人本人；部门负责人对本部门基线符合率负责；安全组负责标准制定、检查与事件处置。违反本规范造成安全事件的，按《员工手册》及保密协议追责，构成违法的移交司法机关。附件1：终端基线交付检查表（样表）序号检查项要求结果（通过/不通过）检查人日期1标准镜像安装版本与最新发布镜像一致2域加入已加入公司域，策略生效3口令策略符合A1~A34EDR状态运行中、病毒库≤24h5补丁无缺失高危补丁6BitLocker已启用，密钥已托管7屏幕锁定10分钟自动锁屏8U盘管控默认禁用生效9MFA邮箱/VPN已绑定10用户确认书使用人已签署《终端安全责任确认书》附件2：应急联络通讯录（样表，正式发布时填入实际信息）角色姓名联系方式响应时段安全事件值班值班工程师值班电话：xxx-xxxxxxxx7×24安全组负责人张某某138******工