Microsoft-Windows安全配置风险评估检查表

1、WindowsWindows 系统安全配置基线系统安全配置基线 目目 录录 第第 1 章章概述概述.1 1.1目的.1 1.2适用范围.1 1.3适用版本.1 第第 2 章章账号管理、认证授权账号管理、认证授权.2 2.1账号.2 2.1.1管理缺省账户.2 2.2口令.2 2.2.1密码复杂度.2 2.2.2密码历史.3 2.2.3 帐户锁定策略.3 2.3授权.4 2.3.1远程关机.4 2.3.2本地关机.4 2.3.3用户权利指派.4 第第 3 章章日志配置操作日志配置操作.6 3.1日志配置.6 3.1.1审核登录.6 3.1.2审核策略更改.6 3.1.3审核对象访问.7 3.1.

2、4审核事件目录服务器访问.7 3.1.5审核特权使用.7 3.1.6审核系统事件.8 3.1.7审核账户管理.8 3.1.8审核过程追踪.8 3.1.9日志文件大小.9 第第 4 章章IP 协议安全配置协议安全配置 .10 4.1IP 协议.10 4.1.1启用SYN攻击保护.10 第第 5 章章设备其他配置操作设备其他配置操作.12 5.1共享文件夹及访问权限.12 5.1.1关闭默认共享.12 5.2防病毒管理.12 5.2.1数据执行保护.12 5.3WINDOWS服务.13 5.3.1 SNMP服务管理.13 5.4启动项.13 5.4.1关闭Windows自动播放功能.13 第第 1

3、 章章概述概述 1.1 目的目的 本文档规定了 WINDOWS 操作系统的主机应当遵循的操作系统安全性设置标准，本 文档旨在指导系统管理人员或安全检查人员进行 WINDOWS 操作系统的安全合规性检查 和配置。 1.2 适用范围适用范围 本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。 1.3 适用版本适用版本 WINDOWS 系列服务器； 第第 2 章章账号管理、认证授权账号管理、认证授权 2.1 账号账号 2.1.1 管理缺省账户管理缺省账户 安全基线项安全基线项 目名称目名称 操作系统缺省账户安全基线要求项 安全基线编安全基线编 号号 SBL-Windows-02-

4、01-01 安全基线项安全基线项 说明说明 对于管理员帐号，要求更改缺省帐户名称；禁用 guest（来宾）帐号。 检测操作步检测操作步 骤骤 进入“控制面板-管理工具-计算机管理” ，在“系统工具-本地用户和组” ： 缺省帐户 Administrator属性 Guest 帐号-属性 基线符合性基线符合性 判定依据判定依据 缺省账户 Administrator 名称已更改。 Guest 帐号已停用。 备注备注 2.2 口令口令 2.2.1 密码复杂度密码复杂度 安全基线项安全基线项 目名称目名称 操作系统密码复杂度安全基线要求项 安全基线编安全基线编 号号 SBL-Windows-02-02-0

5、1 安全基线项安全基线项 说明说明 最短密码长度 6 个字符，启用本机组策略中密码必须符合复杂性要求的策 略。即密码至少包含以下四种类别的字符中的三种： 英语大写字母 A, B, C, Z 英语小写字母 a, b, c, z 西方阿拉伯数字 0, 1, 2, 9 非字母数字字符，如标点符号，, #, $, %, HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpMaxPort sExhausted; HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpMaxHalf Open; HKEY_

6、LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpMaxHalf OpenRetried。 基线符合性基线符合性 判定依据判定依据 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSynAttackPr otect; 推荐值：2。 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpMaxPort sExhausted; 推荐值：5。 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpMaxHal

7、f Open; 推荐值数据：500。 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpMaxHalf OpenRetried。推荐值数据：400。 备注备注 第第 5 章章设备其他配置操作设备其他配置操作 5.1 共享文件夹及访问权限共享文件夹及访问权限 5.1.1 关闭默认共享关闭默认共享 安全基线项安全基线项 目名称目名称 操作系统默认共享安全基线要求项 安全基线编安全基线编 号号 SBL-Windows-05-01-01 安全基线项安全基线项 说明说明 非域环境中，关闭 Windows 硬盘默认共享，例如 C$，D$。 检测操作步检

8、测操作步 骤骤 进入“开始运行Regedit” ，进入注册表编辑器，查看 HKLMSystemCurrentControlSetServicesLanmanServerParametersAutoShare Server； 基线符合性基线符合性 判定依据判定依据 HKLMSystemCurrentControlSetServicesLanmanServerParametersAutoShare Server 键，值为 0。 备注备注 5.2 防病毒管理防病毒管理 5.2.1 数据执行保护数据执行保护 安全基线项安全基线项 目名称目名称 操作系统数据执行保护安全基线要求项 安全基线编安全基线编

9、号号 SBL-Windows-05-02-01 安全基线项安全基线项 说明说明 对于 Windows XP SP2 及 Windows 2003 对 Windows 操作系统程序和服务启 用系统自带 DEP 功能(数据执行保护)，防止在受保护内存位置运行有害代 码。 检测操作步检测操作步 骤骤 进入“控制面板系统” ，在“高级”选项卡的 “性能”下的“设置” 。 进入 “数据执行保护”选项卡。查看“ 仅为基本 Windows 操作系统程序 和服务启用 DEP” 。 基线符合性基线符合性 判定依据判定依据 “数据执行保护”选项卡已设置为“ 仅为基本 Windows 操作系统程序和 服务启用 DE

10、P” 。 备注备注 5.3 Windows 服务服务 5.3.1 SNMP 服务管理服务管理 安全基线项安全基线项 目名称目名称 操作系统 SNMP 服务管理安全基线要求项 安全基线编安全基线编 号号 SBL-Windows-05-03-01 安全基线项安全基线项 说明说明 如需启用 SNMP 服务，则修改默认的 SNMP Community String 设置。 检测操作步检测操作步 骤骤 打开“控制面板” ，打开“管理工具”中的“服务” ，找到“SNMP Service” ， 单击右键打开“属性”面板中的“安全”选项卡，在这个配置界面中，查看 community strings，也就是微软所说的“团体名称” 。 基线符合性基线符合性 判定依据判定依据 community strings 已改，不是默认的“public” 。 备注备注 5.4 启动项启动项 5.4.1 关闭关闭 Windows 自动播放功能自动播放功能 安全基线项安全基线项 目名称目名称 操作系统 Windows 自动播放安全基线要求项 安全基线编安全基线编 号号 SBL-Windows-05-04-01