Windows操作系統(tǒng)安全加固

-XX.—1^-

刖5

本標(biāo)準(zhǔn)化作業(yè)指導(dǎo)書(shū)是規(guī)范電力監(jiān)控系統(tǒng)采用Windows操作系統(tǒng)安全加固作業(yè)而制定。

制定本標(biāo)準(zhǔn)化作業(yè)指導(dǎo)書(shū)的目的是加強(qiáng)對(duì)Windows操作系統(tǒng)安全加固作業(yè)的全過(guò)程控制

，體現(xiàn)對(duì)設(shè)備及人員行為的全過(guò)程管理，保證現(xiàn)場(chǎng)作業(yè)過(guò)程的安全和質(zhì)量，優(yōu)化作業(yè)方案，提

高效率，陽(yáng)氐成本。

本手冊(cè)適用于Windows2000ProfessionalsWindowsXP、WindowsServer

2003^Windows7、Windows10、WindowsServer2008（以下分別簡(jiǎn)稱Win2000

、WinXP、Win2003、Win7、Win10、Win2008）等Windows操作系統(tǒng)。

目錄

■配置管理

Q網(wǎng)絡(luò)管理

目錄接入管理

ontentso

B日志與審計(jì)

惡意代碼防范

目錄

Parti配置管理

選擇組

選擇此對(duì)象類型（S）:

組對(duì)象類型（o）.

查找位置（F）:

MTSITC位.置(1.).

一般性查詢

列(C).

名稱（點(diǎn)）：起始為

描述（D）:起始為立即查找（N）

禁用的長(zhǎng)戶（B）停止（T）

不過(guò)期密碼（X）

自上次登錄后的天數(shù)（1）:

搜索結(jié)果（U1：——11定————取遍——

名稱（RDN）所在文件央

AdministratorsBATSU—PC

BackupOperatorsHATsu-Pc

'tiCryptographicOperatorsMTSC-PC

電DistributedCOMUsersHATSU-K

電EventLogReadersBATSU-PC

電GuestsRATSu-PC

電HomeUsersBATSII-PC

電】IS_IUSRSHATSU—PC

電NetworkConfigurationOperatorsBATSU-pc

電PerformanceLogUsersRATSU-K—

PerformanceMonitorUsersHAisu?pc

PowerIsersBATSU-PC

RemoteDesktopUsersBATSI—PC

e—\TOTTno

本地安全設(shè)置

文件(E)操作(A)遺看(V)幫助(H)

安全設(shè)置W_________________

帳通番份文件和目錄Administrato..

本地陽(yáng)不與安土中核LOCALSERV..

H1審核略確創(chuàng)建：(:’?；可象

用戶權(quán)利指派細(xì)創(chuàng)*劉欣Admimstato.

Administrators

由安全選聘創(chuàng)迂面文fl

酸創(chuàng)建太久共享訂象

公例略

Ad"'..

軟件很策略用J、插接工作站中取出計(jì)算機(jī)

蛹絡(luò).??Everyone.AS...

力安全策略.

II觸上LiS舄統(tǒng)送切美加Administrators

曬耳試程件Administrators

兩用整進(jìn)程的內(nèi)在配為！LOCALSERV^

明E改系統(tǒng)時(shí)間Administrato...

調(diào)關(guān)r系統(tǒng)Administrate..

flflT理那核利安全HiliAdnwiistrators

揮人用文件和I求Adnwitslrato..

明也絕本地登錄SUPPOflT_3..

盼它從網(wǎng)絡(luò)向討域臺(tái)itWf、ll'l'>>l<l3

蝴未的作為服務(wù)蹌聚

曲小『可為批件業(yè)件錄

曬內(nèi)存，Iifi-i

明忙巴的迸程Administraio.

物配置系統(tǒng)性能Adm?n?StratOfS

響取得文件或其它對(duì)象的所有權(quán)Administators

炳身份抬訐后模擬客戶端ASPIET.Ad

明號(hào)換逅程：衛(wèi)號(hào)LOCALSERV..

跳過(guò)遍歷掠杳Everyone,Ad..

的通過(guò)”湍忸務(wù)拒絕〃錄ASPNET

雌i過(guò)終戰(zhàn)服務(wù)允許登來(lái)Administrato..

或同步目錄服務(wù)數(shù)據(jù)

麗誨戌附件環(huán)境依Administrators

闞以探竹系統(tǒng)方式操作

我或中漆加工作站

麗允許計(jì)掌機(jī)和用戶帳戶被信任以便川于委仟

m小地什季GuBS!,Admin_.

麗前次間度憂兒級(jí)Administrators

確認(rèn)行/維護(hù)任務(wù)Admirnstrators

顧我餞用我＜各也用序Admirnstrators

軸?丫存及NETWORKS.

前十為批處理”業(yè)登錄SLPPORT.3.

5.系統(tǒng)管理員權(quán)限配置

在Win7、Win10和Win2008:

⑴選擇用戶“sysadmin”，右擊“屬性”，進(jìn)入“隸屬于二＞添加-＞選擇組-＞高級(jí)-＞立即查找”

選擇NetworkConfigurationOperators組，點(diǎn)擊確定；

(2)進(jìn)入“控制面板二)管理工具-〉本地安全策略本地策略-＞用戶權(quán)限分配(用戶權(quán)利指派)二＞取

得文件或其他對(duì)象的所有權(quán)”，添加用戶“sysadmin”，點(diǎn)擊確定

在Win2003和WinXP:

(1)選擇用戶“sysadmin”，右擊“屬性”，進(jìn)入“隸屬＞＞添加”，選擇Network

ConfigurationOperators組，點(diǎn)擊確定；

(2)進(jìn)入“控制面板-管理工具-)本地安全策略-＞本地策略-＞用戶權(quán)限分配(用戶權(quán)利指派)-＞取

得文件或其他對(duì)象的所有權(quán)”，添加用戶“sysadmin”，點(diǎn)擊確定；

在Win2000:

選擇用戶“sysadmin”，右擊“屬性”，進(jìn)入“隸屬于-＞添加"，選擇Administrators組，點(diǎn)擊確

定；

本地交全策略

文件(F)操作(A)查看(V)幫助(H)

帳戶：重命名系統(tǒng)管理員帳戶屬性島

安全設(shè)置策略安全設(shè)置

本地安全設(shè)置說(shuō)明

帳戶策略

帳戶：重命名系統(tǒng)管理員帳戶Administrator

本地策略

帳戶：重命名來(lái)賓帳戶Guest帳戶：重命名系統(tǒng)管理員帳戶

審核策略

帳戶：使用空密碼的本地帳戶只允許進(jìn)行控制臺(tái)..已啟用

用戶權(quán)限分配

帳戶：來(lái)賓帳戶狀態(tài)已禁用

安全選項(xiàng)

帳戶：管理員帳戶狀態(tài)已禁用

高級(jí)安全Wincbws防火墻

域控制器：允許服務(wù)器操作者計(jì)劃任務(wù)沒(méi)有定義陸nlstratcr

網(wǎng)絡(luò)列表管理梏策略

域控制器：拒絕計(jì)算機(jī)帳戶密碼更改沒(méi)有定義

公鑰策略

軟件限制策略域控制器：IDAP服務(wù)器簽名要求沒(méi)有定義

應(yīng)用程序控制策略域成員：需要強(qiáng)(Windows2000或更高版本)會(huì)…,已啟用

最甲安全策略，在本地H?算機(jī)咽誠(chéng)員禁用計(jì)蒯爐密醐已禁用

高級(jí)審核策略配置

域成員：計(jì)算機(jī)帳戶密碼端長(zhǎng)使用期限30天

域成員：對(duì)安全通道數(shù)據(jù)進(jìn)行數(shù)字簽名(如果可能已啟用

域成員：時(shí)安全通道數(shù)據(jù)進(jìn)行數(shù)字加密或數(shù)字簽..已雇用

訐算機(jī)管理(本地)名稱全名描述操作~

系統(tǒng)工具Adminis...管理計(jì)算機(jī)(域)的內(nèi)五帳戶用戶

任務(wù)計(jì)劃程序

Batsu管理計(jì)算機(jī)(域)日志h

M事件查石器Guest供來(lái)實(shí)訪問(wèn)計(jì)算機(jī)或訪問(wèn).更

共享文件夾

/?本地用戶和組HomeGr..HomeGroupUser$可以訪問(wèn)才算機(jī)的家庭組…Guest

Guest屬性廿X

n

性常規(guī)隸屬于配置文件

設(shè)備管理器

呼曲盤管理--Guest

服務(wù)和應(yīng)用程序

全名(E):

描述(D):供來(lái)賓訪問(wèn)計(jì)算機(jī)或訪問(wèn)域的內(nèi)置帳戶

□用戶下次登錄時(shí)須更改密碼(m)

用戶不能更改密碼(C)

密碼永不過(guò)期(P

區(qū)帳戶已禁用(E)

口帳戶已鎖定(Q)

確定取消i應(yīng)用(A)幫助

級(jí)啟動(dòng)詵項(xiàng)

選擇以下內(nèi)容的高級(jí)選項(xiàng)：windows7

（使用箭頭鍵以突出顯示您的選擇。）

修復(fù)計(jì)算機(jī)

室模式

帶命令提示符的安全模式

啟用啟動(dòng)日志

目錄服務(wù)還原模式

調(diào)試模式

禁用系統(tǒng)失敗時(shí)自動(dòng)重新啟動(dòng)

禁用驅(qū)動(dòng)程序簽名強(qiáng)制

正常啟動(dòng)windows

描述：僅使用核心驅(qū)動(dòng)程序和服務(wù)啟動(dòng)

windowso請(qǐng)?jiān)诎惭b新設(shè)備或驅(qū)動(dòng)程序后無(wú)法啟動(dòng)時(shí)使用。

匕ntei=3拌ESc二取洎

1屏莫保護(hù)程序設(shè)置

屏幕保護(hù)根序x

加固刃脫

控制面

適用版

更改桌由

操作步更改鼠材

更改帳

1.進(jìn)

屏幕保護(hù)程序(S)保護(hù)程序

變幻線設(shè)置(T)..預(yù)覽(V)

等待(W):分鐘在恢算時(shí)顯示登錄屏幕(R)

2.選

電源管理

通過(guò)調(diào)整顯示亮度和其他電源設(shè)置以節(jié)省能源或提供最佳性能。

更改電源設(shè)帶

確定取消應(yīng)用(A)

另洸外------------

顯示

任務(wù)欄和「開(kāi)始」菜單窗口顏色聲音屏幕保護(hù)程序

輕松訪問(wèn)中心Harmony天空Windows軟認(rèn)

示例圖片屬性

圖片庫(kù)示例圖片的權(quán)限]

包括：2個(gè)位置

常規(guī)I共享—安全位置以前的版本安全________________________________________________

而象名稱：C:\Users\Public\Pictures\SamplePictures對(duì)象名稱：C:\Users\Public\P:ctures\SamplePictures

組或用戶名(G)：組或世名(G)：

Everj'one▲

8BATCH

8CREATOROWNER8Adminis(rators(Batsu-PC\Adninistrator

8SYSTEM

'INTERACTIVE一

示例圖片8.RATCH______________________________________=

?H?8SERVICE

8WMPNetworkSvc▼

要更改權(quán)限，請(qǐng)單擊“編輯”。

編輯⑹…J______I?

1刪除(R)

Everyone的權(quán)限(P)允許拒絕添加(D)..

完全控制j

Administrators的權(quán)限(P)

修改J允許拒絕

讀取和執(zhí)行V完全控制

列出文件夾內(nèi)容J修改

讀取)讀取和執(zhí)行

寫入)列出文件夾內(nèi)容

讀取

有關(guān)特殊權(quán)限或高級(jí)設(shè)置，靖單擊“高

獴

加固說(shuō)明：口令長(zhǎng)度不小于8位，由字母、數(shù)字和特殊字符組成，不得與賬戶名相同，避免口令被暴力

破解。

適用版本：Win2000、WinXP、Win2003、Win7、Win10、Win2008

操作步驟：

1.進(jìn)入“控制面板管理工具-〉本地安全策略帳戶策略-〉密碼策略”；

2.雙擊“密碼長(zhǎng)度最小值”，設(shè)置“密碼長(zhǎng)度最小值”為8個(gè)字符，點(diǎn)擊確定;

3.雙擊“密碼必須符合復(fù)雜性要求”，勾選已啟用，點(diǎn)擊確定。

1?6用戶登錄失敗鎖定

加固說(shuō)明：配置當(dāng)用戶連續(xù)認(rèn)證失敗次數(shù)超過(guò)5次，鎖定該用戶使用的賬戶5分鐘，避免賬戶被惡意用

戶暴力破解。

適用版本：Win2000、WinXP、Win2003、Win7、Win10、Win2008

操作步驟：

1.進(jìn)入“控制面板-＞管理工具-〉本地安全策略賬戶策略帳戶鎖定策略”；

2.雙擊"帳戶鎖定閥值”設(shè)置，設(shè)置無(wú)效登錄次數(shù)為5次，點(diǎn)擊確定；

3.雙擊“帳戶鎖定時(shí)間”設(shè)置，沒(méi)置鎖定時(shí)間5分鐘，點(diǎn)擊確定。

1.7用戶口令周期策略

加固說(shuō)明：設(shè)置賬戶口令的生存期不長(zhǎng)于90天?避免密碼泄露。

適用版本：Win2000、WinXP、Win2003、Win7、Win10＞W(wǎng)in2008

操作步驟：

1.進(jìn)入“控制面板-＞管理工具-）本地安全策略-＞帳戶策略-＞密碼策略”；

2.雙擊“密碼最長(zhǎng)使用期限（密碼最長(zhǎng)存留期）”，設(shè)置“密碼最長(zhǎng)使用期限”為90天，點(diǎn)擊確定。

加固說(shuō)明：密碼到期前提示用戶更改密碼，避免用戶因遺忘更換密碼而導(dǎo)致賬戶失效。

適用版本：Win2000、WinXP、Win2003、Win7、Win10、Win2008

操作步驟：

1.進(jìn)入“控制面板-＞管理工具-〉本地安全策略-＞本地策略-〉安全選項(xiàng)”；

2.雙擊“交互式登錄：提示用戶在過(guò)期之前更改密碼”，設(shè)置為9天，點(diǎn)擊確定。

補(bǔ)充：”交互式登錄：提示用戶在過(guò)期之前更改密碼”在WinXP和Win2003中為“交互式登錄：在密

碼到期前提示用戶更改密碼”，在Win2000中為“在密碼到期前提示用戶更改密碼”。

加固說(shuō)明：操作系統(tǒng)不顯示上次用戶名，避免用戶名泄露。

適用版本：Win2000、WinXP、Win2003、Win7、Win10、Win2008

操作步驟：

1.進(jìn)入“控制面板-＞管理工具-〉本地安全策略-＞本地策略-〉安全選項(xiàng)”；

2.雙擊“交互式登陸：不顯示最后的用戶名”，選擇“已啟用”，點(diǎn)擊確定。

補(bǔ)充：”交互式登陸：不顯示最后的用戶名”在WinXP和Win2003中為“交互式登陸：不顯示上次

的用戶名”，在Win2000中為“登錄屏幕上不要顯示上次登錄的用戶名”。

MVrxlows'Pwcrch-

文件哈希信息

?幸苦5HA

outlookk)c2010B72E23AB65F!5FM￡e!3KBl0e7BE￡6F57AeCe88

kb32OM67

futle-x86-

gib.cxe

outlookloc2DIO-EA9F6O7F253DC2C9AIA7AB43534E9F7E6D6A8FDBFEn6FB94O5C5CC45AEEAIFlI4C767CA20278IF6702DOEE46E8830C232F3FEC

kb3203467-

fuillex64

gib.exe

Q

11禁止用戶修改IP

加固說(shuō)明：規(guī)范主機(jī)網(wǎng)絡(luò)配置管理，禁止用戶任意更換IP。

適用版本：Win2000、WinXP、Win2003、Win7、Win10、Win2008

操作步驟：

1.按下+R,輸入框輸入gpedtmsc，打開(kāi)“本地組策略編輯器”；

2,進(jìn)入“用戶配置-＞管理模板-〉網(wǎng)絡(luò)-）網(wǎng)絡(luò)連接”；

3.雙擊“禁止訪問(wèn)LAN連接組件的屬性”，設(shè)置為已啟用，點(diǎn)擊確定；

4.雙擊“禁止訪問(wèn)LAN連接的屬性”，設(shè)置為已啟用，點(diǎn)擊確定；

5.雙擊“禁用TCP/IP高級(jí)配置”，設(shè)置為已啟用，點(diǎn)擊確定。

補(bǔ)充：如果業(yè)務(wù)需要修改IP,可臨時(shí)取消，修改完成后重新加固。

1.12禁止J

加固說(shuō)明：禁止用戶更改計(jì)算機(jī)名。

適用版本：Win2000、WinXP、Win2003、Win7、Win10、Win2008

操作步驟：

1.按下+R,輸入框輸入卯edtmsc,打開(kāi)“本地組策略編輯器”；

2.進(jìn)入“用戶配置-＞管理模板-〉桌面”；

3.雙擊“從'計(jì)算機(jī)（我的電腦），圖標(biāo)上下文菜單中刪除屬性”，設(shè)置為“已啟用”，點(diǎn)擊確

定。

。管理員：C:\Windows\System32\cmd.exe

膝口列表

11...000c2949^ae650/1000,MTNetworkConnection

1..............................SoftwareInterface1

12...00000000000000eOMicrosoftISATAPAdapter

13...00000000000000eOTeredoTunnelingPseudo-Interface

16...0000000000O000eOMicrosoftISATAPAdapter#2

1

IPU4路由表

點(diǎn)數(shù)

瞽

跖

口

網(wǎng)關(guān)S

網(wǎng)絡(luò)掩碼在

鏈306

在306

127.0.0.1255.255.255.255第S

在306

127.255.255.255255.255.255.255306

麓

在306

255.255.255.255255.255.255.255

永久路由：

網(wǎng)犁成-------。rHr“IIUrrW—

I251000________

用戶帳戶控制設(shè)置is.

選擇何時(shí)通知您有關(guān)計(jì)算機(jī)更改的消息

用戶帳戶控制有助于預(yù)防有害程序?qū)δ挠?jì)算機(jī)進(jìn)行更改。

有關(guān)用戶帳戶控制設(shè)置的詳細(xì)信息

始終通知

默認(rèn)-僅在程序嘗試對(duì)我的計(jì)算機(jī)進(jìn)行更改時(shí)通知我

當(dāng)我對(duì)Windows設(shè)置進(jìn)行更改時(shí)不要通知我

O如果您使用常見(jiàn)程序和訪問(wèn)常見(jiàn)網(wǎng)站，則推薦使用此

選項(xiàng)。

從不通知

確定取消

1.16禁止

加固說(shuō)明：設(shè)置Windows登錄屏幕上不顯示關(guān)閉計(jì)算機(jī)的選項(xiàng)，避免用戶名暴露。

適用版本：Win2000、WinXP、Win2003、Win7、Win10.Win2008

操作步驟：

1.進(jìn)入“控制面板-＞管理工具-〉本地安全策略-＞本地策略-〉安全選項(xiàng)”；

2.雙擊“關(guān)機(jī)：允許系統(tǒng)在未登錄的情況下關(guān)閉”，設(shè)置屬性為“已禁用”，點(diǎn)擊確定。

補(bǔ)充：“關(guān)機(jī)：允許系統(tǒng)在未登錄的情況下關(guān)閉”

在Win2003中為“關(guān)機(jī)：允許系統(tǒng)在未登錄前關(guān)機(jī)”

在WinXP中為“關(guān)機(jī)：允許在未登錄前關(guān)機(jī)”

在Win2000中為“允許在未登錄前關(guān)機(jī)”。

■

加固說(shuō)明：設(shè)置關(guān)機(jī)時(shí)清除虛擬內(nèi)存頁(yè)面文件，避免虛擬內(nèi)存信息通過(guò)硬盤泄露。

適用版本：Win2000、WinXP、Win2003、Win7、Win10＞W(wǎng)in2008

操作步驟：

1.進(jìn)入“開(kāi)始控制面板-＞管理工具-＞本地安全策略”；

2.進(jìn)入“安全設(shè)置-＞本地策略-〉安全選項(xiàng)”；

3.雙擊“關(guān)機(jī)：清除虛擬內(nèi)存頁(yè)面文件”，屬性設(shè)置為“已啟用”，點(diǎn)擊確定。

1J8禁止非管

加固說(shuō)明：僅允許Administrators組進(jìn)行遠(yuǎn)端系統(tǒng)強(qiáng)制關(guān)機(jī)和關(guān)閉系統(tǒng)，避免非法用戶關(guān)閉系統(tǒng)。

適用版本：Win2000＞W(wǎng)inXP、Win2003、Win7、Win10、Win2008

操作步驟：

1.進(jìn)入“開(kāi)始-＞控制面板-＞管理工具-〉本地安全策略-〉本地策略-＞用戶權(quán)限分配”；

2.分別雙擊“關(guān)閉系統(tǒng)”和“從遠(yuǎn)程系統(tǒng)強(qiáng)制關(guān)機(jī)”選項(xiàng)，僅配置系統(tǒng)管理員(sysadmin)用戶。

當(dāng)前安裝的程序和更新:叼顯示更新D)排序方式(S)

360安全瀏覽器3.9正式版大小8.06MB

ActivClienlx86大小18.23MB

lAAdobeAcrobat8.1.2Frofei>sional大小226.00MB

AdobeFlashPlayer10ActiveX

程序

N)?AdobeEeader8-ChineseSioplifiedI79.00ME

單擊此處獲得支持信息。已使用很少

上次使用H期2010-7-27

添in/冊(cè)除要更改此程序或?qū)⑺鼜挠?jì)算機(jī)冊(cè)除，單擊“更改”或“冊(cè)除”。

Windows|更改1冊(cè)除

組件(A)

■(AdobeSVGViewer3.0大小4.74MB

4ApabiReader3.2大小26.60MB

設(shè)定程序ATATICatalystInstallManager16.54MB

訪問(wèn)和ATATIProblemReportWizard大小1.36MB

默認(rèn)值@)

出CompatibilityFackforthe2007Officesystem大小76.12MB

DeviceAccessManagerforHPFrotectT(x)ls大小12.97MB

DriveEncryptionforHPFrolectTools大小65.45MB

大小27.15MB

FileSanitizerForHEProtcctTcols

Gyazo3.3.3大小2O.72MB

目惠

Part2網(wǎng)絡(luò)服務(wù)管理

服務(wù)-----------------------

AdaptiveBrightness的屬性（本地計(jì)算機(jī)）

—常規(guī)登錄恢復(fù)依存關(guān)系

服務(wù)名稱：ScnsrSvc

顯示名稱：AdaptiveBrightness啟動(dòng)類理登錄為

播沐監(jiān)視氛圍光傳感器，以檢測(cè)氛闈光的變化并調(diào)節(jié)顯手動(dòng)本地系...

示器的亮度。如果此服務(wù)停止或被禁用，顯示器亮手動(dòng)本地服..

手動(dòng)本地系

可執(zhí)行文件的路徑：

手動(dòng)本地服..

C:\Win(Iows\system32\svchost.exe-kLocalServiceAndNoImpersor

手動(dòng)本地系..

啟動(dòng)類型（E）:禁用手動(dòng)本地服..

手動(dòng)本地系..

幫助我配置服務(wù)啟動(dòng)選項(xiàng)o

手動(dòng)網(wǎng)絡(luò)服...

服務(wù)狀態(tài)：已停止手動(dòng)本地系..

自動(dòng)本地服..

啟動(dòng)（S）停止（T）暫停（P）恢復(fù)（R）

手動(dòng)本地系.

當(dāng)從此處啟動(dòng)服務(wù)時(shí)，您可指定所適用的啟動(dòng)參數(shù)。手動(dòng)本地系..

手動(dòng)本地服...

啟動(dòng)參數(shù)（M）:手動(dòng)網(wǎng)絡(luò)服?..

手動(dòng)本地系...

王動(dòng)木t地玄

確定取消應(yīng)用（A）

示符

活動(dòng)連接

協(xié)議本地地址狀態(tài)

TCP外部地址PID

TCP:80:0LISTENING4

TCP:135:0LISTENING700

TCP:443:0LISTENING4

TCP:4