《计算机安防加固事项》由会员分享，可在线阅读，更多相关《计算机安防加固事项（34页珍藏版）》请在金锄头文库上搜索。
1、精选优质文档-倾情为你奉上1. Windows主机1.1 系统账户优化安全建议：设置强登录口令、删除多余账户、禁用Guest账户。使用以下指令：“Win+R”键调出“运行”compmgmt.msc（计算机管理）-本地用户和组（或者打开“开始”“管理工具”“计算机管理”）查看是否有不用的账号，系统账号所属组是否正确以及guest账号是否锁定。选择“本地用户和组”的“用户”，可设置口令、删除或禁用非必需账户或禁用Guest账户。或命令行操作：使用“net user 用户名 /del”命令删除多余账号使用“net user 用户名 /active:no”命令锁定账号以修改口令为例：对需要修改口令的用
2、户点击右键，选择“设置密码”（建议口令长度为8位以上，含字母、数字和字符）。添加新密码，点“确定”。实施风险：高中低无风险说明：需要分析用户是否被其它系统使用，如果在使用，则需要进行相应的修改。1.2 关闭非必需服务安全建议：查看服务列表，禁用多个不需要的服务。打开“控制面板”“管理工具”，进入“服务”。点击相应的服务，选择启动类型为“已禁用”，设置服务状态为“停止”。常见的非必需服务有：Alerter 远程发送警告信息Computer Browser 计算机浏览器：维护网络上更新的计算机清单Messenger 允许网络之间互相传送提示信息的功能，如 net sendremote Regist
3、ry 远程管理注册表，开启此服务带来一定的风险Print Spooler 如果相应服务器没有打印机，可以关闭此服务Task Scheduler 计划任务，查看“控制面板”的“任务计划”中是否有计划，若有，则不关闭。(不确定，暂不关闭)SNMP 简单网管协议，如启用网管应用则不关闭。Help and support 帮助服务，windows 2003以下版本有该服务。Wirrless Configuration 关于无线功能的服务。DHCP client （如果服务器是DHCP自动获取IP地址，该服务别关闭）。Update（没连接外网和更新服务器就可以关闭，windows2008和windows
4、7） 。实施风险：高中低无风险说明：应用系统或程序可能对特定的系统服务有依赖关系，可能由于管理员对应用系统或程序使用的系统服务不了解，影响应用系统或程序的正常运行。1.3 设置合理的日志文件大小安全建议：操作目的增大日志量大小，避免由于日志文件容量过小导致日志记录不全检查方法“Win+R”键调出“运行”-eventvwr.msc -“windows日志”-查看“应用程序”“安全”“系统”的属性加固方法建议设置：日志上限大小：8192 KB可以在“创建自定义视图中”选择要记录的时间，建议选择：近30天或更长是否实施备注调整事件日志的大小、覆盖策略。日志类型大小上限覆盖方式应用日志8192K按需要
5、覆盖事件安全日志8192K按需要覆盖事件系统日志8192K按需要覆盖事件“控制面板”“管理工具”“计算机管理”“事件查看器”选择需要修改的项，右键“属性”，修改日志文件大小及覆盖方式。实施风险：高中低无风险说明：无可预见的风险。1.4 关闭默认共享（需和用户或厂家确认是否对业务有影响）安全建议：命令行运行net share ,查看默认共享情况：打开“控制面板”“管理工具”，进入“服务”。点击Server服务，选择启动类型为“已禁用”，设置服务状态为“停止”。实施风险：高中低无风险说明：可能导致某些应用服务运行故障，如VeritasNetbackup、域控制器、网络版防病毒服务器、集群服务器、其
6、它使用网络管理功能的软件。1.5 设置账户口令策略安全建议：打开“所有程序”“管理工具”，进入“本地安全策略”。策略安全设置密码必须符合复杂性要求已启用密码长度最小值8字符密码最长使用期限90天强制密码历史3个记住的密码复位帐户锁定计数器分钟帐户锁定时间分钟帐户锁定阀值5次修改“密码策略”，启用“设置必须符合复杂性要求”，设置“密码长度最小值”为8个字符，设置“密码最长使用期限”为90天、设置“强制密码历史”为3个记住的密码。注：密码策略启用后立即更改系统管理员密码以及其他所有用户的密码，密码必须由大小写字母，数字，特殊符号组成。密码在90日内必须进行更改，更改时注意最近使用过的3个密码无效。
7、修改“账户锁定策略”，进行恰当的配置。PS：改完之后需要和客户说明严重情况。实施风险：高中低无风险说明：设置账户策略后可能导致不符合策略的账户无法登录，需修改不符合账户策略的口令（注：管理员不受账户策略限制，但管理员口令应具有一定的复杂度，以避免被暴力猜测导致安全风险）。集群配置的Windows系统实施本项操作将导致集群故障，不建议实施。1.6 设置安全审计策略安全建议：操作目的对系统事件进行审核，在日后出现故障时用于排查故障检查方法“Win+R”键调出“运行”-secpol.msc -安全设置-本地策略-审核策略加固方法建议设置：审核策略更改：成功审核登录事件：成功，失败审核对象访问：成功，
8、失败审核进程跟踪：成功，失败审核目录服务访问：成功，失败审核系统事件：成功，失败审核帐户登录事件：成功，失败审核帐户管理：成功，失败是否实施备注“Win+R”键调出“运行”-gpupdate /force立即生效建议修改安全策略为下述值：“控制面板”“管理工具”“计算机管理”“本地安全策略”“审核策略”策略安全设置审核策略更改成功审核登录事件成功, 失败审核对象访问成功, 失败审核过程追踪无审核审核目录服务访问无审核审核特权使用无审核审核系统事件成功, 失败审核帐户登录事件成功, 失败审核帐户管理成功, 失败双击需要修改的选项，按加固要求修改实施风险：高中低无风险说明：无可预见的风险。1.7
9、用户指派权限远程关机配置方法进入“控制面板-管理工具-本地安全策略”，在“本地策略-用户权利指派” :“从远端系统强制关机”设置为“只指派给Administrators组”。本地关机配置方法参考配置操作：进入“控制面板-管理工具-本地安全策略”，在“本地策略-用户权利指派” :“关闭系统”设置为“只指派给Administrators组”。用户权利指派配置方法进入“控制面板-管理工具-本地安全策略”，在“本地策略-用户权利指派”。“取得文件或其它对象的所有权”设置为“只指派给Administrators组”。1.8 屏蔽之前登录的用户信息安全建议：打开“控制面板”“管理工具”，进入“本地安全策略
10、”。修改“安全选项”，选择“交互登录：不显示上次用户名”，选择“已启用”。实施风险: 高中低无风险说明：无可预见的风险。1.9 重命名系统管理员安全建议：重命名Administrator，具体方法如下：通过“所有程序”“管理工具”“本地安全策略”“安全选项”“帐户：重命名管理员帐户”，将原Administrator名称改成不被人熟识的帐户（或通过 “管理工具”“计算机管理”“系统工具”“本地用户和组”“用户”，将原Administrator名称改成不被人熟识的帐户）。同时将一个普通帐户名称改成Administrator，登录普通帐户执行系统所有操作。实施风险：高中低无风险说明：可能会影响部分使
11、用该账户的业务，建议核实所有业务系统后进行实施。集群配置的Windows系统实施本项操作将导致集群故障，不建议实施。1.10 屏蔽非必要端口关闭Windows Server2008一些端口的步骤：1.点击控制面板-管理工具，双击打开本地策略，选中IP安全策略，在本地计算机“右边的空白位置右击鼠标，弹出快捷菜单，选择创建IP安全策略”，弹出向导。在向导中点击下一步，当显示“安全通信请求”画面时，“激活默认相应规则”左边的按默认留空，点“完成”就创建了一个新的IP安全策略。2.右击刚才创建的新的IP安全策略，在“属性”对话框中，把“使用添加向导”左边的钩去掉，然后再点击右边的“添加”按纽添加新的规
12、则，随后弹出“新规则属性”对话框，在画面上点击“添加”按纽，弹出IP筛选器列表窗口。在列表中，首先把“使用添加向导”左边的钩去掉，然后再点击右边的添加按纽添加新的筛选器。3.进入“筛选器属性”对话框，首先看到的是寻地址，源地址选“任何IP地址”，目标地址选“我的IP地址”，点击“协议”选项卡，在“选择协议类型”的下拉列表中选择“TCP”，然后在“到此端口”的下的文本框中输入“135”，点击确定。这样就添加了一个屏蔽TCP135 端口的筛选器，可以防止外界通过135端口连上你的电脑。点确定后回到筛选器列表的对话框，可以看到已经添加了一条策略。重复以上步骤继续添加TCP137 139 445 59
13、3 1025 2745 3127 3128 3389 6129端口和udp 135 139 445 端口，为它们建立相应的筛选器。建立好上述端口的筛选器，最后点击确定按纽。4.在“新规则属性”对话框中，选中“新IP筛选器列表”然后点击其左边的复选框，表示已经激活。最后点击“筛选器操作”选项卡中，把“使用添加向导”左边的钩去掉，点击“添加”按钮，在“新筛选器操作属性”的“安全方法”选项卡中，选择“阻止”，然后点击“应用”“确定”。5.进入“新规则属性”对话框，选中“新筛选器操作”左边的复选框，表示已经激活，点击“关闭”按钮，关闭对话框。最后“新IP安全策略属性”对话框，在“新的IP筛选器列表”左
14、边打钩，按确定关闭对话框。在“本地安全策略”窗口，用鼠标右击新添加的IP安全策略，然后选择“分配”。端口介绍：TCP13713944559310252745312731283389（该端口是远程桌面的端口，需谨慎） 6129UDP135139445 注意事项：在分配策略前仔细检查屏蔽的端口，不能出现目的端口为的条目否则远程连接就会断开。1.11 关闭autorun自动播放功能安全建议：通过开始菜单的“运行”，其中输入“gpedit.msc”,进入“组策略编辑器”,“计算机配置”“管理模板”“windows组件”“自动播放策略”，双击“关闭自动播放”，选择“已启用”“所有驱动器”，最后“确定”，即可关闭自动播放。注意，此项设置也存在于“用户配置”中，当与“计算机配置”的设置相互冲突时，“计算机配置”中的设置会覆盖“用户设置”中的值。实施风险：高中低无风险说明：无可预见的风险。1.12 设置自动屏
