WINDOWS操作系统安全规范手册.docVIP

操作系统安全规范手册 部门： 版本： 密级： 作者： 步 骤 清 单 说 明 账号管理、认证授权 账号管理： 按照用户分配账号。根据系统的要求，设定不同的账户和账户组，管理员用户，数据库用户，审计用户，来宾用户等。 删除或锁定与设备运行、维护等与工作无关的账号。 对于管理员帐号，要求更改缺省帐户名称；禁用（来宾）帐号。 最短密码长度 个字符，启用本机组策略中密码必须符合复杂性要求的策略。例：* 在下一次更改密码时不存储 管理器哈希值(已启用) 对于采用静态口令认证技术的设备，账户口令的生存期不长于天。 对于采用静态口令认证技术的设备，应配置设备，使用户不能重复使用最近次（含次）内已使用的口令。 对于采用静态口令认证技术的设备，应配置当用户连续认证失败次数超过次（不含次），锁定该用户使用的账号。 对于远程登陆的帐号，设置不活动断连时间分钟。 认证授权： 在本地安全设置中从远端系统强制关机只指派给组。 在本地安全设置中关闭系统仅指派给组。 在本地安全设置中取得文件或其它对象的所有权仅指派给。 在本地安全设置中配置指定授权用户允许本地登陆此计算机。 在组策略中只允许授权帐号从网络访问(包括网络共享等，但不包括终端服务)此计算机。 日志配置操作 设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的地址。 审核登录事件，双击，设置为成功和失败都审核。 设置应用日志文件大小至少为，设置当达到最大的日志尺寸时，按需要改写事件。 协议安全配置操作 对没有自带防火墙的系统，启用系统的安全机制()或网络连接上的筛选，只开放业务所需要的，端口和协议。 启用 和 自带防火墙。根据业务需要限定允许访问网络的应用程序，和允许远程登陆该设备的地址范围。 启用攻击保护；指定触发洪水攻击保护所必须超过的连接请求数阀值为；指定处于 状态的 连接数的阈值为；指定处于至少已发送一次重传的 状态中的 连接数的阈值为。 共享文件夹及访问权限 非域环境中，关闭硬盘默认共享，例如$，$。 查看每个共享文件夹的共享权限，只允许授权的账户拥有权限共享此文件夹。 补丁管理 应安装最新的 补丁集。对服务器系统应先进行兼容性测试。 应安装最新的补丁。对服务器系统应先进行兼容性测试。 设置管理 禁止下载数据库、删除其他扩展名。 卸载不安全的组件。 修改脚本错误出现的错误信息。 多站点设置最低权限独立用户运行。 取消网站目录不必要写入权限目录。 禁止不需要运行脚本权限目录。 应用软件配置 禁止安装，任何用户均可获得直接登陆系统。 禁止安装，任何版本均存在本地提权安全漏洞，必要时修改运行权限，修改默认密码 版本应为当前最新版本。 安装版本不得低于 。 禁止在 中远程通过帐号连接数据库服务器。 附送，配置操作步骤，有经验的可以跳过。 账号口令 要求内容 按照用户分配账号。根据系统的要求，设定不同的账户和账户组，管理员用户，数据库用户，审计用户，来宾用户等。 操作指南 、参考配置操作 进入“控制面板管理工具计算机管理”，在“系统工具本地用户和组”： 根据系统的要求，设定不同的账户和账户组，管理员用户，数据库用户，审计用户，来宾用户。 检测方法 判定条件 结合要求和实际业务情况判断符合要求，根据系统的要求，设定不同的账户和账户组，管理员用户，数据库用户，审计用户，来宾用户。 、检测操作 进入“控制面板管理工具计算机管理”，在“系统工具本地用户和组”： 查看根据系统的要求，设定不同的账户和账户组，管理员用户，数据库用户，审计用户，来宾用户。 编号：安全要求设备配置可选 要求内容 删除或锁定与设备运行、维护等与工作无关的账号。 操作指南 、参考配置操作 进入“控制面板管理工具计算机管理”，在“系统工具本地用户和组”： 删除或锁定与设备运行、维护等与工作无关的账号。 检测方法 、判定条件 结合要求和实际业务情况判断符合要求，删除或锁定与设备运行、维护等与工作无关的账号。 、检测操作 进入“控制面板管理工具计算机管理”，在“系统工具本地用户和组”： 查看是否删除或锁定与设备运行、维护等与工作无关的账号。 要求内容 对于管理员帐号，要求更改缺省帐户名称；禁用（来宾）帐号。 操作指南 、参考配置操作 进入“控制面板管理工具计算机管理”，在“系统工具本地用户和组”： －属性－ 更改名称 帐号属性－ 已停用 检测方法 、判定条件 缺省账户名称已更改。 帐号已停用。 、检测操作 进入“控制面板管理工具计算机管理”，在“系统工具本地用户和组”： 缺省帐户－属性－ 更改名称 帐号属性－ 已停用 要求内容 最短密码长度 个字符，启用本机组策略中密码必须符合复杂性要求的策略。即密码至少包含以下四种类别的字符中的三种： 英语