Windows操作系統安全加固設置

注意：本文來源于網絡，請謹慎操作。

權限并非越嚴越好，設置不當反而會影響服務，請根據實際需要選擇。關于安全方面的設置建議可以參考：http://m.shinetop.cn/faq/list.asp?unid=853

1. 賬戶管理和認證授權

1.1 賬戶

默認賬戶安全

禁用Guest賬戶。
禁用或刪除，一般建議禁用（管理助手創建的網站會有ftp同名賬號，不能禁用）

操作步驟

打開控制面板 > 管理工具 > 計算機管理，在系統工具 > 本地用戶和組 > 用戶中，雙擊 Guest 帳戶，在屬性中選中帳戶已禁用，單擊確定。

定期檢查并刪除與無關帳戶

定期刪除或鎖定與設備運行、維護等與工作無關的帳戶。

不顯示最后的用戶名

配置登錄登出后，不顯示用戶名稱。

操作步驟：

打開控制面板 > 管理工具 > 本地安全策略，在本地策略 > 安全選項中，雙擊交互式登錄:不顯示最后的用戶名，選擇已啟用并單擊確定。

1.2 口令

密碼復雜度

密碼復雜度要求必須滿足以下策略：

最短密碼長度要求八個字符。
啟用本機組策略中密碼必須符合復雜性要求的策略。
即密碼至少包含以下四種類別的字符中的兩種：

英語大寫字母 A, B, C, … Z
英語小寫字母 a, b, c, … z
西方阿拉伯數字 0, 1, 2, … 9
非字母數字字符，如標點符號，@, #, $, %, &, *等

操作步驟

打開控制面板 > 管理工具 > 本地安全策略，在帳戶策略 > 密碼策略中，確認密碼必須符合復雜性要求策略已啟用。

帳戶鎖定策略

對于采用靜態口令認證技術的設備，應配置當用戶連續認證失敗次數超過10次后，鎖定該用戶使用的帳戶。

操作步驟

打開控制面板 > 管理工具 > 本地安全策略，在帳戶策略 > 帳戶鎖定策略中，配置帳戶鎖定閾值不大于10次。

配置樣例：

1.3 授權

用戶權限指派

在本地安全設置中，取得文件或其它對象的所有權權限只分配給Administrators組。

操作步驟

打開控制面板 > 管理工具 > 本地安全策略，在本地策略 > 用戶權限分配中，配置取得文件或其它對象的所有權權限只分配給Administrators組。

2. 日志配置操作

2.1 日志配置

審核登錄

對用戶登錄進行記錄。記錄內容包括用戶登錄使用的帳戶、登錄是否成功、登錄時間、以及遠程登錄時、及用戶使用的IP地址。

操作步驟

打開控制面板 > 管理工具 > 本地安全策略，在本地策略 > 審核策略中，設置審核登錄事件。

審核策略

啟用本地安全策略中對Windows系統的審核策略更改，成功和失敗操作都需要審核。

操作步驟

打開控制面板 > 管理工具 > 本地安全策略，在本地策略 > 審核策略中，設置審核策略更改。

審核對象訪問

啟用本地安全策略中對Windows系統的審核對象訪問，成功和失敗操作都需要審核。

操作步驟

打開控制面板 > 管理工具 > 本地安全策略，在本地策略 > 審核策略中，設置審核對象訪問。

審核事件目錄服務訪問

啟用本地安全策略中對Windows系統的審核目錄服務訪問，僅需要審核失敗操作。

操作步驟

打開控制面板 > 管理工具 > 本地安全策略，在本地策略 > 審核策略中，設置審核目錄服務器訪問。

審核特權使用

啟用本地安全策略中對Windows系統的審核特權使用，成功和失敗操作都需要審核。

操作步驟

打開控制面板 > 管理工具 > 本地安全策略，在本地策略 > 審核策略中，設置審核特權使用。

審核系統事件

啟用本地安全策略中對Windows系統的審核系統事件，成功和失敗操作都需要審核。

操作步驟

打開控制面板 > 管理工具 > 本地安全策略，在本地策略 > 審核策略中，設置審核系統事件。

審核帳戶管理

啟用本地安全策略中對Windows系統的審核帳戶管理，成功和失敗操作都要審核。

操作步驟

打開控制面板 > 管理工具 > 本地安全策略，在本地策略 > 審核策略中，設置審核帳戶管理。

審核過程追蹤

啟用本地安全策略中對Windows系統的審核進程追蹤，僅失敗操作需要審核。

操作步驟

打開控制面板 > 管理工具 > 本地安全策略，在本地策略 > 審核策略中，設置審核進程追蹤。

日志文件大小

設置應用日志文件大小至少為 8192 KB，可根據磁盤空間配置日志文件大小，記錄的日志越多越好。并設置當達到最大的日志尺寸時，按需要輪詢記錄日志。

操作步驟

打開控制面板 > 管理工具 > 事件查看器，配置應用日志、系統日志、安全日志屬性中的日志大小，以及設置當達到最大的日志尺寸時的相應策略。

3. IP協議安全配置

3.1 IP協議安全

啟用SYN攻擊保護

啟用SYN攻擊保護。

指定觸發SYN洪水攻擊保護所必須超過的TCP連接請求數閾值為5。
指定處于 SYN_RCVD 狀態的 TCP 連接數的閾值為500。
指定處于至少已發送一次重傳的 SYN_RCVD 狀態中的 TCP 連接數的閾值為400。

操作步驟

打開注冊表編輯器，根據推薦值修改注冊表鍵值。

Windows Server 2012

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\SynAttackProtect
推薦值：2
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\TcpMaxHalfOpen
推薦值：500

Windows Server 2008

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SynAttackProtect
推薦值：2
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TcpMaxPortsExhausted
推薦值：5
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TcpMaxHalfOpen
推薦值：500
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TcpMaxHalfOpenRetried
推薦值：400