Microsoft Windows安全配置基线
版本变更记录
目录
0目的 (4)
1帐户管理、认证授权 (4)
1.1帐户 (4)
1.2口令 (5)
1.3授权 (6)
2日志配置操作 (8)
2.1日志配置 (8)
3IP协议安全配置 (12)
3.1IP协议 (12)
4设备其他配置操作 (13)
4.1共享文件夹及访问权限 (13)
4.2防病毒管理 (13)
4.3Windows服务 (14)
4.4启动项 (16)
4.5屏幕保护 (17)
4.6远程登录控制 (17)
4.7补丁管理 (18)
0目的
本文档规定了XX有限公司所维护管理的Windows操作系统的主机应当遵循的操作系统安全性设置标准，旨在指导系统管理人员或安全检查人员进行Windows操作系统的安全合规性检查和配置。
适用范围：
适用于XX有限公司。
1帐户管理、认证授权
1.1帐户
1.1.1管理缺省帐户
1.2口令
1.2.1密码复杂度
1.3.1远程关机
1.3.5授权帐户从网络访问*
2日志配置操作
2.1日志配置
2.1.1审核登录
3IP协议安全配置3.1IP协议
3.1.1启用SYN攻击保护
4设备其他配置操作
4.1共享文件夹及访问权限4.1.1关闭默认共享
4.1.2共享文件夹授权访问*
4.2防病毒管理
4.2.1数据执行保护
4.3Windows服务4.3.1SNMP服务管理
4.4启动项
4.4.1关闭Windows自动播放功能
4.5.1设置屏幕保护密码和开启时间*
4.6远程登录控制
4.6.1限制远程登陆空闲断开时间
4.7补丁管理
4.7.1操作系统补丁管理*
4.7.2操作系统最新补丁管理*
深入了解Windows安全状况 Windows不像类UNIX系统一样开源,而且Microsoft也不可能公布基于Windows的源代码.所以,对于早期的Windows版本来讲,企业很难满足。 作者简介：涂俊雄Microsoft MVP 熟悉微软产品，现为"技术中国"编辑，也是"https://www.doczj.com/doc/7b18415950.html,"的论坛版主。有部署大型网络和处理突发事件的经验，曾担任过多家网站的管理员与安全顾问，有丰富的管理站点的经验，熟悉多种站点系统，并能很好的应用，现在在对无线网络进行研究，并且熟悉黑客技术，能很好的处理攻击事件，写过一些基于WINDOWS 下的配置和安全管理的文章，翻译过一些优秀的技术文章。 概述 Windows不像类UNIX系统一样开源,而且Microsoft也不可能公布基于Windows的源代码。所以,对于早期的Windows版本来讲,企业很难满足。Windows的安全现状,因为他们不能根据自己的企业来制定满主自己的解决方案。但是,不断完善的Windows给我们带来的越来越好的安全性,以及Windows的高部署性给越来越多的企业带来的惊喜,越来越多的企业选择了Windows,也越来越多的人开始研究Windows。包括Windows 在企业的部署以及Windows的安全性和可扩展性。从Widows NT以来,Microsoft在Windows的安全方面做了很多,最典型的就包括NTFS文件系统。而且结合Microsoft ISA Server可以让企业的安全性大大提升。本文就Windows现有的安全状况加以分析,让更多的从事Windows管理的专业人员提供更深入的对Windows 的安全了解。 操作系统安全定义 无论任何操作系统(OS),都有一套规范的、可扩展的安全定义。从计算机的访问到用户策略等。操作系统的安全定义包括5大类，分别为：身份认证、访问控制、数据保密性、数据完整性以及不可否认性。 身份认证 最基本的安全机制。当用户登陆到计算机操作系统时，要求身份认证，最常见的就是使用帐号以及密钥确认身份。但由于该方法的局限性，所以当计算机出现漏洞或密钥泄漏时，可能会出现安全问题。其他的身份认证还有：生物测定（compaq的鼠标认证）指纹、视网模等。这几种方式提供高机密性，保护用户的身份验证。采用唯一的方式，例如指纹，那么，恶意的人就很难获得除自己之外在有获得访问权限。 访问控制 在WINDOWS NT之后的WINDOWS版本，访问控制带来的更加安全的访问方法。该机制包括很多内容，包括磁盘的使用权限，文件夹的权限以及文件权限继承等。最常见的访问控制可以属WINDOWS的NTFS文件系统了。
Windows操作系统安全
实验报告全框架。 使用仪器实验环境使用仪器及实验环境：一台装有Windows2000或者XP操作系统的计算机、磁盘格式配置为NTFS。 实验内容在Windows2000或者XP操作系统中，相关安全设置会稍有不同，但大同小异，所有的设置均以管理员（Administrator）身份登录系统。 任务一：账户和口令的安全设置 任务二：文件系统安全设置 任务三：用加密软件EPS加密硬盘数据 任务四：启用审核与日志查看 任务五：启用安全策略与安全模块 实验步骤： 任务一账户和口令的安全设置 、删除不再使用的账户，禁用guest账户 （1）检查和删除不必要的账户。 右击“开始”按钮，打开“资源管理器”，选择“控制面板”中的“用户和密码”项； 在弹出的对话框中选择从列出的用户里删除不需要的账户。 （2）guest账户的禁用。 右键单击guest用户，选择“属性”，在弹出的对话框中“账户已停用”一栏前打勾； 确定后，guest前的图标上会出现一个红色的叉，此时账户被禁用。
其中，符合复杂性要求的密码是具有相当长度、同时含有数字、大小写字母和特殊字符的序列。双击其中每一项，可按照需要改变密码特殊的设置。 （1）双击“密码密码必须符合复杂性要求”，选择“启用”。 打开“控制面板”中“用户和密码”项，在弹出的对话框中选择一个用户后，单击“设置密码”按钮。 在出现的设置密码窗口中输入密码。此时密码符合设置的密码要求。 （2）双击上图中的“密码长度最小值”；在弹出的对话框中可设置可被系统接纳的账户
、禁止枚举帐户名 为了便于远程用户共享本地文件，Windows默认设置远程用户可以通过空连接枚举出所有本地帐户名，这给了攻击者可乘之机。 要禁用枚举账户名，执行下列操作： 打开“本地安全策略”项，选择“本地策略”中的“安全选项”，选择“对匿名连接的额
甘肃海丰信息科技有限公司Windows系统安全加固技术指导书 ◆版 本◆密级【绝密】 ◆发布甘肃海丰科技◆编号GSHF-0005-OPM- ?2006-2020 HIGHFLYER INFORMATION TECHNOLOGY ,INC.
目录 文档信息................................................................. 错误!未定义书签。前言.................................................................... 错误!未定义书签。 一、编制说明............................................................ 错误!未定义书签。 二、参照标准文件........................................................ 错误!未定义书签。 三、加固原则............................................................ 错误!未定义书签。 1.业务主导原则..................................................... 错误!未定义书签。 2.业务影响最小化原则............................................... 错误!未定义书签。 3.实施风险控制..................................................... 错误!未定义书签。 (一)主机系统............................................................. 错误!未定义书签。 (二)数据库或其他应用 ..................................................... 错误!未定义书签。 4.保护重点......................................................... 错误!未定义书签。 5.灵活实施......................................................... 错误!未定义书签。 6.周期性的安全评估................................................. 错误!未定义书签。 四、安全加固流程........................................................ 错误!未定义书签。 1.主机分析安全加固................................................. 错误!未定义书签。 2.业务系统安全加固................................................. 错误!未定义书签。 五、W INDOWS 2003操作系统加固指南......................................... 错误!未定义书签。 1.系统信息......................................................... 错误!未定义书签。 2.补丁管理......................................................... 错误!未定义书签。 (一)补丁安装............................................................. 错误!未定义书签。 3.账号口令......................................................... 错误!未定义书签。 (一)优化账号............................................................. 错误!未定义书签。 (二)口令策略............................................................. 错误!未定义书签。 4.网络服务......................................................... 错误!未定义书签。 (三)优化服务............................................................. 错误!未定义书签。 (四)关闭共享............................................................. 错误!未定义书签。 (五)网络限制............................................................. 错误!未定义书签。
一、Windows登录类型 如果你留意Windows系统的安全日志，在那些事件描述中你将会发现里面的“登录类型”并非全部相同，难道除了在键盘上进行交互式登录（登录类型1）之外还有其它类型吗？不错，Windows为了让你从日志中获得更多有价值的信息，它细分了很多种登录类型，以便让你区分登录者到底是从本地登录，还是从网络登录，以及其它更多的登录方式。因为了解了这些登录方式，将有助于你从事件日志中发现可疑的黑客行为，并能够判断其攻击方式。下面我们就来详细地看看Windows的登录类型。 登录类型2：交互式登录（Interactive） 这应该是你最先想到的登录方式吧，所谓交互式登录就是指用户在计算机的控制台上进行的登录，也就是在本地键盘上进行的登录，但不要忘记通过KVM登录仍然属于交互式登录，虽然它是基于网络的。 登录类型3：网络（Network） 当你从网络的上访问一台计算机时在大多数情况下Windows记为类型3，最常见的情况就是连接到共享文件夹或者共享打印机时。另外大多数情况下通过网络登录IIS时也被记为这种类型，但基本验证方式的IIS登录是个例外，它将被记为类型8，下面将讲述。 登录类型4：批处理（Batch） 当Windows运行一个计划任务时，“计划任务服务”将为这个任务首先创建一个新的登录会话以便它能在此计划任务所配置的用户账户下运行，当这种登录出现时，Windows在日志中记为类型4，对于其它类型的工作任务系统，依赖于它的设计，也可以在开始工作时产生类型4的登录事件，类型4登录通常表明某计划任务启动，但也可能是一个恶意用户通过计划任务来猜测用户密码，这种尝试将产生一个类型4的登录失败事件，但是这种失败登录也可能是由于计划任务的用户密码没能同步更改造成的，比如用户密码更改了，而忘记了在计划
Windows 系统安全配置基线 中国移动通信有限公司管理信息系统部 2012年 04月
备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (5) 1.1目的 (5) 1.2适用范围 (5) 1.3适用版本 (5) 1.4实施 (5) 1.5例外条款 (5) 第2章帐户管理、认证授权 (6) 2.1帐户 (6) 2.1.1 管理缺省帐户 (6) 2.1.2 按照用户分配帐户* (6) 2.1.3 删除与设备无关帐户* (7) 2.2口令 (7) 2.2.1密码复杂度 (7) 2.2.2密码最长留存期 (8) 2.2.3帐户锁定策略 (8) 2.3授权 (8) 2.3.1远程关机 (8) 2.3.2本地关机 (9) 2.3.3用户权利指派* (9) 2.3.4授权帐户登陆* (10) 2.3.5授权帐户从网络访问* (10) 第3章日志配置操作 (11) 3.1日志配置 (11) 3.1.1审核登录 (11) 3.1.2审核策略更改 (11) 3.1.3审核对象访问 (11) 3.1.4审核事件目录服务器访问 (12) 3.1.5审核特权使用 (12) 3.1.6审核系统事件 (13) 3.1.7审核帐户管理 (13) 3.1.8审核过程追踪 (13) 3.1.9日志文件大小 (14) 第4章IP协议安全配置 (15) 4.1IP协议 (15) 4.1.1启用SYN攻击保护 (15) 第5章设备其他配置操作 (17) 5.1共享文件夹及访问权限 (17) 5.1.1关闭默认共享 (17)
5.1.2共享文件夹授权访问* (17) 5.2防病毒管理 (18) 5.2.1数据执行保护 (18) 5.3W INDOWS服务 (18) 5.3.1 SNMP服务管理 (18) 5.3.2系统必须服务列表管理* (19) 5.3.3系统启动项列表管理* (19) 5.3.4远程控制服务安全* (19) 5.3.5 IIS安全补丁管理* (20) 5.3.6活动目录时间同步管理* (20) 5.4启动项 (21) 5.4.1关闭Windows自动播放功能 (21) 5.5屏幕保护 (21) 5.5.1设置屏幕保护密码和开启时间* (21) 5.6远程登录控制 (22) 5.6.1限制远程登陆空闲断开时间 (22) 5.7补丁管理 (23) 5.7.1操作系统补丁管理* (23) 5.7.2操作系统最新补丁管理* (23) 第6章评审与修订 (24)
w i n10经常弹出安全登录窗口怎么办 有网友反映，用w i n10系统总是弹出安全登录窗口很烦，应该怎么做呢?下面是学习啦小编为你整理相关 的内容，及为大家推荐安全模式进入的方法，希望大家喜欢! 安全模式选项详解： 1.安全模式 如果采用安全模式也不能成功启动计算机，则可能需要使用恢复控制台功能来修复系统。 2.带网络连接的安全模式 在普通安全模式的基础上增加了网络连接。但有些网络程序可能无法正常运行，如M S N等，还有很多自启动的应用程序不会自动加载，如防火墙、杀毒软件等。所以在这种模式下一定不要忘记手动加载，否则恶意程序等可能会入侵在你修复电脑的过程中。 3.带命令行提示符的安全模式 只使用基本的文件和驱动程序来启动，在登录之后，屏幕上显示命令提示符，而非W i n d o w s图形界面。 4.启用启动日志 以普通的安全模式启动，同时将由系统加载(或没有
加载)的所有驱动程序和服务记录到一个文本文件中。该文件称为 n t b t l o g.t x t，它位于 %w i n d i r%(默认为c:\w i n d o w s\)目录中。启动日志对于确定系统启动问题的准确原因很有用。 5.启用V G A模式 利用基本V G A驱动程序启动。当安装了使W i n d o w s 不能正常启动的新视频卡驱动程序时，这种模式十分有用。事实上，不管以哪种形式的安全模式启动，它总是使用基本的视频驱动程序。因此，在这些模式下，屏幕的分辨率为640480且不能改动。但可重新安装驱动程序。 6.最后一次正确的配置 使用W i n d o w s上一次关闭时所保存的注册表信息和驱动程序来启动。最后一次成功启动以来所作的任何更改将丢失。因此一般只在配置不对(主要是软件配置)的情况下，才使用最后一次正确的配置。但是它不能解决由于驱动程序或文件被损坏或丢失所导致的问题。 7.目录服务恢复模式 这是针对服务器操作系统的，并只用于恢复域控制器上的S Y S V O L目录和A c t i v e D i r e c t o r y目录服务。
Windows 操作系统安全防护 强制性要求 二〇一四年五月
目录 1.系统用户口令及策略加固1 1.1.系统用户口令策略加固 1 1.2.用户权限设置 1 1.3.禁用Guest（来宾）帐户 2 1.4.禁止使用超级管理员帐号 3 1.5.删除多余的账号 4 2.日志审核策略配置4 2.1.设置主机审核策略 4 2.2.调整事件日志的大小及覆盖策略 5 2.3.启用系统失败日志记录功能 5 3.安全选项策略配置6 3.1.设置挂起会话的空闲时间 6 3.2.禁止发送未加密的密码到第三方SMB 服务器
6 3.3.禁用对所有驱动器和文件夹进行软盘复制和访问 7 3.4.禁止故障恢复控制台自动登录 7 3.5.关机时清除虚拟内存页面文件 7 3.6.禁止系统在未登录前关机 8 3.7.不显示上次登录的用户名 8 3.8.登录时需要按CTRL+ALT+DEL 8 3.9.可被缓存的前次登录个数 9 3.10. 不允许SAM 帐户和共享的匿名枚举 (9) 3.11.不允许为网络身份验证储存凭证或.NET Passports 9 3.12. 如果无法记录安全审核则立即关闭系统 (10) 3.13. 禁止从本机发送远程协助邀请 (10) 3.14. 关闭故障恢复自动重新启动 (11) 4.用户权限策略配置11 4.1.禁止用户组通过终端服务登录 11 4.2.只允许管理组通过终端服务登录 11
4.3.限制从网络访问此计算机 12 5.用户权限策略配置12 5.1.禁止自动登录 12 5.2.禁止光驱自动运行 12 5.3.启用源路由欺骗保护 13 5.4.删除IPC 共享 13 6.网络与服务加固14 6.1.卸载、禁用、停止不需要的服务 14 6.2.禁用不必要进程，防止病毒程序运行 15 6.3.关闭不必要启动项，防止病毒程序开机启动 24 6.4.检查是否开启不必要的端口 34 6.5.修改默认的远程桌面端口 34 6.6.启用客户端自带防火墙 35 6.7.检测DDOS 攻击保护设置
Win2003 & 2008操作系统安全配置要求 2.1. 帐户口令安全 帐户分配：应为不同用户分配不同的帐户，不允许不同用户间共享同一帐户。 帐户锁定：应删除或锁定过期帐户、无用帐户。 用户访问权限指派：应只允许指定授权帐户对主机进行远程访问。 帐户权限最小化：应根据实际需要为各个帐户分配最小权限。 默认帐户管理：应对Administrator帐户重命名，并禁用Guest（来宾）帐户。 口令长度及复杂度：应要求操作系统帐户口令长度至少为8位，且应为数字、字母和特殊符号中至少2类的组合。 口令最长使用期限：应设置口令的最长使用期限小于90天。 口令历史有效次数：应配置操作系统用户不能重复使用最近 5 次（含 5 次）已使用过的口令。 口令锁定策略：应配置当用户连续认证失败次数为 5次，锁定该帐户30分钟。 2.2. 服务及授权安全 服务开启最小化：应关闭不必要的服务。 SNMP服务接受团体名称设置：应设置SNMP接受团体名称不为public或弱字符串。 系统时间同步：应确保系统时间与NTP服务器同步。 DNS服务指向：应配置系统DNS指向企业内部DNS服务器。 2.3. 补丁安全 系统版本：应确保操作系统版本更新至最新。 补丁更新：应在确保业务不受影响的情况下及时更新操作系统补丁。 2.4. 日志审计 日志审核策略设置：应合理配置系统日志审核策略。 日志存储规则设置：应设置日志存储规则，保证足够的日志存储空间。 日志存储路径：应更改日志默认存放路径。 日志定期备份：应定期对系统日志进行备份。 2.5. 系统防火墙：应启用系统自带防火墙，并根据业务需要限定允许通讯的应用程序或端口。 2.6. 防病毒软件：应安装由总部统一部署的防病毒软件，并及时更新。 2.7. 关闭自动播放功能：应关闭 Windows 自动播放功能。 2.8. 共享文件夹 删除本地默认共享：应关闭 Windows本地默认共享。 共享文件权限限制：应设置共享文件夹的访问权限，仅允许授权的帐户共享此文件夹。 2.9. 登录通信安全 禁止远程访问注册表：应禁止远程访问注册表路径和子路径。 登录超时时间设置：应设置远程登录帐户的登录超时时间为30 分钟。 限制匿名登录：应禁用匿名访问命名管道和共享。
TongWeb服务器安全配置基线 TongWeb服务器 安全配置基线 中国移动通信有限公司管理信息系统部 2012年 04月
备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (1) 1.1目的 (1) 1.2适用范围 (1) 1.3适用版本 (1) 1.4实施 (1) 1.5例外条款 (1) 第2章账号管理、认证授权 (2) 2.1帐号 (2) 2.1.1应用帐号分配 (2) 2.1.2用户口令设置 (3) 2.1.3用户帐号删除 (3) 2.2认证授权 (4) 2.2.1控制台安全 (4) 第3章日志配置操作 (7) 3.1日志配置 (7) 3.1.1日志与记录 (7) 第4章备份容错 (9) 4.1备份容错 (9) 第5章IP协议安全配置 (10) 5.1IP通信安全协议 (10) 第6章设备其他配置操作 (12) 6.1安全管理 (12) 6.1.1禁止应用程序可显 (12) 6.1.2端口设置* (13) 6.1.3错误页面处理 (14) 第7章评审与修订 (16)
第1章概述 1.1 目的 本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的TongWeb服务器应当遵循的安全性设置标准，本文档旨在指导系统管理人员进行TongWeb服务器的安全配置。 1.2 适用范围 本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。 本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的TongWeb 服务器系统。 1.3 适用版本 5.x版本的TongWeb服务器。 1.4 实施 本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。 本标准发布之日起生效。 1.5 例外条款 欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。
各类操作系统安全配 置要求及操作指南 检查模块支持系统版本号 Windows Windows 2000 以上 Solaris Solaris 8 以上 AIX AIX 5.X以上 HP-UNIX HP-UNIX 11i以上 Linux 内核版本2.6以上 Oracle Oracle 8i以上 SQL Server Microsoft SQL Server 2000 以上 MySQL MySQL 5.x以上 IIS IIS 5.x以上 Apache Apache 2.x 以上 Tomcat Tomcat 5.x以上 WebLogic WebLogic 8.X以上
Windows操作系统 安全配置要求及操作指南 I 目录 目录..................................................................... I 前言.................................................................... II 1 范围 (1) 2 规范性引用文件 (1) 3 缩略语 (1) 4 安全配置要求 (2) 4.1 账号 (2) 4.2 口令 (3) 4.3 授权 (5) 4.4 补丁 (7) 4.5 防护软件 (8) 4.6 防病毒软件 (8) 4.7 日志安全要求 (9) 4.8 不必要的服务 (11) 4.9 启动项 (12) 4.10 关闭自动播放功能 (13) 4.11 共享文件夹 (13) 4.12 使用NTFS 文件系统 (14) 4.13 网络访问 (15) 4.14 会话超时设置 (16)
H3C设备安全配置基线 目录 第1章概述 ................................................................................................................................ 1.1目的.................................................................................................................................... 1.2适用范围............................................................................................................................ 1.3适用版本............................................................................................................................ 第2章帐号管理、认证授权安全要求 .................................................................................... 2.1帐号管理............................................................................................................................ 2.1.1用户帐号分配* .......................................................................................................... 2.1.2删除无关的帐号* ...................................................................................................... 2.2口令.................................................................................................................................... 2.2.1静态口令以密文形式存放 ........................................................................................ 2.2.2帐号、口令和授权 .................................................................................................... 2.2.3密码复杂度 ................................................................................................................ 2.3授权.................................................................................................................................... 2.3.1用IP协议进行远程维护的设备使用SSH等加密协议 ........................................... 第3章日志安全要求 ................................................................................................................ 3.1日志安全............................................................................................................................ 3.1.1启用信息中心 ............................................................................................................ 3.1.2开启NTP服务保证记录的时间的准确性................................................................ 3.1.3远程日志功能* .......................................................................................................... 第4章IP协议安全要求 ............................................................................................................ 4.1IP协议 ............................................................................................................................... 4.1.1VRRP认证................................................................................................................... 4.1.2系统远程服务只允许特定地址访问 ........................................................................
win10弹出安全登录密码错误 我们知道在安装WindowsXP过程中，首先是以“administrator”默认登录，然后会要求创建一个新账户，以进入WindowsXP时使用 此新建账户登录，而且在WindowsXP的登录界面中也只会出现创建 的这个用户账号，不会出现“administrator”，但实际上该“administrator”账号还是存在的，并且密码为空。当我们了解了 这一点以后，假如忘记了登录密码的话，在登录界面上，按住 Ctrl+Alt键，再按住Del键二次，即可出现经典的登录画面，此时 在用户名处键入“administrator”，密码为空进入，然后再修改“zhangbp”的口令即可。 WindowsNT/2000/XP中对用户帐户的安全管理使用了安全帐号管 理器(SecurityAccountManager,SAM)的机制，安全帐号管理器对帐 号的管理是通过安全标识进行的，安全标识在帐号创建时就同时创建，一旦帐号被删除，安全标识也同时被删。安全标识是唯一的， 即使是相同的用户名，在每次创建时获得的安全标识完全不同。因此，一旦某个帐号被用户名重建帐号，也会被赋予不同的安全标识，不会保留原来的权限。安全帐号管理器的具体表现就 是%SystemRoot%\system32\config\sam文件。SAM文件是WindowsNT/2000/XP的用户帐户数据库，所有用户的登录名以及口 令等相关信息都会保存在这个文件中。 知道了这些，我们的解决办法也产生了：删除SAM文件，启动系统，它会重建一个干净清白的SAM，里面自然没有密码了。 不过，这么简单的方法在XP是不适用的，可能微软以此为BUG，做了限制……所以现在在XP系统下，即使你删除了SAM，还是不能 删除密码，反而会使系统启动初始化出错，从而进入死循环而不能 进系统!! 在系统启动前，插入启动盘，进入：C:\WINNT\System3\Config\用COPY命令将SAM文件复制到软盘上。拿到另一台机子读取。这里
Windows系统安全配置基线
目录 第1章概述 (1) 1.1目的 (1) 1.2适用范围 (1) 1.3适用版本 (1) 第2章安装前准备工作 (1) 2.1需准备的光盘 (1) 第3章操作系统的基本安装 (1) 3.1基本安装 (1) 第4章账号管理、认证授权 (2) 4.1账号 (2) 4.1.1管理缺省账户 (2) 4.1.2删除无用账户 (2) 4.1.3用户权限分离 (3) 4.2口令 (3) 4.2.1密码复杂度 (3) 4.2.2密码最长生存期 (4) 4.2.3密码历史 (4) 4.2.4帐户锁定策略 (5) 4.3授权 (5) 4.3.1远程关机 (5) 4.3.2本地关机 (6) 4.3.3隐藏上次登录名 (6) 4.3.4关机清理内存页面 (7) 4.3.5用户权利指派 (7) 第5章日志配置操作 (8) 5.1日志配置 (8) 5.1.1审核登录 (8) 5.1.2审核策略更改 (8) 5.1.3审核对象访问 (8) 5.1.4审核事件目录服务器访问 (9) 5.1.5审核特权使用 (9) 5.1.6审核系统事件 (10) 5.1.7审核账户管理 (10) 5.1.8审核过程追踪 (10) 5.1.9日志文件大小 (11) 第6章其他配置操作 (11)
6.1共享文件夹及访问权限 (11) 6.1.1关闭默认共享 (11) 6.2防病毒管理 (12) 6.2.1防病毒软件保护 (12) 6.3W INDOWS服务 (12) 6.3.1 系统服务管理 (12) 6.4访问控制 (13) 6.4.1 限制Radmin管理地址 (13) 6.5启动项 (13) 6.4.1关闭Windows自动播放功能 (13) 6.4.3配置屏保功能 (14) 6.4.4补丁更新 (14) 持续改进 (15)
WINDOWS安全管理规范 目录 上线前阶段 (3) 1)组策略设置 (3) 2)账号安全设置 (4) 3)防火墙安全设置 (4) 4)禁用服务 (4) 5)修改注册表,默认远程端口以及放SYN_FLOOD (5) 6)禁用IPv6 (5) 7)禁用NetBIOS (6) 8)监控安装 (6) 9)站点文件Hash以及文件目录的审计设置 (6) 10)杀毒安装 (6) 11)安全扫描 (7) 12)Windows更新 (7) 13)站点备份 (7) 14)安装日志收集器 (7) 15)服务器SSL配置 (7) 16)IPS和WAF加入防护 (7) 17)修改主机名 (8) 18)IIS权限设置 (8) 日常维护阶段 (11) 1)监控查看 (11) 2)杀毒 (11) 3)安全扫描 (11) 4)站点文件一致性检查 (12) 5)站点备份 (12) 6)Windows更新 (12) 7)日志的查看 (12) 被入侵后 (12)
1)站点文件一致性检查 (12) 2)系统文件一致性检查 (12) 3)无法找到原因的处理 (13)
上线前阶段 1)组策略设置 ●计算机配置-windows设置-安全设置-高级审核策略配置-账户登录-审核凭据验证-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-账户登录-审核Kerberos 身份验证服务-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-账户登录-审核Kerberos 服务票证操作-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-账户登录-审核其他帐户登录事件-成功,失败 ● ●计算机配置-windows设置-安全设置-高级审核策略配置-账号管理-审核计算机帐户管理-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-账号管理-审核其他帐户管理事件-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-账号管理-审核用户帐户管理-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-账号管理-审核应用程序组管理-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-账号管理-审核通讯组管理-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-账号管理-审核安全组管理-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-详细跟踪-审核进程创建-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-详细跟踪-审核进程终止-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-登录/注销-审核帐户锁定-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-登录/注销-审核注销-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-登录/注销-审核登录-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-登录/注销-审核特殊登录-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-登录/注销-审核其他登录/注销事件-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-对象访问-审核已生成应用程序-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-对象访问-审核详细的文件共享-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-对象访问-审核文件系统-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-对象访问-审核注册表-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-对象访问-审核SAM-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-对象访问-审核证书服务-成功,失败 ● ●计算机配置-windows设置-安全设置-高级审核策略配置-策略更改-审核审核策略更改-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-策略更改-审核身份验证策略更改-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-策略更改-审核授权策略更改-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-策略更改-审核MPSSVC规则级别策略更改-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-策略更改-审核其他策略更改事件-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-策略更改-审核筛选平台策略更改-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-特权使用-审核敏感权限使用-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-系统-审核其他系统事件-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-系统-审核安全状态更改-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-系统-审核安全系统扩展-成功,失败 ●计算机配置-windows设置-安全设置-高级审核策略配置-系统-审核系统完整性-成功,失败 ●计算机配置-windows设置-安全设置-本地策略-安全选项-网络访问:不允许SAM账户的匿名枚举-启用 ●计算机配置-windows设置-安全设置-本地策略-安全选项-网络访问:不允许SAM账户和共享的匿名枚举-启用 ●计算机配置-windows设置-安全设置-本地策略-用户权限分配-从网络访问此计算机-删除除管理员以外其他账号 ●计算机配置->管理模板->网络->DNS客户端->关闭多播名称解析->启用 ●计算机配置->Windows组件->远程桌面服务->远程桌面会话主机->会话时间限制->设置活动但空闲的远程桌面服务会话时间限制-30分钟 ●计算机配置->Windows组件->远程桌面服务->远程桌面会话主机->连接->限制连接的数量-2 ●计算机配置->Windows组件->事件日志服务->安全->指定日志文件大小 500M ●计算机配置->Windows组件->事件日志服务->安装程序->指定日志文件大小 500M ●计算机配置->Windows组件->事件日志服务->系统->指定日志文件大小 500M ●计算机配置->Windows组件->事件日志服务->应用程序->指定日志文件大小 500M ●计算机配置->Windows组件->Windows登录选项->在用户登录期间显示有关以前的登录信息 ●计算机配置->Windows组件->Windows更新->对已有用户登录的计算机,计划的自动安装更新不执行重新启动
win10老是出现windows安全登录密码错误 1.系统在开机的时候会提示用户名与密码不一样，无法登录系统 2.这时我们选择其它的用户名先登录系统 3.接着在登录系统后，在Windows10桌面点击左下角的开始按钮，在弹出菜单中选择“运行”菜单项 4.然后在运行窗口中输入命令netplwiz，然后点击确定按钮 这时会打开用户账户设置窗口，在这里选中“要使用计算机，用户有必须输入用户名和密码”前的复选框，然后点击应用按钮。然 后再次去掉刚刚的勾选，点击确定按钮，重新启动电脑后就可以正 常登录系统了。 1.点击开始——再点击设置 2.右边的点击帐户 3.选择登录选项 4.这边有个——需要登录，你的设置会和我这个一样 5.把它改成从不，那么以后除了注销之后再登陆，开机和睡眠就不会再要密码了 设置登录密码输入几次错误就自动锁定计算机并且多久之内都无法再次输入密码，这个功能防范一些“咸猪手”还是非常实用的， 下面就一起来学习一下吧~~ 1、开始---运行(输入gpedit.msc)---确定或者回车，打开本地 组策略编辑器。 2、在打开的本地组策略编辑器窗口，我们依次展开：计算机配 置---Windows设置---安全设置。
3、接下来我们再展开安全设置下的帐户策略，在帐户策略下找 到帐户锁定策略，并左键点击“帐户锁定策略”。 4、在帐户锁定策略对应的右侧窗口，我们左键双击“帐户锁定 阈值”。 5、在帐户锁定阈值属性窗口，我们把输入密码的次数限制在5次，如果5次输入密码错误，将锁定计算机(输入次数由我们自己决定)，再点击“应用”。 说明：此安全设置确定导致用户帐户被锁定的登录尝试失败的次数。在管理员重置锁定帐户或帐户锁定时间期满之前，无法使用该 锁定帐户。可以将登录尝试失败次数设置为介于0和999之间的值。如果将值设置为0，则永远不会锁定帐户。(系统默认就是0) 6、点击应用后，弹出一个建议的数值改动窗口，如果5次输入 密码错误，将在30分钟后才能再次输入密码;如果我们要重置帐户 锁定计数器，也要在30分钟以后才能执行。点击确定。 7、回到帐户锁定阈值属性窗口，我们再点击确定。 8、回到本地组策略编辑器窗口，可见： 帐户锁定时间30分钟 帐户锁定阈值5次无效登录 重置帐户锁定计数器30分钟之后 9、退出本地组策略编辑器。