当前位置：文档之家 › Windows主机加固规范表

Windows主机加固规范表

  • 格式：doc
  • 大小：110.50 KB
  • 文档页数：3
□是■否
安全设置
13
当登录时间用完时自动注销用户（启用）。
□是■否
14
在挂起会话之前所需的空闲时间（小于等于30分钟）。
■是□否
15
发送未加密的密码到第三方SMB服务器:（禁用）。
□是□否
16
允许对所有驱动器和文件夹进行软盘复制和访问（禁用台:允许自动系统管理级登录（禁用）。
□是■否
30
帮助防止碎片包攻击: HKLM\System\CurrentControlSet\ Services\Tcpip\Parameters\EnablePMTUDiscovery(REG_DWORD) 1
□是■否
31
管理keep-alive时间: HKLM\System\CurrentControlSet\Services\Tcpip\ Parameters\KeepAliveTime(REG_DWORD) 300000
■是□否
账户策略
4
密码符合复杂性要求。
■是□否
5
密码长度最小8位
■是□否
6
密码最长使用期限42天。
□是■否
7
设置帐户锁定阀值。
□是■否
8
设定帐户锁定时间。（15分钟）
□是■否
9
设置了复位帐户锁定计数器。
□是■否
10
将审核策略更改为成功和失败。
□是■否
11
将审核登录事件更改为成功和失败。
■是□否
12
将审核对象访问设置为失败。
Windows主机加固规范表
编号
加固内容
是否加固
未加固原因说明
补丁安装情况
1
操作系统是否已经安装相关的补丁，Windows 2000为SP4，Windows XP为SP2。Windows 2003为SP2
■是□否
2
操作系统是否已经安装了全部的HOTFIX。
□是□否
3
应用程序是否及时进行补丁的更新，包括Office和IE等。
□是■否
手动启用
40
Routing and Remote Access –禁止
■是□否
41
Simple Mail Trasfer Protocol(SMTP) –禁止
□是□否
未看到该服务
42
Simple Network Management Protocol(SNMP) Service –禁止
□是□否
□是■否
28
删除服务器上的管理员共享: HKLM\System\CurrentControlSet\ Services\LanmanServer\Parameters\AutoShareServer(REG_DWORD) 0
■是□否
29
源路由欺骗保护: HKLM\System\CurrentControlSet\ Services\Tcpip\Parameters\DisableIPSourceRouting(REG_DWORD) 2
□是■否
24
禁止自动执行系统调试器: HKLM\Software\ Microsoft\Windows NT\CurrentVersion\AeDebug\Auto(REG_DWORD) 0
□是■否
25
禁止自动登录: HKLM\Software\Microsoft\Windows NT\ CurrentVersion\Winlogon\AutoAdminLogon(REG_DWORD) 0
□是■否
22
禁止在任何驱动器上自动运行任何程序: HKLM\Software\ Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun(REG_DWORD) 255
□是■否
23
用星号掩藏任何的口令输入; HKLM\Software\Microsoft\ Windows\CurrentVersion\Policies\Network\HideSharePwds(REG_DWORD) 1
□是□否
18
清除虚拟内存页面文件（启用）。
□是□否
19
允许系统在未登录前关机（禁用）。
□是■否
20
交互式登录：不显示上次的用户名（启用）。
□是■否
注册表安全
21
抑制Dr. Watson Crash Dump: HKLM\Software\Microsoft\DrWatson\ CreateCrashDump(REG_DWORD) 0
未看到该服务
43
Simple Network Management Protocol(SNMP) Trap –禁止
□是□否
未看到该服务
44
Telnet –禁止
□是■否
手动启用
45
World Wide Web Publishing Service –禁止
□是■否
手动已启用
其他安全设置
46
所有的磁盘卷使用NTFS文件系统。
□是■否
关闭的服务
34
Alerter –禁止
■是□否
35
Clipbook –禁止
■是□否
36
Computer Browser –禁止
□是■否
37
Internet Connection Sharing –禁止
□是□否
未看到该服务
38
Messenger –禁止
■是□否
39
Remote Registry Service –禁止
□是■否
32
防止SYN Flood攻击: HKLM\System\CurrentControlSet\ Services\Tcpip\Parameters\SynAttackProtect(REG_DWORD) 2
□是■否
33
SYN攻击保护-管理TCP半开sockets的最大数目: HKLM\System\CurrentControlSet\Services\Tcpip\Parameters\ TcpMaxHalfOpen(REG_DWORD) 100或500
■是□否
47
安装第三方个人版防火墙。
□是□否
48
安装防病毒软件。
□是□否
49
防病毒软件的特征码和检查引擎已经更新到最新。
□是□否
50
防病毒软件已设置自动更新。
□是□否
■是□否
26
禁止在蓝屏后自动启动机器: HKLM\System\ CurrentControlSet\Control\CrashControl\AutoReboot(REG_DWORD) 0
□是■否
27
禁止CD自动运行: HKLM\System\CurrentControlSet\Services\CDrom\Autorun (REG_DWORD) 0

合集下载

等级保护-主机加固方案

等级保护-主机加固方案

h主机安全一、身份鉴别（S3）本项要求包括：a) 应对登录操作系统和数据库系统的用户进行身份标识和鉴别；设置登陆密码b) 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；依次展开[开始]->（[控制面板] ->）[管理工具]->[本地安全策略]->[账户策略]->[密码策略]，查看以下项的情况：1)复杂性要求-启用、2)长度最小值-大于8、3)最长存留期-不为0、4)最短存留期-不为0、5)强制密码历史-大于3。

c) 应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；依次展开[开始]->（[控制面板] ->）[管理工具]->[本地安全策略]->[账户策略]->[账户锁定策略]；d) 当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；如果是本地管理或KVM等硬件管理方式，此要求默认满足；如果采用远程管理，则需采用带加密管理的远程管理方式，如启用了加密功能的3389(RDP 客户端使用ssl加密)远程管理桌面或修改远程登录端口。

e) 应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。

Windows Server 2003默认不存在相同用户名的用户，但应防止多人使用同一个账号。

（访谈时无多人共用一个账号）f) 应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。

动态口令、数字证书、生物信息识别等二、访问控制（S3）本项要求包括：a) 应启用访问控制功能，依据安全策略控制用户对资源的访问；制定用户权限表，管理员账号仅由系统管理员登陆删除默认共享？b) 应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；系统管理员、安全管理员、安全审计员由不同的人员和用户担当c) 应实现操作系统和数据库系统特权用户的权限分离；应保证操作系统管理员和审计员不为同一个账号，且不为同一个人访谈时候注意d) 应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；重命名系统默认账户，禁用guest、SUPPORT_388945a0这些用户名e) 应及时删除多余的、过期的帐户，避免共享帐户的存在。

Windows系统安全加固操作手册

Windows系统安全加固操作手册

1、应按照用户分配账号。

避免不同用户间共享账号。

避免用户账号和设备间通信使用的账号共享。

结果：现网已实现2、应删除或锁定与设备运行、维护等工作无关的账号。

结果：现网已实现3、对于采用静态口令认证技术的设备，口令长度至少6位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。

结果：可以实现编号：安全要求-设备-WINDOWS-配置-44、对于采用静态口令认证技术的设备，账户口令的生存期不长于90天。

结果：可以实现编号：安全要求-设备-通用-配置-45、对于采用静态口令认证技术的设备，账户口令的生存期不长于90天。

结果：可以实现，应用账号不建议实现，将会影响应用系统；编号：安全要求-设备-WINDOWS-配置-56、对于采用静态口令认证技术的设备，应配置设备，使用户不能重复使用最近5次（含5次）内已使用的口令。

结果：可以实现编号：安全要求-设备-WINDOWS-配置-67、对于采用静态口令认证技术的设备，应配置当用户连续认证失败次数超过6次（不含6次），锁定该用户使用的账号。

结果：可以实现编号：安全要求-设备-WINDOWS-配置-78、在设备权限配置能力内，根据用户的业务需要，配置其所需的最小权限。

结果：现网已实现9、设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址。

结果：现网已实现10、设备应配置日志功能，记录用户对设备的操作，包括但不限于以下内容：账号创建、删除和权限修改，口令修改，读取和修改设备配置，读取和修改业务用户的话费数据、身份数据、涉及通信隐私数据。

记录需要包含用户账号，操作时间，操作内容以及操作结果。

结果：可以实现编号：安全要求-设备-WINDOWS-配置-1111、对于具备TCP/UDP协议功能的设备，设备应根据业务需要，配置基于源IP地址、通信协议TCP或UDP、目的IP地址、源端口、目的端口的流量过滤，过滤所有和业务不相关的流量。

通用主机加固实施方案

通用主机加固实施方案

XXXXXXXXX主机加固技术方案批准：审核：初审：编制：二〇一七年三月1一、项目概况操作系统作为计算机系统的基础软件是用来管理计算机资源，它直接利用计算机硬件并为用户提供使用和编程接口。

各种应用软件均建立在操作系统提供的系统软件平台之上，上层的应用软件要想获得运行的高可用性和信息的完整性、机密性，必须依赖于操作系统提供的系统软件基础。

在网络环境中，网络系统的安全性依赖于网络中各系统的安全性，而系统的安全性正是由其操作系统的安全性所决定的，没有安全的操作系统的支持，网络安全也毫无根基可言。

所以，操作系统安全是计算机网络系统安全的基础。

而服务器及其上的业务数据又是被攻击的最终目标。

因此，部署安全产品，加强对关键服务器的安全控制，是增强系统总体安全性的核心一环。

根据《电力监控系统安全防护规定》（国家发展改革委员会[2014年]第14号令），国家电网调[2006]第1167号文及关于贯彻落实电监会《电力二次系统安全防护总体方案》的要求，需在公司网络系统的所有服务器以及远程监控终端上部署主机加固软件。

现存在如下问题：1、当前操作系统访问控制等级为C2级，级别过低。

2、当前windows系统administrator账户、linux unix的root账户权限过高，可进行任意操作。

3、当前操作系统无法对每一个文件、进程针对特定用户进行授权控制。

4、操作系统存在安全隐患，系统固有的漏洞和缺陷容易被病毒、恶意代码、木马、蠕虫等利用。

通过部署主机加固软件，可以解决现在系统中存在的大部分问题。

二、方案概述1.主机加固目标通过安装操作系统加固软件，对系统中相关安全设置项目进行全面扫描，报告不符合要求项目，并进行安全策略设置，提升操作系统的安全等级；保障关键业务进程不被非法终止；对外来非法进入系统的程序进行预警；对非法篡改、移动、删除、系统中的程序行为予以记录报警，防止不良程序的恶意破坏；禁止或记录移动介质上程序的运行并记录违规运行行为，防止恶意程序、病毒程序在移动介质上的自动运行；禁止或审计移动存储设备的使用并记录违规使用行为；建立网络白名单，发现、记录白名单之外的网络访问链接、及时发现非法的网络访问。

各类操作系统加固基本要求

各类操作系统加固基本要求

各类操作系统加固基本要求在当今数字化的时代，操作系统作为计算机系统的核心，其安全性至关重要。

操作系统加固是指通过一系列的技术和管理措施，提高操作系统的安全性和稳定性，防止未经授权的访问、攻击和数据泄露。

本文将介绍各类操作系统加固的基本要求，帮助您更好地保护系统安全。

一、Windows 操作系统加固1、系统更新与补丁管理保持 Windows 操作系统及时更新是加固的首要任务。

微软会定期发布安全补丁来修复系统中的漏洞，因此应确保自动更新功能处于开启状态，并定期检查是否有新的更新需要安装。

2、用户账户管理创建具有强密码的用户账户，并避免使用简单易猜的密码。

对于不再使用的账户，应及时删除。

同时，限制用户的权限，只给予其完成工作所需的最低权限。

3、防火墙与防病毒软件启用 Windows 自带的防火墙，并配置合适的规则，允许合法的网络流量通过，阻止可疑的连接请求。

安装可靠的防病毒软件，并保持病毒库的更新，定期进行全盘扫描。

4、服务与端口管理关闭不必要的服务和端口，减少系统的攻击面。

可以通过“服务”管理控制台查看正在运行的服务，并禁用那些不常用或不安全的服务。

5、组策略设置利用组策略来加强系统的安全性，例如限制可移动存储设备的使用、禁止自动播放功能、设置密码策略等。

二、Linux 操作系统加固1、内核更新与软件包管理定期更新Linux 内核和安装的软件包，以修复可能存在的安全漏洞。

使用官方的软件源，并确保软件源的安全性。

2、用户与权限管理创建具有有限权限的用户账户，避免使用 root 账户进行日常操作。

为不同的用户和组分配适当的权限，遵循最小权限原则。

3、 SSH 安全配置如果使用 SSH 进行远程访问，修改默认的端口号，禁用 root 用户的远程登录，并使用密钥认证代替密码认证。

4、防火墙配置使用iptables 或firewalld 等防火墙工具，配置规则来控制网络访问。

只开放必要的端口，阻止不必要的流量。