Windows操作系统安全加固策略

实验报告

实验名称 Windows操作系统安全

实验目的 通过实验掌握Windows账户与密码的安全设置、文件系统的保护和加密、安全策略与安全模版的使用、审核和日志的启用，建立一个Windows操作系统的基本安全框架。

使用仪器

实验环境 使用仪器及实验环境：一台装有Windows2000或者XP操作系统的计算机、磁盘格式配置为NTFS。

实验内容 在Windows2000或者XP操作系统中，相关安全设置会稍有不同，但大同小异，所有的设置均以管理员（Administrator）身份登录系统。

任务一：账户和口令的安全设置

任务二：文件系统安全设置

任务三：用加密软件EPS加密硬盘数据

任务四：启用审核与日志查看

任务五：启用安全策略与安全模块

实验步骤：

任务一 账户和口令的安全设置

1、删除不再使用的账户，禁用guest账户

（1）检查和删除不必要的账户。

右击“开始”按钮，打开“资源管理器”，选择“控制面板”中的“用户和密码”项；

在弹出的对话框中选择从列出的用户里删除不需要的账户。

（2）guest账户的禁用。

右键单击guest用户，选择“属性”，在弹出的对话框中“账户已停用”一栏前打勾；

确定后，guest前的图标上会出现一个红色的叉，此时账户被禁用。

2、启用账户策略 账户策略是Windows账户管理的重要工具。

打开“控制面板”→“管理工具”→“本地安全策略”，选择“用户策略”。

双击“密码策略”，用于决定系统密码的安全规则和设置。

其中，符合复杂性要求的密码是具有相当长度、同时含有数字、大小写字母和特殊字符的序列。双击其中每一项，可按照需要改变密码特殊的设置。

（1）双击“密码密码必须符合复杂性要求”，选择“启用”。

打开“控制面板”中“用户和密码”项，在弹出的对话框中选择一个用户后，单击“设置密码”按钮。

在出现的设置密码窗口中输入密码。此时密码符合设置的密码要求。

1912019年第 07 期

收稿日期:2019-06-26作者简介:李葳 (1986—),男,江西南昌人,本科,研究方向:数字技术系统的应用安全。0 引言在当今的服务器操作系统领域,除UNIX、Linux类操作系统外,由微软(Mircosoft)公司开发的Windows Server系列操作系统也占据着较大的份额,目前其最新版本为Windows Server 2019。Win-dows Server 2019与个人计算机操作系统Windows 10同源,在安全组件构成、界面设计和选项设置方面融合了上一个版本WindowsServer 2016的设计,但亦有自己的新特点和改进,包括增强的Win-dows Defender安全软件、更加有效的BitLocker加密和VM防护、SDN加密网络等。虽然具备了上述的改进,但现今系统安全和网络安全形势依然严峻,各种网络病毒、木马、层出不穷,针对新版本操作系统的恶意程序亦开始出现,对服务器的安全造成了极大的威胁。为了应对这些威胁,有必要对Windows Server 2019操作系统的安全配置进行研究,找到有效的加固系统方法,避免因恶意程序的攻击遭受损失。1 Windows Server 2019安全配置选项Windows Server 2019的各主要安全配置选项的路径和窗口布局与上一个版本的Server系统大体一致,包括注册表编辑器、组策略编辑器、服务、控制面板、防火墙等,部分操作细节略有不同。2 系统服务安全Windows操作系统的大部分重要功能均由系统服务提供,不同的系统服务具有不同的默认启动策略,包括:自动、手动以及禁用等。为了平衡服务器的性能、功能和安全性三者之间的关系,需要依据实际需求仔细修改系统服务的启动策略。3 系统自动更新配置打开“Settings”选项,点击其中的“Windows更新”,在设置页面的左侧导航栏中点击“更改设置”,在新窗口的下拉菜单中选择用户所需的设置项。打开“本地组策略编辑器”,在左侧导航栏中依次选择“计算机配置”、“管理模板”、“Windows组件”和“Windows更新”,在右侧选项栏中双击“允许自动更新立即安装”选项。在新窗口中选中“已启用”选项,并在“配置自动更新”下拉菜单中选择“3-自动下载并通知安装”,点击“确定”按钮保存配置。4 系统网络安全打开“本地安全策略”。在其中点击“本地策略”、“用户权限分配”,双击右侧项目栏中的“从网络访问此计算机”。为保证远程安全,可指定一个专用于远程登录的Administrator组账号保留之,将其他账号从此设置中删除。在“本地安全策略”窗口中打开“安全设置”、“本地策略”、“安全选项”。在右侧项目栏中选择“网络访问: 不允许 SAM 帐户的匿名枚举”、“网络访问: 不允许 SAM 帐户和共享的匿名枚举”和“帐户: 使用空白密码的本地帐户只允许进行控制台登录”,将其设置为“已启用”。选择“网络访问: 将 Everyone 权限应用于匿名用户”,将其设置为“已禁用”。重启服务器以令设置生效。5 系统账号与权限安全打开“本地安全策略”,在左侧导航栏中依次选择“安全设置”、“账户策略”及“密码策略”,在右侧选项栏中依次双击各选项进行配置。建议将“密码必须符合复杂性要求”选项设为“已启用”,并对密码长度最小值和密码最长使用期限做一定的限制。打开“本地安全策略”,在左侧导航栏中依次选择“安全设置”、“账户策略”及“账户锁定策略”,在右侧选项栏中首先双击“账户锁定时间”,为其设置合适的期限。并对“账户锁定阈值”和“重置账户锁定计数器”的配置做出修改。建议将锁定阈值设为10次以内,防止恶意程序采用暴力枚举的方式获取账号密码。6 其他安全配置为令系统事件记录更加详细,打开“本地安全策略”窗口,依次点击“安全设置”、“本地策略”和“审核策略”。建议将“审核登录事件”、“审核进程跟踪”、“审核目录服务访问”、“审核系统事件”、“审核帐户登录事件”以及“审核帐户管理”选项设为“成功,失败”,将“审核策略更改”和“审核对象访问”选项设为“成功”。重启服务器以令设置生效。为增加系统事件记录的长度,打开“事件查看器”,在左侧导航Windows Server 2019操作系统安全配置与系统加固探讨李葳(江西省气象台,江西南昌 330046)摘要:本文研究了Windows Server 2019操作系统内部与系统安全相关的主要配置,包括注册表编辑器、组策略编辑器、系统事件查看器以及网络防火墙等系统组件和安全选项。并梳理了各种安全配置的相互关联、生效条件和主要作用。对如何加固操作系统,进而提高服务器的本地和网络安全性进行了研究。通过上述研究和安全配置的修改,大幅提升了安装Windows Server 2019操作系统的服务器的安全性。关键词:操作系统；安全配置；系统加固中图分类号:TP3文献标识码:A文章编号:1007-9416(2019)07-0191-01安全技术DOI:10.19695/12-1369.2019.07.93

Windows主机操作系统加固规范

2010年9月

目 录

1 账号管理、认证授权 ...................................................................................................... 1 1.1 账号 ........................................................................................................................... 1 1.1.1 SHG-Windows-01-01-01 ...................................................................................... 1 1.1.2 SHG-Windows-01-01-02 ...................................................................................... 2 1.1.3 SHG-Windows-01-01-03 ...................................................................................... 3 1.2 口令 ........................................................................................................................... 4 1.2.1 SHG-Windows-01-02-01 ...................................................................................... 4 1.2.2 SHG-Windows-01-02-02 ...................................................................................... 5 1.3 授权 ........................................................................................................................... 6 1.3.1 SHG-Windows-01-03-01 ...................................................................................... 6 1.3.2 SHG-Windows-01-03-02 ...................................................................................... 7 1.3.3 SHG-Windows-01-03-03 ...................................................................................... 8 1.3.4 SHG-Windows-01-03-04 ...................................................................................... 9 1.3.5 SHG-Windows-01-03-05 .................................................................................... 10 2 日志配置 .......................................................................................................................... 11 2.1.1 SHG-Windows-02-01-01 ..................................................................................... 11 2.1.2 SHG-Windows-02-01-02 .................................................................................... 12 3 通信协议 ......................................................................................................................... 14 3.1 IP协议安全 ............................................................................................................ 14 3.1.1 SHG-Windows-03-01-01 .................................................................................... 14 3.1.2 SHG-Windows-03-01-02 .................................................................................... 15 3.1.3 SHG-Windows-03-01-03 .................................................................................... 16 4 设备其他安全要求 ........................................................................................................ 18 4.1 屏幕保护 ................................................................................................................. 18 4.1.1 SHG-Windows-04-01-01 .................................................................................... 18 4.1.2 SHG-Windows-04-01-02 .................................................................................... 19 4.2 共享文件夹及访问权限 ........................................................................................ 20 4.2.1 SHG-Windows-04-02-01 .................................................................................... 20 4.2.2 SHG-Windows-04-02-02 .................................................................................... 21 4.3 补丁管理 ................................................................................................................. 23 4.3.1 SHG-Windows-04-03-01 .................................................................................... 23 4.4 防病毒管理 ............................................................................................................ 24 4.4.1 SHG-Windows-04-04-01 .................................................................................... 24 4.4.2 SHG-Windows-04-04-02 .................................................................................... 25 4.5 WINDOWS服务 ....................................................................................................... 26 4.5.1 SHG-Windows-04-05-01 .................................................................................... 26 4.5.2 SHG-Windows-04-05-02 .................................................................................... 28 4.6 启动项 ..................................................................................................................... 29 4.6.1 SHG-Windows-04-06-01 .................................................................................... 29

windows服务器安全加固方案

Windows服务器安全加固方案

一、操作系统方面的加固

1.更新补丁

●及时安装最新的操作系统补丁，修复已知漏洞，提高系统的稳定性和安全性。

●配置自动更新功能，确保系统定期自动获取并安装最新的补丁。

2.启用防火墙

●使用Windows服务器自带的防火墙功能，限制对服务器的网络访问。

●配置防火墙规则，仅允许必要的端口和服务对外开放，禁止不必要的访问。

3.管理账户安全

●修改默认账户名和密码，确保使用强密码策略。

●禁用或删除不必要的账户，限制权限最小化原则。

●启用账户锁定功能，防止暴力尝试。4.审计日志配置

●启用Windows服务器的安全审计日志功能。

●配置适当的日志记录级别，确保及时发现异常操作。

●定期审查审计日志，对安全事件进行分析和响应。

5.硬盘加密

●对敏感数据和信息进行加密保护。

●使用BitLocker等工具为服务器硬盘进行加密，防止数据泄露。

二、网络安全方面的加固

1.网络设备配置

●配置安全的网络设备参数，例如路由器、交换机等。

●将网络设备的默认密码修改为强密码。

●配置访问控制列表（ACL）限制对网络设备的访问。

2.加密通信

●在远程管理和文件传输等过程中，使用加密通信协议，例如SSL/TLS。 ●避免使用不安全的协议和加密算法，如旧版SSL、弱密码算法等。

3.网络隔离

●通过网络分段和VLAN等技术，将服务器划分到不同的安全域中，实现网络隔离。

●使用防火墙和访问控制策略，划定服务器与其他网络设备之间的信任边界。

4.安全加密传输协议（IPsec）

●使用IPsec协议对服务器之间的通信进行加密和认证。

●配置IPsec策略，限制仅允许受信任的服务器之间进行加密通信。

5.无线网络安全

●对无线局域网（WLAN）进行加密保护，使用WPA2或更高级别的加密算法。

●定期更改无线网络密码，限制访问权限。

三、应用程序和服务方面的加固

1.关闭不必要的服务 ●禁用或关闭不需要的应用程序和服务，减少系统暴露的攻击面。