Microsoft Windows安全配置基线

■ 大庆 时炜随着息化的不入，信息安重要性越显。

其中计算机系统的安全是信息安全的基础，安全基桶理论”，板，是最基本的安全要求。

配置使用计算机系统的安全基线，受到不法分子恶意攻击、意软件、木马及蠕虫病毒等攻击时能够起到主动防御的【上接第135页】仅仅有了的，还必须在其中添加相关的账户。

例如，就需要httpd、的支持。

执行“useradd –d /var /chapa -s /usr/local/bin/ jail httpd”系统中创建名为账户，其Home图1Edge、图2 配置安全基线前soft Office 2016的安全基Version 1909 and WindowsVersion 1909 SeBaseline.zip解压至然后将LGPO.c:\1909\Scripts\身份运行并进入PS C:\1909\scripts>，然后执行Baseline-LocalInstall.ps1脚本加相应的参数。

的Windows“Baseline-LocalInstall.ps1-Win10Domain系统执行“Baseline-L o c a lp s1-W i mainJoined”已加员Win dows Server统执行“BaseLocalInstall.ps1-WS Member”。

而没Windows“Baseline-LocalInstall. ps1-WSNonDomainJoined”在域Server系统执行Local Install.ps1-WS mainController”以未加入版本1909PS C:\1909\scri pts>. \Baseline-Localps1-Win10Non DomainJoined 提示\1909\scripts\Baseline-LocalInstall.ps1。

查看1909\s ccutionpolicycted。

这是因为在此系统默认图3 配置安全基线后C:\1909\scripts> set-e x e c u t i o n p o l i c y-e x e身的需要，。

Win2003 & 2008操作系统安全配置要求2、1、帐户口令安全帐户分配:应为不同用户分配不同的帐户,不允许不同用户间共享同一帐户。

帐户锁定:应删除或锁定过期帐户、无用帐户。

用户访问权限指派:应只允许指定授权帐户对主机进行远程访问。

帐户权限最小化:应根据实际需要为各个帐户分配最小权限。

默认帐户管理:应对Administrator帐户重命名,并禁用Guest(来宾)帐户。

口令长度及复杂度:应要求操作系统帐户口令长度至少为8位,且应为数字、字母与特殊符号中至少2类的组合。

口令最长使用期限:应设置口令的最长使用期限小于90天。

口令历史有效次数:应配置操作系统用户不能重复使用最近 5 次(含 5 次)已使用过的口令。

口令锁定策略:应配置当用户连续认证失败次数为5次,锁定该帐户30分钟。

2、2、服务及授权安全服务开启最小化:应关闭不必要的服务。

SNMP服务接受团体名称设置:应设置SNMP接受团体名称不为public或弱字符串。

系统时间同步:应确保系统时间与NTP服务器同步。

DNS服务指向:应配置系统DNS指向企业内部DNS服务器。

2、3、补丁安全系统版本:应确保操作系统版本更新至最新。

补丁更新:应在确保业务不受影响的情况下及时更新操作系统补丁。

2、4、日志审计日志审核策略设置:应合理配置系统日志审核策略。

日志存储规则设置:应设置日志存储规则,保证足够的日志存储空间。

日志存储路径:应更改日志默认存放路径。

日志定期备份:应定期对系统日志进行备份。

2、5、系统防火墙:应启用系统自带防火墙,并根据业务需要限定允许通讯的应用程序或端口。

2、6、防病毒软件:应安装由总部统一部署的防病毒软件,并及时更新。

2、7、关闭自动播放功能:应关闭Windows 自动播放功能。

2、8、共享文件夹删除本地默认共享:应关闭Windows本地默认共享。

共享文件权限限制:应设置共享文件夹的访问权限,仅允许授权的帐户共享此文件夹。

操作系统安全基线配置操作系统安全基线配置1、系统基本配置1.1、设置强密码策略1.1.1、密码复杂度要求1.1.2、密码长度要求1.1.3、密码历史记录限制1.2、禁用默认账户1.3、禁用不必要的服务1.4、安装最新的操作系统补丁1.5、配置防火墙1.6、启用日志记录功能1.7、安装安全审计工具2、访问控制2.1、确定用户账户和组织结构2.2、分配最小特权原则2.3、管理账户权限2.3.1、内置管理员账户2.3.2、各类用户账户2.4、用户认证和授权2.4.1、双因素身份验证2.4.2、权限管理2.5、用户追踪和监管2.5.1、记录登录和注销信息2.5.2、监控用户活动3、文件和目录权限管理3.1、配置文件和目录的ACL3.2、禁止匿名访问3.3、确保敏感数据的安全性3.4、审计文件和目录访问权限4、网络安全设置4.1、配置安全网络连接4.1.1、使用SSL/TLS加密连接4.1.2、配置安全的网络协议 4.2、网络隔离设置4.2.1、网络分段4.2.2、VLAN设置4.3、防御DDoS攻击4.4、加密网络通信4.5、网络入侵检测和预防5、应用程序安全配置5.1、安装可靠的应用程序5.2、更新应用程序到最新版本 5.3、配置应用程序的访问权限 5.4、定期备份应用程序数据5.5、应用程序安全策略6、数据保护与恢复6.1、定期备份数据6.2、加密敏感数据6.3、完整性保护6.4、数据恢复7、安全审计与监控7.1、审计日志管理7.1.1、配置日志记录7.1.2、日志监控和分析7.2、安全事件响应7.2.1、定义安全事件7.2.2、响应安全事件7.2.3、安全事件报告8、物理安全8.1、服务器和设备安全8.1.1、物理访问控制8.1.2、设备保护措施8.2、网络设备安全8.2.1、路由器和交换机的安全配置 8.2.2、网络设备的物理保护8.3、数据中心安全8.3.1、安全区域划分8.3.2、访问控制措施附件：无法律名词及注释：1、双因素身份验证：双因素身份验证是指通过两个或多个不同的身份验证要素来确认用户身份的一种安全措施。

终端安全配置指南一、基线配置
下表为基线配置的必选项，根据配置方法修改配置项
二、防毒软件安装（先到第三步安装天珣，再安装趋势防毒）
通过终端IE浏览器登陆http://10.201.94.225/download下载趋势防毒软件，如图，根据
相应的系统下载安装。

安装完后右下角出现如下图标
右键点击图标选择组件版本可以查看是否更新为最新
看看发布日期，如果为最近几天便为最新版本。

三、天珣安装
通过终端IE浏览器登陆http://188.1.50.132:8833/download下载趋势防毒软件，如图，根据相应的系统下载安装。

下载安装完毕后，需要确定软件联网。

四、终端补丁更新
从开始>运行输入gpedit.msc打开组策略管理器，如图：
确定就打开了组策略窗口
再从计算机配置>管理模板>Windows组件>Windows Update 展开设置条目，用红线框着的是需要设置的项目，具体设置后面详细说明。

双击配置自动更新打开属性并按下图设置好。

3 –自动下载并通知安装
双击指定Intranet Microsoft更新服务位置，打开属性并按下图设置好。

开始->运行输入services.msc打开服务管理器，把Automatic Updates服务启动
手工启动首次更新，方法如下图：
从开始>运行输入CMD打开命令提示符
从命令提示符输入wuauclt.exe /detectnow启动首次更新
右下角出现表示更新已启动。

更新下载完后，手动点击进行安装。

更新正确安装后提示重新启动。

1.下载基线配置核查工具（附件2）
2.下载完成后，运行安装SblCheckTool.msi。

注：若系统未安装.Net Framework 4.0，会提示安装该软件。

在基线配置核查工具下载页面下载.Net Framework 4.0并安装，该软件为微软公司推出的系统组件。

3.安装完成后，双击打开桌面“基线加固工具”快捷方式，进入软件界面。

4.首先输入自己的姓名，工作单位以及网络管理员提供的IP地址。

5. 资料填写完毕请点击测试连接，若无错误将提示“连接成功”，点击“确认”。

6. 点击开始检查，系统将展示出终端计算机的安全配置（检查过程依据计算机性能存在查
别，请耐心等待，一般不超过1分钟）。

Windows安全配置基线说明1.1.身份鉴别
1.1.1用户账号要求
1.1.2用户账号设置
1.1.3配置密码策略
1.1.4账号锁定策略
1.2.访问控制
1.2.1重命名系统管理员账号，禁用GUEST账号
1.2.2“取得文件或其它对象的所有权”设置
1.2.3关闭默认共享
1.2.4设置共享文件夹访问权限
1.3.安全审计
1.3.1审核策略设置
1.3.2日志文件大小设置
1.4.入侵防范
1.4.1系统补丁安装
1.4.2关闭多余服务
1.4.3关闭多余启动项
1.5.恶意代码防范1.5.1开启系统防火墙
1.5.2安装、更新杀毒软件
1.6.资源控制
1.6.1启用TCP/IP筛选
1.6.2屏幕保护程序
1.6.3设置Microsoft网络服务器挂起时间
1.7.其他安全要求
1.7.1关闭Windows自动播放功能。

Windows 7 操作系统安全配置基线与配置说明2017年3月1、账户管理1.1Administrator 账户管理配置截图参考：右键点击administrator用户重命名为其它名称（注意，不要改为admin）双击guest账户，确保账户已禁用选项是被选中的则为符合要求。

如果用户里面存在guest和administrator（已改名账户）以外的其它账户则不符合安全要求须对其它用户进行右键——删除操作2、密码管理2.1 密码复杂度2.2 密码长度最小值2.3 密码最长使用期限2.4 强制密码历史2.5 账户锁定阈值（可选）3、认证授权3.1 远程强制关机授权3.2 文件所有权授权4、日志审计4.1 审核策略更改4.2 审核登录事件4.3 审核对象访问4.4 审核进程跟踪对审核策略中的所有项均进行以上配置操作4.5日志文件大小对windows日志中的‘应用程序’‘安全’‘系统’三项均进行上图配置5、系统服务5.1 启用Windows 防火墙5.2 关闭自劢播放功能6、补丁不防护软件6.1 系统安全补丁管理6.2 防病毒管理7.1 关闭默认共享8、远程维护8.1 远程协助安全管理8.2 远程桌面安全管理9、其他9.1 数据执行保护10、关闭135等端口• 1）打开电-脑-控-制-面板• 2）打开系统和安全选项• 3）打开Windows防火墙• 4）点击左侧高级设置• 5）点击入站规则• 6）点击右侧新建规则• 7）选择端口（O），点击下一步• 8）选择特定本地端口，输入135,137,138,139,445，中间用逗号隔开，逗号为英文输入的逗号• 9）选择阻止连接，点击下一步• 10）点击下一步• 11）名称一栏输入关闭端口，点击完成• 12）双击关闭端口，查看端口设置• 13）可以看到阻止连接• 14）点击协议和端口，可以看到阻止连接的本地端口是之前设置的135,137,138,139,445，说明网络端口135,137,138,139,445已经阻止连接。

SEC-W01-002.1使用Windows系统基线安全分析器2010年4月技术背景管理员使用微软安全产品时，经常抱怨的事缺少能够分析检查整个系统安全配置缺陷的工具。

微软用他们的Baseline Security Analyzer（基线分析器，简称MBSA）对这个问题做出了回应。

MBSA能够扫描本地和远程计算机上的Windows NT、Windows 2000、Windows XP、IIS、SQL Server、Internet Explorer和Office的安全问题。

在扫描后产生一个详细报告。

实验目的安装MBSA扫描实验机，浏览MBSA报告实验平台客户端：Windows2000/XP/2003服务端：Windows 2000 Server实验工具Windows 远程桌面客户端工具mstsc.exeMicrosoft MBSA 1.2实验要点Microsoft MBSA安装及使用实验步骤指导实验准备实验概要：连接实验服务器主机；1.运行远程桌面客户端程序mstsc.exe，输入实验服务器IP地址，点击Connect连接，如图1：图12.以Administrator（管理员）（口令：1qaz@WSX）身份登实验陆服务器桌面。

安装MBSA工具实验概要：安装MBSA工具。

3.按照"实验准备"步骤远程登录实验服务器，在实验服务器桌面，点击运行MBSASetup-EN.msi，如：图2图24.在随后出现的界面，单击Next（下一步）启动安装向导程序。

如：图3图35.在随后出现的界面，选择I accept the license agreement，单击Next（下一步），如：图4图46.在随后出现的界面，单击Next（下一步），如：图5图57.在随后出现的界面，单击Install（安装），开始安装，如：图6图68.安装结束后，当出现如下窗口时点击ok（确定），如：图7，实验服务器桌面上会产生“Microsoft Baseline Security Analyzer 1.2.1”图标，如：图8图89.关闭所有窗口，实验结束并注销Administrator。

Windows 7 操作系统安全配置基线与配置说明2017年3月1、账户管理1.1Administrator 账户管理配置截图参考：右键点击administrator用户重命名为其它名称（注意，不要改为admin）双击guest账户，确保账户已禁用选项是被选中的则为符合要求。

如果用户里面存在guest和administrator（已改名账户）以外的其它账户则不符合安全要求须对其它用户进行右键——删除操作2、密码管理2.1 密码复杂度2.2 密码长度最小值2.3 密码最长使用期限2.4 强制密码历史2.5 账户锁定阈值（可选）3、认证授权3.1 远程强制关机授权3.2 文件所有权授权4、日志审计4.1 审核策略更改4.2 审核登录事件4.3 审核对象访问4.4 审核进程跟踪对审核策略中的所有项均进行以上配置操作4.5日志文件大小对windows日志中的‘应用程序’‘安全’‘系统’三项均进行上图配置5、系统服务5.1 启用Windows 防火墙5.2 关闭自劢播放功能6、补丁不防护软件6.1 系统安全补丁管理6.2 防病毒管理7.1 关闭默认共享8、远程维护8.1 远程协助安全管理8.2 远程桌面安全管理9、其他9.1 数据执行保护10、关闭135等端口• 1）打开电-脑-控-制-面板• 2）打开系统和安全选项• 3）打开Windows防火墙• 4）点击左侧高级设置• 5）点击入站规则• 6）点击右侧新建规则• 7）选择端口（O），点击下一步• 8）选择特定本地端口，输入135,137,138,139,445，中间用逗号隔开，逗号为英文输入的逗号• 9）选择阻止连接，点击下一步• 10）点击下一步• 11）名称一栏输入关闭端口，点击完成• 12）双击关闭端口，查看端口设置• 13）可以看到阻止连接• 14）点击协议和端口，可以看到阻止连接的本地端口是之前设置的135,137,138,139,445，说明网络端口135,137,138,139,445已经阻止连接。

windowsserver2016安全基线设置脚本:: 账号安全@prompt #echo [version] >account.infecho signature="$CHICAGO$" >>account.infecho [System Access] >>account.infREM 设置帐户密码最短为10echo MinimumPasswordLength=10 >>account.infREM 开启帐户密码复杂性要求echo PasswordComplexity=1 >>account.infREM 设置帐户密码最长使⽤期限为120天echo MaximumPasswordAge=120 >>account.infREM 禁⽤Guest帐户echo EnableGuestAccount=0 >>account.infREM 设定帐户锁定阀值为6次echo LockoutBadCount=6 >>account.infsecedit /configure /db account.sdb /cfg account.inf /log account.log /quietdel account.*:: 授权权限设置@prompt #REM 授权配置echo [version] >rightscfg.infecho signature="$CHICAGO$" >>rightscfg.infecho [Privilege Rights] >>rightscfg.infREM 从远端系统强制关机只指派给Administrators组echo seremoteshutdownprivilege=Administrators >>rightscfg.infREM 关闭系统仅指派给Administrators组echo seshutdownprivilege=Administrators >>rightscfg.infREM 取得⽂件或其它对象的所有权仅指派给Administratorsecho setakeownershipprivilege=Administrators >>rightscfg.infREM 在本地登陆权限仅指派给Administratorsecho seinteractivelogonright=Administrators >> rightscfg.infsecedit /configure /db rightscfg.sdb /cfg rightscfg.inf /log rightscfg.log /quietdel rightscfg.*:: 认证安全@prompt #echo [version] >audit.infecho signature="$CHICAGO$" >>audit.infecho [Event Audit] >>audit.infREM 开启审核系统事件echo AuditSystemEvents=3 >>audit.infREM 开启审核对象访问echo AuditObjectAccess=3 >>audit.infREM 开启审核特权使⽤echo AuditPrivilegeUse=3 >>audit.infREM 开启审核策略更改echo AuditPolicyChange=3 >>audit.infREM 开启审核帐户管理echo AuditAccountManage=3 >>audit.infREM 开启审核过程跟踪echo AuditProcessTracking=2 >>audit.infREM 开启审核⽬录服务访问echo AuditDSAccess=3 >>audit.infREM 开启审核登陆事件echo AuditLogonEvents=3 >>audit.infREM 开启审核帐户登陆事件echo AuditAccountLogon=3 >>audit.infecho AuditLog >>audit.infsecedit /configure /db audit.sdb /cfg audit.inf /log audit.log /quietdel audit.*:: 系统⽇志@prompt #echo [version] >logcfg.infecho signature="$CHICAGO$" >>logcfg.infREM 设置系统⽇志echo [System Log] >>logcfg.infREM 设置系统⽇志⽂件最⼤8192KBecho MaximumLogSize=8192 >>logcfg.infREM 设置当达到最⼤的⽇志尺⼨时按需要改写事件echo AuditLogRetentionPeriod=0 >>logcfg.infREM 设置限制GUEST访问应⽤⽇志echo RestrictGuestAccess=1 >>logcfg.infREM 设置安全⽇志echo [Security Log] >>logcfg.infREM 设置安全⽇志⽂件最⼤8192KBecho MaximumLogSize=8192 >>logcfg.infREM 设置当达到最⼤的⽇志尺⼨时按需要改写事件echo AuditLogRetentionPeriod=0 >>logcfg.infREM 设置限制GUEST访问安全⽇志echo RestrictGuestAccess=1 >>logcfg.infecho [Application Log] >>logcfg.inf REM 设置应⽤程序⽇志REM 设置应⽤程序⽇志⽂件最⼤8192KBecho MaximumLogSize=8192 >>logcfg.infREM 设置当达到最⼤的⽇志尺⼨时按需要改写事件echo AuditLogRetentionPeriod=0 >>logcfg.infREM 设置限制GUEST访问应⽤程序⽇志echo RestrictGuestAccess=1 >>logcfg.infsecedit /configure /db logcfg.sdb /cfg logcfg.inf /log logcfg.logdel logcfg.*REM 关闭⾃动播放reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers" /v DisableAutoplay /t REG_DWORD /d 1 /freg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoDriveTypeAutoRun /t REG_DWORD /d 255 /f@Rem 启⽤“不显⽰最后⽤户名”策略echo **** 配置登录屏幕上不要显⽰上次登录的⽤户名reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v DontDisplayLastUserName /t REG_DWORD /d 1 /f :: 删除默认共享，请⾃⾏增删盘符@prompt #REM 删除当前默认共享net share c$ /deletenet share admin$ /deletesc stop browsersc stop dfssc stop lanmanserversc config browser start= demandsc config dfs start= demandsc config lanmanserver start= demandREM 修改共享的注册表@echo Windows Registry Editor Version 5.00>>share.reg@echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]>>share.reg@echo "AutoShareWks"=dword:0>>share.reg@echo "AutoShareServer"=dword:0>>share.reg@regedit /s share.reg@del share.regREM 限制IPC共享(禁⽌SAM帐户和共享的匿名枚举)@echo Windows Registry Editor Version 5.00>>ipc.reg@echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]>>ipc.reg@echo "RestrictAnonymous"=dword:1>>ipc.reg@echo "restrictanonymoussam"=dword:1>>ipc.reg@regedit /s ipc.reg@del ipc.reg@Rem 启⽤并正确配置WSUS（⾃定义WSUS地址）echo **** 启⽤并正确配置WSUS（⾃动下载并通知安装）::--启⽤策略组“配置⾃动更新”reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" /v AUOptions /t REG_DWORD /d 3 /freg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" /v NoAutoUpdate /t REG_DWORD /d 0 /freg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" /v ScheduledInstallDay /t REG_DWORD /d 0 /freg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" /v ScheduledInstallTime /t REG_DWORD /d 3 /f::--启⽤策略组（指定Intranet Microsoft更新服务位置）reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" /v UseWUServer /t REG_DWORD /d 1 /freg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v WUServer /t REG_SZ /d http://10.10.100.10 /freg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v WUStatusServer /t REG_SZ /d http://10.10.100.10 /f@Rem 只允许运⾏带⽹络级⾝份验证的远程桌⾯的计算机连接reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /freg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v UserAuthentication /t REG_DWORD /d 1 /f@Rem 启⽤windows防⽕墙netsh advfirewall set allprofiles state onreg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile" /v EnableFirewall /t REG_DWORD /d 1 /freg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\PublicProfile" /v EnableFirewall /t REG_DWORD /d 1 /f@Rem 防⽕墙⼊站规则启⽤“回显请求-ICMPv4-In”和“远程桌⾯服务”reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules" /v FPS-ICMP4-ERQ-In /t REG_SZ /d "v2.10|Action=Allow|Active=TRUE|Dir=In|Protocol=1|ICMP4=8:*|Name=@Fi reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules" /v RemoteDesktop-In-TCP /t REG_SZ /d "v2.10|Action=Allow|Active=TRUE|Dir=In|Protocol=6|LPort=3389|App=Sy reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules" /v RemoteDesktop-UserMode-In-TCP /t REG_SZ /d "v2.10|Action=Allow|Active=TRUE|Dir=In|Protocol=6|LPort=33::-------------上⾯为原基线配置END::-------------下⾯是新增部分REM 禁⽤匿名访问命名管道和共享@echo Windows Registry Editor Version 5.00>>nss.reg@echo [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanManServer\Parameters]>>nss.reg@echo "NullSessionShares"=->>nss.reg@regedit /s nss.reg@del nss.regreg add "HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanManServer\Parameters" /v NullSessionShares /t REG_MULTI_SZ /d "" /fREM 禁⽤可远程访问的注册表路径和⼦路径@echo Windows Registry Editor Version 5.00>>aep.reg@echo [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurePipeServers\Winreg\AllowedExactPaths]>>aep.reg@echo "Machine"=->>aep.reg@echo [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurePipeServers\Winreg\AllowedPaths]>>aep.reg@echo "Machine"=->>aep.reg@regedit /s aep.reg@del aep.regreg add "HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurePipeServers\Winreg\AllowedExactPaths" /v Machine /t REG_MULTI_SZ /d "" /freg add "HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurePipeServers\Winreg\AllowedPaths" /v Machine /t REG_MULTI_SZ /d "" /fREM 源路由欺骗保护@echo Windows Registry Editor Version 5.00>>route.reg@echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip\Parameters]>>route.reg@echo "DisableIPSourceRouting"=dword:2>>route.reg@regedit /s route.reg@del route.regREM 碎⽚攻击保护@echo Windows Registry Editor Version 5.00>>sp.reg@echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip\Parameters]>>sp.reg@echo "EnablePMTUDiscovery"=dword:1>>sp.reg@regedit /s sp.reg@del sp.regREM 防syn洪⽔攻击@prompt #@echo Windows Registry Editor Version 5.00>>SynAttack.reg@echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services]>>SynAttack.reg@echo "SynAttackProtect"=dword:2>>SynAttack.reg@echo "TcpMaxPortsExhausted"=dword:5>>SynAttack.reg@echo "TcpMaxHalfOpen"=dword:500>>SynAttack.reg@echo "TcpMaxHalfOpenRetried"=dword:400>>SynAttack.reg@REM DDOS@echo "EnableICMPRedirect"=dword:0>>SynAttack.reg@regedit /s SynAttack.reg@del SynAttack.regecho ">>更改完成任意键退出"pause将上述代码复制到xxx.bat⽂件运⾏即可。