Windows终端安全配置手册

目 录1 用户账号策略11.1 修改缺省帐户名称11.2 禁用其他用户21.3 账号锁定策略32 用户密码策略63 屏幕保护锁屏84 审核策略105 用户权利分配135.1 从远端系统强制关机135.2 关闭系统145.3 取得文件或其它对象的所有权156 关闭系统默认共享157 关闭自动播放178 关闭不必要的服务198.1 关闭不必要的windows系统服务198.2 关闭其他软件安装的不必要服务219 补丁更新2210 防病毒软件2311 终端监控软件2512 卸载不必要软件2813 配置合规检查291 用户账号策略1.1 修改缺省帐户名称按住“win”键+“R”键，打开“运行”窗口，输入lusrmgr.msc，点击“确定”。第 29 页选择-“用户”-右击“Administrator”账号-选择“重命名”。1.2 禁用其他用户选择-“用户”-右击“guest”账号-“属性”-“常规”-勾取“账号已禁用”。点击“确定”后，在guest账号上会出现一个向下的箭头号，表明操作成功。(禁止其他不用的账户，可按此方法操作)1.3 账号锁定策略按住“Win”键+“R”键，打开“运行”窗口，输入“gpedit.msc”，打开“组策略”窗口。在“组策略”窗口中，选择“计算机配置”-“Windows设置”-“安全设置”-“账户策略”-“账户锁定策略”，进入“账户锁定策略”窗口。在此窗口中，双击“帐户锁定阈值”，设置错误密码输入次数后点击“确定”，同时会弹出提醒，点击确定。同样在“账户锁定策略”窗口，双击“账户锁定时间”，设置锁定时间后，点击“确定”。备注：锁定策略对administrator这个内置账户无效。2 用户密码策略按住“Win”键+“R”键，打开“运行”窗口，输入gpedit.msc后回车。依次找到“计算机配置”-Windows设置”-“安全设置”-“账户策略”-“密码策略”，将其中进行如下图所示的修改。3 屏幕保护锁屏右击桌面空白处，选择“个性化”。选择“屏幕保护程序”。设置屏幕保护等待分钟数，建议设置为“5”分钟，并勾选“在恢复时显示登录屏幕”，点击“应用”后，单击“确定”完成。4 审核策略按住“Win”键+“R”键，打开“运行”窗口，输入gpedit.msc后回车。依次找到“计算机配置”-“Windows设置”-安全设置”-“本地策略”-“审核策略”。如双击“审核账户登录事件”，勾取“成功”和“失败”，之后确定。推荐要审核的项目如下：审核策略更改：成功，失败。审核登录事件：成功，失败。审核对象访问：失败。审核对象追踪：成功，失败。审核目录服务访问：失败。审核特权使用：失败。审核系统事件：成功，失败。审核账户登录事件：成功，失败。审核账户管理：成功，失败。5 用户权利分配5.1 从远端系统强制关机按住“Win”键+“R”键，打开“运行”窗口，输入gpedit.msc后回车。依次找到“计算机配置”-“Windows设置”-“安全设置”-“本地策略”-“用户权限分配”，查看是否“从远端系统强制关机”设置为“只指派给Administrators组”。5.2 关闭系统查看是否“关闭系统”设置为“只指派给Administrators组”。5.3 取得文件或其它对象的所有权查看是否“取得文件或其它对象的所有权”设置为“只指派给Administrators组”。6 关闭系统默认共享按住”Win”键+”R”键，打开“运行”窗口，输入regedit后回车。HKLMSystemCurrentControlSetServicesLanmanServerParameters下，增加REG_DWORD类型的AutoShareServer 键，值为0，增加REG_DWORD类型的AutoShareWks 键，值为0。7 关闭自动播放按住”Win”键+”R”键，打开“运行”窗口，输入gpedit.msc后回车。打开“组策略”。在左窗格的“本地计算机策略”下，展开“计算机配置管理模板所有设置”，然后在右窗格的“设置”标题下，找到“关闭自动播放”，双击“关闭自动播放”，进入设置界面。选择“已启用”，下面的设置窗口选择“所有驱动器”。8 关闭不必要的服务8.1 关闭不必要的windows系统服务关闭windows系统服务里不必要且危险的服务，Remote Registry服务和Telnet服务(win7以后产品没有默认安装)。在XP或者win2003上关闭Telnet服务，参照下面关闭Remote Registry服务的方法。按住“Win”键+“R”键，打开“运行”窗口，输入services.msc后回车。找到“Remote Registry”服务，点击“停止”。右击“Remote Registry”服务属性，在“启动类型”处选择“禁止”，之后点击“应用”和“确定”。8.2 关闭其他软件安装的不必要服务按住“Win”键+“R”键，打开“运行”窗口，输入msconfig后回车。在“系统配置”窗口中选择“服务”-“隐藏所以Microsoft服务(H)”打钩，则显示所有非Microsoft服务，将不必要服务前面的钩去掉，点击“应用”和“确定”。在系统配置”窗口中选择“启动”，查看哪些服务是开机启动，将没必要的开机启动服务前面的钩去掉。9 补丁更新终端电脑同步补丁服务器10.201.102.9(深圳移动内网补丁服务器)，将wsus.reg文件双击导入注册表，wsus.reg内容如下：Windows Registry Editor Version 5.00HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftwindowsWindowsUpdateWUServer=http:/10.201.102.9WUStatusServer=http:/10.201.102.9HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftwindowsWindowsUpdateAUNoAutoUpdate=dword:00000000AUOptions=dword:00000003ScheduledInstallDay=dword:00000000ScheduledInstallTime=dword:00000000UseWUServer=dword:00000001NoAutoRebootWithLoggedOnUsers=dword:00000001导入成功后更新组策略，同步补丁，双击wsus.bat文件，wsus.bat文件内容如下：echo offgpupdate /forcewuauclt /detectnow10 防病毒软件终端电脑需安装防病毒软件，深圳移动网管网区域安装趋势防病毒软件，通过web页面的形式安装，URL如下：(注意请使用IE浏览器)https:/10.201.102.2/officescan/console/html/ClientInstall/第一次输入此URL可能会出现，如下情况：选择“工具”-”兼容性视图设置”。点击“添加”，将10.201.102.2添加到“已添加到兼容性视图中的网站(W)”，点击“关闭”。点击“立即安装”。11 终端监控软件接入深圳移动网管网区域的终端电脑需要安装启明星辰天珣内网安全风险管理与审计系统客户端软件，下载链接如下：http:/10.201.102.81:8833/Download/ClientSetup.exe下载好后，软件会自动启动安装，安装步骤如下：12 卸载不必要软件卸载不必要的软件，可减少系统被攻击的几率，进而提高系统的安全性。接入深圳移动网管网区域的终端电脑除杀毒软件、IE浏览器、天珣客户端软件、业务用到的软件外，其他的软件如QQ、迅雷等必须卸载，卸载软件方法如下：按住”Win”键+”R”键，打开“运行”窗口，输入appwiz.cpl后回车。13 配置合规检查深圳移动windows系统配置合规检查，请参照其内部资料文档合规管理平台使用指引-Windows终端.pptx，在“安全合规管理平台”上进行安全合规配置和弱口令检查，根据安全合规检查的要求，每台工作终端的配置合规率必须达到85%以上，并且杜绝弱口令。