建站
咨詢
售后
建站咨詢
新聞中心
安全策略自動(dòng)更新命令：GPUpdate /force (應(yīng)用組策略自動(dòng)生效不需重新啟動(dòng))
開(kāi)始菜單—>管理工具—>本地安全策略
A、本地策略——>審核策略
審核策略更改 成功 失敗
審核登錄事件 成功 失敗
審核對(duì)象訪問(wèn) 失敗
審核過(guò)程跟蹤 無(wú)審核
審核目錄服務(wù)訪問(wèn) 失敗
審核特權(quán)使用 失敗
審核系統(tǒng)事件 成功 失敗
審核賬戶登錄事件 成功 失敗
審核賬戶管理 成功 失敗
B、本地策略——>用戶權(quán)限分配
關(guān)閉系統(tǒng)：只有Administrators組、其它全部刪除。
通過(guò)終端服務(wù)拒絕登陸：加入Guests、User組
通過(guò)終端服務(wù)允許登陸：只加入Administrators組，其他全部刪除
C、本地策略——>安全選項(xiàng)
交互式登陸：不顯示上次的用戶名 啟用
網(wǎng)絡(luò)訪問(wèn)：不允許SAM帳戶和共享的匿名枚舉 啟用
網(wǎng)絡(luò)訪問(wèn)：不允許為網(wǎng)絡(luò)身份驗(yàn)證儲(chǔ)存憑證 啟用
網(wǎng)絡(luò)訪問(wèn)：可匿名訪問(wèn)的共享 全部刪除
網(wǎng)絡(luò)訪問(wèn)：可匿名訪問(wèn)的命 全部刪除
網(wǎng)絡(luò)訪問(wèn)：可遠(yuǎn)程訪問(wèn)的注冊(cè)表路徑 全部刪除
網(wǎng)絡(luò)訪問(wèn)：可遠(yuǎn)程訪問(wèn)的注冊(cè)表路徑和子路徑 全部刪除
帳戶：重命名來(lái)賓帳戶 重命名一個(gè)帳戶
帳戶：重命名系統(tǒng)管理員帳戶 重命名一個(gè)帳戶
| UI 中的設(shè)置名稱 | 企業(yè)客戶端臺(tái)式計(jì)算機(jī) | 企業(yè)客戶端便攜式計(jì)算機(jī) | 高安全級(jí)臺(tái)式計(jì)算機(jī) | 高安全級(jí)便攜式計(jì)算機(jī) |
|
帳戶: 使用空白密碼的本地帳戶只允許進(jìn)行控制臺(tái)登錄 |
已啟用 |
已啟用 |
已啟用 |
已啟用 |
|
帳戶: 重命名系統(tǒng)管理員帳戶 |
推薦 |
推薦 |
推薦 |
推薦 |
|
帳戶: 重命名來(lái)賓帳戶 |
推薦 |
推薦 |
推薦 |
推薦 |
|
設(shè)備: 允許不登錄移除 |
已禁用 |
已啟用 |
已禁用 |
已禁用 |
|
設(shè)備: 允許格式化和彈出可移動(dòng)媒體 |
Administrators, Interactive Users |
Administrators, Interactive Users |
Administrators |
Administrators |
|
設(shè)備: 防止用戶安裝打印機(jī)驅(qū)動(dòng)程序 |
已啟用 |
已禁用 |
已啟用 |
已禁用 |
|
設(shè)備: 只有本地登錄的用戶才能訪問(wèn) CD-ROM |
已禁用 |
已禁用 |
已啟用 |
已啟用 |
|
設(shè)備: 只有本地登錄的用戶才能訪問(wèn)軟盤(pán) |
已啟用 |
已啟用 |
已啟用 |
已啟用 |
|
設(shè)備: 未簽名驅(qū)動(dòng)程序的安裝操作 |
允許安裝但發(fā)出警告 |
允許安裝但發(fā)出警告 |
禁止安裝 |
禁止安裝 |
|
域成員: 需要強(qiáng) (Windows 2000 或以上版本) 會(huì)話密鑰 |
已啟用 |
已啟用 |
已啟用 |
已啟用 |
|
交互式登錄: 不顯示上次的用戶名 |
已啟用 |
已啟用 |
已啟用 |
已啟用 |
|
交互式登錄: 不需要按 CTRL+ALT+DEL |
已禁用 |
已禁用 |
已禁用 |
已禁用 |
|
交互式登錄: 用戶試圖登錄時(shí)消息文字 |
此系統(tǒng)限制為僅授權(quán)用戶。嘗試進(jìn)行未經(jīng)授權(quán)訪問(wèn)的個(gè)人將受到起訴。 |
此系統(tǒng)限制為僅授權(quán)用戶。嘗試進(jìn)行未經(jīng)授權(quán)訪問(wèn)的個(gè)人將受到起訴。 |
此系統(tǒng)限制為僅授權(quán)用戶。嘗試進(jìn)行未經(jīng)授權(quán)訪問(wèn)的個(gè)人將受到起訴。 |
此系統(tǒng)限制為僅授權(quán)用戶。嘗試進(jìn)行未經(jīng)授權(quán)訪問(wèn)的個(gè)人將受到起訴。 |
|
交互式登錄: 用戶試圖登錄時(shí)消息標(biāo)題 |
繼續(xù)在沒(méi)有適當(dāng)授權(quán)的情況下使用是違法行為。 |
繼續(xù)在沒(méi)有適當(dāng)授權(quán)的情況下使用是違法行為。 |
繼續(xù)在沒(méi)有適當(dāng)授權(quán)的情況下使用是違法行為。 |
繼續(xù)在沒(méi)有適當(dāng)授權(quán)的情況下使用是違法行為。 |
|
交互式登錄: 可被緩存的前次登錄個(gè)數(shù) (在域控制器不可用的情況下) |
2 |
2 |
0 |
1 |
|
交互式登錄: 在密碼到期前提示用戶更改密碼 |
14 天 |
14 天 |
14 天 |
14 天 |
|
交互式登錄: 要求域控制器身份驗(yàn)證以解鎖工作站 |
已禁用 |
已禁用 |
已啟用 |
已禁用 |
|
交互式登錄: 智能卡移除操作 |
鎖定工作站 |
鎖定工作站 |
鎖定工作站 |
鎖定工作站 |
|
Microsoft 網(wǎng)絡(luò)客戶: 數(shù)字簽名的通信（若服務(wù)器同意） |
已啟用 |
已啟用 |
已啟用 |
已啟用 |
|
Microsoft 網(wǎng)絡(luò)客戶: 發(fā)送未加密的密碼到第三方 SMB 服務(wù)器。 |
已禁用 |
已禁用 |
已禁用 |
已禁用 |
|
Microsoft 網(wǎng)絡(luò)服務(wù)器: 在掛起會(huì)話之前所需的空閑時(shí)間 |
15 分鐘 |
15 分鐘 |
15 分鐘 |
15 分鐘 |
|
Microsoft 網(wǎng)絡(luò)服務(wù)器: 數(shù)字簽名的通信（總是） |
已啟用 |
已啟用 |
已啟用 |
已啟用 |
|
Microsoft 網(wǎng)絡(luò)服務(wù)器: 數(shù)字簽名的通信（若客戶同意） |
已啟用 |
已啟用 |
已啟用 |
已啟用 |
|
Microsoft 網(wǎng)絡(luò)服務(wù)器: 當(dāng)?shù)卿洉r(shí)間用完時(shí)自動(dòng)注銷用戶 |
已啟用 |
已禁用 |
已啟用 |
已禁用 |
|
網(wǎng)絡(luò)訪問(wèn): 允許匿名 SID/名稱 轉(zhuǎn)換 |
已禁用 |
已禁用 |
已禁用 |
已禁用 |
|
網(wǎng)絡(luò)訪問(wèn): 不允許 SAM 帳戶和共享的匿名枚舉 |
已啟用 |
已啟用 |
已啟用 |
已啟用 |
|
網(wǎng)絡(luò)訪問(wèn): 不允許 SAM 帳戶和共享的匿名枚舉 |
已啟用 |
已啟用 |
已啟用 |
已啟用 |
|
網(wǎng)絡(luò)訪問(wèn): 不允許為網(wǎng)絡(luò)身份驗(yàn)證儲(chǔ)存憑據(jù)或 .NET Passports |
已啟用 |
已啟用 |
已啟用 |
已啟用 |
|
網(wǎng)絡(luò)訪問(wèn): 限制匿名訪問(wèn)命名管道和共享 |
已啟用 |
已啟用 |
已啟用 |
已啟用 |
|
網(wǎng)絡(luò)訪問(wèn): 本地帳戶的共享和安全模式 |
經(jīng)典 - 本地用戶以自己的身份驗(yàn)證 |
經(jīng)典 - 本地用戶以自己的身份驗(yàn)證 |
經(jīng)典 - 本地用戶以自己的身份驗(yàn)證 |
經(jīng)典 - 本地用戶以自己的身份驗(yàn)證 |
|
網(wǎng)絡(luò)安全: 不要在下次更改密碼時(shí)存儲(chǔ) LAN Manager 的哈希值 |
已啟用 |
已啟用 |
已啟用 |
已啟用 |
|
網(wǎng)絡(luò)安全: 在超過(guò)登錄時(shí)間后強(qiáng)制注銷 |
已啟用 |
已禁用 |
已啟用 |
已禁用 |
|
網(wǎng)絡(luò)安全: LAN Manager 身份驗(yàn)證級(jí)別 |
僅發(fā)送 NTLMv2 響應(yīng) |
僅發(fā)送 NTLMv2 響應(yīng) |
僅發(fā)送 NTLMv2 響應(yīng)\拒絕 LM & NTLM |
僅發(fā)送 NTLMv2 響應(yīng)\拒絕 LM & NTLM |
|
網(wǎng)絡(luò)安全: 基于 NTLM SSP（包括安全 RPC）客戶的最小會(huì)話安全 |
沒(méi)有最小 |
沒(méi)有最小 |
要求 NTLMv2 會(huì)話安全 要求 128-位加密 |
要求 NTLMv2 會(huì)話安全 要求 128-位加密 |
|
網(wǎng)絡(luò)安全: 基于 NTLM SSP(包括安全 RPC)服務(wù)器的最小會(huì)話安全 |
沒(méi)有最小 |
沒(méi)有最小 |
要求 NTLMv2 會(huì)話安全 要求 128-位加密 |
要求 NTLMv2 會(huì)話安全 要求 128-位加密 |
|
故障恢復(fù)控制臺(tái): 允許自動(dòng)系統(tǒng)管理級(jí)登錄 |
已禁用 |
已禁用 |
已禁用 |
已禁用 |
|
故障恢復(fù)控制臺(tái): 允許對(duì)所有驅(qū)動(dòng)器和文件夾進(jìn)行軟盤(pán)復(fù)制和訪問(wèn) |
已啟用 |
已啟用 |
已禁用 |
已禁用 |
|
關(guān)機(jī): 允許在未登錄前關(guān)機(jī) |
已禁用 |
已禁用 |
已禁用 |
已禁用 |
|
關(guān)機(jī): 清理虛擬內(nèi)存頁(yè)面文件 |
已禁用 |
已禁用 |
已啟用 |
已啟用 |
|
系統(tǒng)加密: 使用 FIPS 兼容的算法來(lái)加密，哈希和簽名 |
已禁用 |
已禁用 |
已禁用 |
已禁用 |
|
系統(tǒng)對(duì)象: 由管理員 (Administrators) 組成員所創(chuàng)建的對(duì)象默認(rèn)所有者 |
對(duì)象創(chuàng)建者 |
對(duì)象創(chuàng)建者 |
對(duì)象創(chuàng)建者 |
對(duì)象創(chuàng)建者 |
|
系統(tǒng)設(shè)置: 為軟件限制策略對(duì) Windows 可執(zhí)行文件使用證書(shū)規(guī)則 |
已禁用 |
已禁用 |
已禁用 |
已禁用 |
一、加固系統(tǒng)賬戶
1.禁止枚舉賬號(hào)
我們知道，某些具有黑客行為的蠕蟲(chóng)病毒，可以通過(guò)掃描Windows 2000/XP系統(tǒng)的指定端口，然后通過(guò)共享會(huì)話猜測(cè)管理員系統(tǒng)口令。因此，我們需要通過(guò)在“本地安全策略”中設(shè)置禁止枚舉賬號(hào)，從而抵御此類入侵行為，操作步驟如下：
在“本地安全策略”左側(cè)列表的“安全設(shè)置”目錄樹(shù)中，逐層展開(kāi)“本地策略→安全選項(xiàng)”。查看右側(cè)的相關(guān)策略列表，在此找到“網(wǎng)絡(luò)訪問(wèn)：不允許SAM賬戶和共享的匿名枚舉”，用鼠標(biāo)右鍵單擊，在彈出菜單中選擇“屬性”，而后會(huì)彈出一個(gè)對(duì)話框，在此激活“已啟用”選項(xiàng)，最后點(diǎn)擊“應(yīng)用”按鈕使設(shè)置生效。
2.賬戶管理
為了防止入侵者利用漏洞登錄機(jī)器，我們要在此設(shè)置重命名系統(tǒng)管理員賬戶名稱及禁用來(lái)賓賬戶。設(shè)置方法為：在“本地策略→安全選項(xiàng)”分支中，找到“賬戶：來(lái)賓賬戶狀態(tài)”策略，點(diǎn)右鍵彈出菜單中選擇“屬性”，而后在彈出的屬性對(duì)話框中設(shè)置其狀態(tài)為“已停用”，最后“確定”退出。
二、加強(qiáng)密碼安全
在“安全設(shè)置”中，先定位于“賬戶策略→密碼策略”，在其右側(cè)設(shè)置視圖中，可酌情進(jìn)行相應(yīng)的設(shè)置，以使我們的系統(tǒng)密碼相對(duì)安全，不易破解。如防破解的一個(gè)重要手段就是定期更新密碼，大家可據(jù)此進(jìn)行如下設(shè)置：鼠標(biāo)右鍵單擊“密碼最長(zhǎng)存留期”，在彈出菜單中選擇“屬性”，在彈出的對(duì)話框中，大家可自定義一個(gè)密碼設(shè)置后能夠使用的時(shí)間長(zhǎng)短(限定于1至999之間)。
此外，通過(guò)“本地安全設(shè)置”，還可以進(jìn)行通過(guò)設(shè)置“審核對(duì)象訪問(wèn)”，跟蹤用于訪問(wèn)文件或其他對(duì)象的用戶賬戶、登錄嘗試、系統(tǒng)關(guān)閉或重新啟動(dòng)以及類似的事件。諸如此類的安全設(shè)置，不一而足。大家在實(shí)際應(yīng)用中會(huì)逐漸發(fā)覺(jué)“本地安全設(shè)置”的確是一個(gè)不可或缺的系統(tǒng)安全工具
本文名稱：服務(wù)器安全設(shè)置之-本地安全策略設(shè)置
網(wǎng)站路徑：http://m.fisionsoft.com.cn/article/djosgpd.html
