《我国石化windows服务器系统安全配置指南》

《《我国石化windows服务器系统安全配置指南》》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、WORD格式编辑整理中国石化Windows服务器系统安全配置指南V1.12007年05月16日专业知识分享-2-WORD格式编辑整理目录1概述-3-1.1适用范围-3-1.2实施-3-1.3例外条款-3-1.4检查和维护-3-2适用版本-4-3用户账号控制-4-3.1密码策略-4-3.2复杂性要求-4-3.3账户锁定策略-5-3.4内置默认账户安全-5-3.5安全选项策略-6-4注册表安全配置-8-4.1注册表访问授权-8-4.2禁止匿名访问注册表-9-4.3针对网络攻击的安全考虑事项-9-4.4禁用8.3格式文件

2、名的自动生成-10-4.5禁用Lmhash创建-10-4.6配置NTLMSSP安全-11-4.7禁用自动运行功能-11-4.8附加的注册表安全配置-11-5服务管理-12-5.1成员服务器-12-5.2域控制器-13-6文件/目录控制-14-6.1目录保护-14-6.2文件保护-15-7服务器操作系统补丁管理-19-7.1确定修补程序当前版本状态-19-7.2部署修补程序-19-8系统审计日志-19-9其它配置安全-20-9.1确保所有的磁盘卷使用NTFS文件系统-20-9.2系统启动设置-20-9.3屏幕保护设置

3、-21-9.4远程管理访问要求-21-专业知识分享-2-WORD格式编辑整理1概述本规范规定了中国石化范围内安装有Windows操作系统的主机应当遵循的操作系统安全性设置标准，旨在指导系统管理人员进行Windows操作系统的安全配置。1.1适用范围本规范适用于中国石油化工股份有限公司范围内运行的Windows2000Server,Windows2003服务器系统。集团公司及集团公司所属部门和单位参照本规范执行。1.2实施本规范由中国石化股份公司信息系统管理部统一解释。本规范自正式发布之日起执行。1.3例外条款欲申请

4、本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国石化信息系统管理部进行审批备案。1.4检查和维护根据中国石化经营活动的需要，每年检查和评估本标准，并做出适当更新。如果在突发事件处理过程中，发现需对本标准进行变更，也需要进行本标准的维护。本标准的变更草案由中国石化信息系统管理部负责进行审核批准。专业知识分享-21-WORD格式编辑整理1适用版本Windows2000Server，Windows2003。2用户账号控制基本策略：用户被赋予唯一的用户名、用户ID（UID）。2.1密码策略默认情况

5、下，将对域中的所有服务器强制执行一个标准密码策略。下表列出了一个标准密码策略的设置以及要求的最低设置。策略默认设置要求最低设置强制执行密码历史记录记住1个密码记住5个密码密码最长期限42天42天密码最短期限0天0天最短密码长度0个字符8个字符密码必须符合复杂性要求禁用启用为域中所有用户使用可还原的加密来储存密码禁用禁用2.2复杂性要求当组策略的“密码必须符合复杂性要求”设置启用后，要求密码最短设置为8个字符长。建议密码中必须包含下面类别中至少三个类别的字符：n英语大写字母A,B,C,…Zn英语小写字母a,b,c,…

6、zn西方阿拉伯数字0,1,2,…9n非字母数字字符，如标点符号2.3账户锁定策略有效的账户锁定策略有助于防止账户的密码被破解。下表列出了默认账户专业知识分享-21-WORD格式编辑整理锁定策略的设置以及要求的最低设置。策略默认设置要求最低设置账户锁定时间未定义30分钟账户锁定阈值05次无效登录复位账户锁定计数器未定义30分钟1.1内置默认账户安全对Windows不可删除的内置用户账户，应通过禁用、重命名或设置相关权限的方式来保证系统的安全性。帐户名建议安全配置策略适用系统Administrator1.此帐户必须在安

7、装后立即重命名并修改相关密码；2.对于系统管理员建议建立一个相关拥有Administrator组权限的新用户，平时使用此帐户登陆，只有在有特殊需要时才使用重命名后的Administrator进行系统登陆。Windows2000ServerWindowsServer2003Guest帐户必须禁用；如有特殊需要保留也一定要重命名。Windows2000ServerWindowsServer2003TSInternetUser此帐户是为了“TerminalServices’InternetConnectorLicense

8、”使用而存在的，故帐户必须禁用，不会对于正常的TerminalServices的功能有影响。Windows2000ServerWindowsServer2003SUPPORT_388945a0此帐户是为了IT帮助和支持服务，此帐户必须禁用。WindowsServer2003IUSR_{system}必须只能是Guest组的成员。此帐户为IIS（Interne