windowsserver安全配置标准v10

《windowsserver安全配置标准v10》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、WindowsServer安全配置标准文档信息项目名称：文档编号：DCB1-IT-P0L-07文件名称：Windowsserver安全配置标准签发予：文档状态：审阅稿文档版本：V1.0版本日期：2011-09-30撰弓者：刘悸平撰弓日期：2010-09-30审核者：柳杨审核日期：2010-10-14签字日期批准:签字日期文档编号：DCB1-IT-POL07DaChanBayTerminals大铲育码头（一期）版本记录版本号日期修改人描述IVI.02011-09-30Yipingliu初稿文档编号：DCB1-IT-POL07DaChanBayTerminals大铲育码头（一期）目录1

2、.摘要41.目的4适用范围4组策略管理52.1.组策略的重要性52.2.组策略的实施53.账号控制73.1.密码策略73.2.复杂性要求73.3.账户锁定策略73.4.内置账户安全74.安全选项策略85.注册表安全配置105.1.针对网络攻击的注册表安全配置105.2.禁用文件名的自动生成105.3.禁用Lmhash创建105.4.配置NTLMSSP安全115.5.禁用白动运行功能116.补丁管理126.1•确定修补程序当前版本状态126.2.部署修补程序127.文件/目录控制137.1.目录保护137.2.文件保护138.系统审计日志179.服务管理189.1.成员服务器189.

3、2.域控制器1910.其它配置安全21确保所有的磁盘卷使用NTFS文件系统21系统启动设置21屏保21文档编号：DCB1-IT-POL07摘要1.1.目的通过定义安全配置基准线，规范DCB1Windows平台服务器的安全性配置，并为服务器运维人员捉供相应的指导；降低系统存在的安全风险，确保服务器的稳定运行。1.2.适用范围本标准适用于DCB1所有运行MicrosoFlWindowsServer2003平台的服务器设备。文档编号：DCB1-IT-POL07组策略管理2.1.组策略的重要性组策略为DCB1域中的所有工作站和服务器提供安全配置基准。并将组策略配置0U结构一起使用，为特定服

4、务器角色定义特定的安全设置。通过使用组策略来实现安全设置，可以确保对某一策略进行的更改可以将其应用到使用该策略的所有服务器上，并且新的服务器将自动获取新的设置。2・2•组策略的实施A.选择域控制器DC01实施组策略，并将工作站加入域DCBEB.启动“ActiveDirectory用户和计算机”，在根目录右击，在“属性”项中打开“组策略”选项卡。C.启动“ActiveDirectory用户和计算机”，在根域中右击选择新建“组织单位”。文档编号：DCB1-IT-POL07DaChanBayTerminals大铲育码头（一期）D.设置组策略应用到选定的组织单位。具体设置在木标准的相应章节

5、中详细说明。文档编号：DCB1-IT-POL07账号控制3・1•密码策略默认情况下，将对域中的所有服务器强制执行一个标准密码策略。设置如下表所示。策略配置值强制执行密码历史记录记住1个密码密码最长期限90天密码最短期限0夭最短密码长度6个字符密码必须符合复杂性要求启用为域中所有用户使用可还原的加密来储存密码启用3・2•复杂性要求密码必须为6个字符以上（但我们建议您将此值设置为8个字符）。它还要求密码中必须包含下面类别中至少三个类别的字符：英语大写字母A,B,C,...Z英语小写字母a,b,c,...z西方阿拉伯数字0,1,2,...9非字母数字字符，如标点符号3・3•账户锁定策略账

6、户锁定策略有助于防止因密码泄露而引发的安全危机，以下为锁定策略的配置。策略配置值1账户锁定时间30分钟账户锁定阈值5次无效登录复位账户锁定讣数器30分钟用户被赋予唯一的用户名、用户ID（UID）和口令。3・4•内置账户安全Windows有几个内置的用户账户，它们不可删除，但可以重命名。禁用Guest（來宾）账户，重命名管理员账户。文档编号：DCB1-IT-POL07DaChanBayTerminals大铲育码头（一期）安全选项策略为实现连接的安全性及资源的有效利用，对安全选项做以下配置:选项设置对匿名连接的附加限制没有显式若名权限就无法访问允许服务器操作员计划任务（仅用于域控制器）

7、禁用允许在未登录前系统关机禁用允许弹出可移动NTFS媒体管理员在断开会话之前所需的空闲时间15分钟对全局系统对彖的访问进行审计禁用对备份和还原权限的使用进行审计禁用登录时间过期就自动注销用户未定义当登录时间过期就B动注销用户（本地）启用在系统关机时清除虚拟内存页而交换文件启用对客户端通讯使用数字签名（始终）启用对客戸端通讯使用数字签名（如果可能）启用对服务器通讯使用数字签名（始终）启用对服务器通讯进行数字签名（如果可能）启用禁用按CTRL+ALT+DEL进行登录的设置