组策略设置系列篇之“安全选项”(页)

《组策略设置系列篇之“安全选项”(页)》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、组策略设置系列篇之“安全选项”-1设置，选项组策略的“安全选项”部分启用或禁用数字数据签名、Administrator和Guest帐户名、软盘驱动器和CD-ROM驱动器的访问、驱动程序安装操作和登录提示的计算机安全设置。安全选项设置您可以在组策略对彖编辑器的下列位置配置安全选项设置：计算机配置Windows设置安全设置本地策略安全选项帐户：管理员帐户状态此策略设置启用或禁用Administrator帐户的正常操作条件。如果以安全模式启动计算机，Administrator帐户总是处于启用状态，而与如何配置此策略设置无关。“帐户：管理员

2、帐户状态”设置的可能值为汀已启用已禁用没有定义漏洞:在某些组织屮，维持定期更改木地帐户的密码这项常规计划可能会是很人的管理挑战。因此，您可能需要禁用内置的Administrator帐户，而不是依赖常规密码更改来保护其免受攻击。需耍禁用此内置帐户的另一个原因就是，无论经过多少次登录失败它都不会被锁定，这使得它成为强力攻击(尝试猜测密码)的主要目标。另外，此帐户还有一个众所周知的安全标识符(SID),而且第三方工具允许使用SID而非帐户名来进行身份验证。此功能意味着，即使您重命名Administrator帐户，攻击者也可能使用该SID登录来发

3、起强力攻击。对策：将“帐户：管理员帐户状态”设置配置为“已禁用”，以便在止常的系统启动屮不能再使用内置的Administrator帐户。潜在影响：如果禁川Administrator帐户，在某些情况卜能会造成维护问题。例如，在域环境中，如果成员计算机和域控制辭间的安全通道因任何原因而失败，而且没有其他木地Administrator帐户，则您必须以安全模式重新启动才能修复这个中断安全通道的问题。如果当前的Administrator密码不满足密码耍求，则Administrator帐户被禁用乙后，无法重新启用。如果出现这种情况，Administr

4、ators组的另一个成员必须使用"本地用八和组”工具來为该Administrator帐户设置密码。帐户：來宾帐八状态此策略设置确定是启用还是禁用来宾帐户。“帐户：来宾帐户状态”设置的可能值为：•已启用已禁用没有定义漏洞：默认Guest帐户允许未经身份验证的网络用户以没有密码的Guest身份登录。这些未经授权的川户能够通过网络访问Guest帐户可访问的任何资源。此功能意味着任何具有允许Guest帐户、Guests组或Everyone组进行访问的权限的网络共厚资源，都可以通过网络对其进行访问，这可能导致数据暴露或损坏。对策：将“帐户：来宾帐户

5、状态”设置配置为“已禁用”，以便内置的Guest帐户不再可用。潜在影响：所有的网络用户都将必须先进行身份验证，才能访问共亨资源。如果禁用Guest帐户，并且“网络访问：共享和安全模式”选项设置为“仅来宾”，则那些由Microsoft网络服务器（SMB服务）执行的网络背录将失败。对于大多数组织來说，此策略设置的影响应该会很小，因为它是MicrosoftWindows®2000WindowsXP和WindowsSei-ver™2003屮的默认设置。帐户：使用空白密码的本地帐户只允许进行控制台登录此策略设置确定是否允许使用空白密码的本地帐户通过

6、网络服务（如终端服务、Telnet和文件传输协议（FTP））进行远程交互式登录。如果启川此策略设置，则本地帐户必须冇一个非空密码，才能从远程客户端执行交互式或网络登录。“帐户：使用空白密码的本地帐户只允许进行控制台登录”设置的可能值为：■已启用已禁用没有定义注意：此策略设置不影响在控制台上以物理方式执行的交互式背录，也不影响使用域帐户的登录。警告：使用远程交互式登录的第三方应用程序有可能跳过此策略设置。漏洞：空白密码会对计算机安全造成严重威胁，应当通过组织的策略和适当的技术措施来禁止。实际上，WindowsServer2003Active

7、Directory®冃录服务域的默认设置需要金少包含七个字符的复杂密码。但是，如果能够创建新帐户的用户跳过基于域的密码策略，则他们可以创建貝有空口密码的帐八。例如，某个用户可以构建一个独立的计算机，创建一个或多个具冇空白密码的帐户，然后将该计算机加入到域中。具冇空白密码的木地帐户仍将止常工作。任何人如果知道其中一个未受保护的帐户的名称，都可以用它来登录。对策：启用“帐户：使用空白密码的本地帐八只允许进行控制台背录”设置。潜在彫响：无。这是默认配置。帐户：重命名系统管理员帐八此策略设置确定另一个帐户名是否与Administrator帐户的S

8、ID相关联。“帐八：重命名系统管理员帐八”设置的可能值为：用户定义的文木没有定义漏洞：Administrator帐户存在于运行Windows2000WindowsServer2003或Wind