Windows终端安全配置手册.doc

目 录 1 用户账号策略 1 1.1 修改缺省帐户名称 1 1.2 禁用其他用户 2 1.3 账号锁定策略 3 2 用户密码策略 6 3 屏幕保护锁屏 8 4 审核策略 10 5 用户权利分配 13 5.1 从远端系统强制关机 13 5.2 关闭系统 14 5.3 取得文件或其它对象的所有权 15 6 关闭系统默认共享 15 7 关闭自动播放 17 8 关闭不必要的服务 19 8.1 关闭不必要的windows系统服务 19 8.2 关闭其他软件安装的不必要服务 21 9 补丁更新 22 10 防病毒软件 23 11 终端监控软件 25 12 卸载不必要软件 28 13 配置合规检查 29  用户账号策略 修改缺省帐户名称 按住“win”键+“R”键，打开“运行”窗口，输入lusrmgr.msc，点击“确定”。 选择-“用户”-右击“Administrator”账号-选择“重命名”。 禁用其他用户 选择-“用户”-右击“guest”账号-“属性”-“常规”-勾取“账号已禁用”。 点击“确定”后，在guest账号上会出现一个向下的箭头号，表明操作成功。(禁止其他不用的账户，可按此方法操作) 账号锁定策略 按住“Win”键+“R”键，打开“运行”窗口，输入“gpedit.msc”，打开“组策略”窗口。 在“组策略”窗口中，选择“计算机配置”-“Windows设置”-“安全设置”-“账户策略”-“账户锁定策略”，进入“账户锁定策略”窗口。 在此窗口中，双击“帐户锁定阈值”，设置错误密码输入次数后点击“确定”，同时会弹出提醒，点击确定。 同样在“账户锁定策略”窗口，双击“账户锁定时间”，设置锁定时间后，点击“确定”。 备注：锁定策略对administrator这个内置账户无效。 用户密码策略 按住“Win”键+“R”键，打开“运行”窗口，输入gpedit.msc后回车。 依次找到“计算机配置”-Windows设置”-“安全设置”-“账户策略”-“密码策略”，将其中进行如下图所示的修改。 屏幕保护锁屏 右击桌面空白处，选择“个性化”。 选择“屏幕保护程序”。 设置屏幕保护等待分钟数，建议设置为“5”分钟，并勾选“在恢复时显示登录屏幕”，点击“应用”后，单击“确定”完成。 审核策略 按住“Win”键+“R”键，打开“运行”窗口，输入gpedit.msc后回车。 依次找到“计算机配置”-“Windows设置”-安全设置”-“本地策略”-“审核策略”。 如双击“审核账户登录事件”，勾取“成功”和“失败”，之后确定。 推荐要审核的项目如下： 审核策略更改：成功，失败。 审核登录事件：成功，失败。 审核对象访问：失败。 审核对象追踪：成功，失败。 审核目录服务访问：失败。 审核特权使用：失败。 审核系统事件：成功，失败。 审核账户登录事件：成功，失败。 审核账户管理：成功，失败。 用户权利分配 从远端系统强制关机 按住“Win”键+“R”键，打开“运行”窗口，输入gpedit.msc后回车。 依次找到“计算机配置”-“Windows设置”-“安全设置”-“本地策略”-“用户权限分配”，查看是否“从远端系统强制关机”设置为“只指派给Administrators组”。 关闭系统 查看是否“关闭系统”设置为“只指派给Administrators组”。 取得文件或其它对象的所有权 查看是否“取得文件或其它对象的所有权”设置为“只指派给Administrators组”。 关闭系统默认共享 按住”Win”键+”R”键，打开“运行”窗口，输入regedit后回车。 HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters\下，增加REG_DWORD类型的AutoShareServer 键，值为0，增加REG_DWORD类型的AutoShareWks 键，值为0。 关闭自动播放 按住”Win”键+”R”键，打开“运行”窗口，输入gpedit.msc后回车。 打开“组策略”。 在左窗格的“本地计算机策略”下，展开“计算机配置→管理模板→所有设置”，然后在右窗格的“设置”标题下，找到“关闭自动播放”，双击“关闭自动播放”，进入设置界面。 选择“已启用”，下面的设置窗口选择“所有驱动器”。 关闭不必要的服务 关闭不必要的windows系统服务 关闭windows系统服务里不必要且危险的服务，Remote Registry服务和Telnet服务(win7以后产品没有默认安装)。在XP或者win2003上关闭Telnet服务，参照下面关闭Remote Registry服