设置安全策略+步骤

Document serial number【UU89WT-UU98YT-UU8CB-UUUT-UUT108】

实验七设置安全策略实验背景

某公司所有员工的初始密码为benet2!。管理员担心公司员工更改的密码过于简单，容易被扫描软件扫描扫到，同时管理员担心用户长久不更改密码影响安全性。对于公司域控制器，管理员需要验证都有谁在什么时候登录。有人反应公司的文件服务器上的资料有丢失现象，管理员需要查找是否有人有意的删除文件。由于域用户帐号一旦登录域内成员主机成功，访问文件服务器不在需要做身份验证，为了放置有人恶意尝试用户密码，公司要求所有员工有三次输入密码机会，三次输入错误自动锁定帐号。试行一段时间后很多人帐号经常锁定，不得不频繁找管理员，管理员需设定用户帐号的30分钟自动解锁。

公司有人反应访问加入域后，用域用户帐号登录后不能自动关机，公司要求所有员工下班必须关机离开，管理员解决这个问题。

有部分输入domain users组的员工需要登录域控制器，可这些员工反应他们无法登录域控制器，管理员解决这个问题

文件服务器公司要求所有员工可以网络访问，但不可以对文件服务器本地登录，公司要求管理员完成，并对文件服务器做登录审核。

对于文件服务器，公司要求本地登录成功后需要提示：标题：重要警告，内容：服务器重地，请不要做任何删除和剪切。

实验目标

1 所有域用户帐号在设置密码时，必须符合复杂密码要求，密码长度至少7位，密码必须每60天更新一次

2 设置三次密码锁定，设置锁定复位时间30分钟。

3 为域控制器启动帐号的登录审核，对文件服务器启动对象审核

4 把域用户帐号加入关闭系统，保证可以下班关机

5 把域用户帐号加入本地登录安全策略

6 文件服务器上把所有的用户帐号加入拒绝网络访问，对文件服务器启动审核

7 对文件服务器设置登录提示

实验环境

1 一人一组

2 准备2台Windows Server 200

3 虚拟机（1台域控制器，1台成员主机）

实验步骤：

1 在域控制器上完成

以域管理员登录域控制器，设置域安全策略

gpupdate更新域安全策略

创建用户帐号test

重启成员主机，用test帐号登录

输入简单密码123

输入正确密码

2 在域控制器上以域管理员登录

更新域测试

重新启动成员主机，故意输入密码3次错误

输入正确密码，帐号已经被锁定

思考：test帐号即使用正确密码都没有办法登录，目前用什么方法可以让test 帐号马上登录成功。

在test帐号锁定的状态下，如果在另外一个域内的成员主机上用test登录，可以登录成功吗

3 域管理员在域控制器上设置域控制器安全策略的登录审核

利用gpupdate更新策略。

登录域控制器查看结果

查看登录日志

思考：如果域管理员administrator登录成员主机，会有日志结果吗。

域管理员在域控制器上设置域安全策略

在文件服务器上对公司资料设置everyone审核

以test帐号登录文件服务器，删除文件，查看结果

思考，用test帐号本身可以查看事务日志吗

4 用域用户帐号test在成员主机上登录，关机结果为

域管理员在域控制器上设置域安全策略

gpupda te更新策略

重新启动成员成员主机，用test帐号登录，可关机

以test帐号在域控制器上登录

域管理员在域控制器设置域控制器安全策略

更新策略

重新启动域控制器，用test登录验证结果

6 尝试网络登录文件服务器，可以成功

域管理员在域控制器上设置域安全策略拒绝网络访问

更新策略

重新启动成员主机，验证结果

7 域管理员设置文件服务器的本地策略

注销文件服务器，登录查看结果

实验问题

1 密码策略包含哪些选项

2账户锁定策略哪些选项

3本地安全策略，域控制器安全策略，域安全策略三种策略之间的关系，及各自生效的范围。

成员计算机和域的设置项冲突时，什么策略生效

域控制器和域的设置项冲突时，什么策略生效

4审核策略包含哪些内容

5审核文件及文件夹主要步骤有哪些

6 域管理员登录文件服务器，他发现帐号策略，和密码策略为不可设置状态，为什么会这样，

7 用户每次登录都会显示上次登录帐号，如何取消以加强安全性。

工作组模式下，文件服务器帐号小王为空密码，小王发现登录系统后无法用小王访问文件服务器，如何解决

（这道题目为可选答题，基础好的同学思考回答）

本地安全策略无法打开

本地安全策略无法打开打开管理工具中[本地安全策略]时出现“管理单元初始化失败”或“创建管理单元失败”的错误提示，然后给了个“ CLSID:{8FC0B734-A0E1-11D1-A7D3- 0000F87571E3} ”的提示, 将位于%windir%\system32\wbem下的framedyn.dll拷贝至%windir%\system32 后，注册regsvr32 gpedit.dll和regsvr32 filemgmt.dll这两个文件如果都成功了，打开本地安全策略试试，如果不行按照下面的方法操作。解决本地安全策略打不开的方法一： 1、解决的前提条件：一是解决好系统的配置环境问题，由于安装软件导致系统环境path被修改，所以需要改回来，方法是，打开系统属性-高级-环境变量-修改path，值得说明的是xp不同版本的稍有不同，大家可以打开相似的按钮看一下就找到了，修改是比较简单的，只要在原来的path路径后面继续增加路径就可以了，先加一分号“;”然后输入引号中的“% systemroot%\system32;%systemroot%;%systemroot% system32%\wbem”,你也可以增加类似的路径，这里就不多说了。二是确保两个文件的存在，如果没有可以拷贝到 windows目录下的system32目录下，这两个文件是

gpedit.msc和secpol.msc 。 2、如何调用，这里是很重要的一步,因为虽然该改的都改了，该加的都加上了，但是目前为止还没有让将它们联系在一起，或者说还没有注册到系统里. 不过不用担心，下面的步骤就可以解决这个难题了。点-开始-运行-输入gpedit.msc-点确定，如果没有执行，那么就直接去windows目录下的system32目录中直接打开它好了。然后，打开[控制面板]中的[本地安全策略]图标，你会发现竟然出现了[计算机配置]，双击[计算机配置]，久违的 [安全设置]下面出现了[本地策略]。如果你喜欢修改下布局，你还可以将右面的策略项排列成列表或详细信息等方式。解决本地安全策略打不开的方法二：运行\ regedit\找到 HKEY_CURRENT_USER\Software\Policies\Microsoft\MMC 将RestrictToPermittedSnapins 的值设置为 0，如果MMC 找不到可以这样：直接将下面内容复制粘贴进入记事本，并保存为后缀名为.reg的文件，双击运行该.reg文件即可。 Windows Registry Editor Version 5.00 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\LocalUser\Software\Policies\Microsoft\MMC] [-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\LocalUser\Software\Policies\Microsoft\MMC\{8FC0B734-A0E1-11D1-A7D3-0000F87571E3}] "Restrict_Run"=dword:00000000 [HKEY_CURRENT_USER\Software\Policies\Microsoft\MMC] [-HKEY_CURRENT_USER\Software\Policies\Microsoft\MMC\{8FC0B734-A0E1-11D1-A7D3-0000F87571E3}] "Restrict_Run"=dword:00000000

Windows 安全配置规范

Windows 安全配置规范 2010年11月

第1章概述 1.1适用范围本规范明确了Windows操作系统在安全配置方面的基本要求，可作为编制设备入网测试、安全验收、安全检查规范等文档的参考。适用于中国电信所有运行的Windows操作系统，包括Windows 2000、Windows XP、Windows2003, Windows7 , Windows 2008以及各版本中的Sever、Professional版本。第2章安全配置要求 2.1账号编号：1 要求内容应按照不同的用户分配不同的账号，避免不同用户间共享账号，避免用户账号和设备间通信使用的账号共享。操作指南1、参考配置操作进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用户和组”：根据系统的要求，设定不同的账户和账户组。检测方法1、判定条件结合要求和实际业务情况判断符合要求，根据系统的要求，设定不同的账户和账户组 2、检测操作进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用户和组”：

查看根据系统的要求，设定不同的账户和账户组编号：2 要求内容应删除与运行、维护等工作无关的账号。操作指南1．参考配置操作 A）可使用用户管理工具：开始-运行-compmgmt.msc-本地用户和组-用户B）也可以通过net命令：删除账号：net user account/de1 停用账号：net user account/active:no 检测方法1.判定条件结合要求和实际业务情况判断符合要求，删除或锁定与设备运行、维护等与工作无关的账号。注：主要指测试帐户、共享帐号、已经不用账号等 2.检测操作开始-运行-compmgmt.msc-本地用户和组-用户编号：3 要求内容重命名Administrator；禁用guest（来宾）帐号。操作指南1、参考配置操作进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用户和组”： Administrator－>属性－> 更改名称 Guest帐号->属性－> 已停用检测方法1、判定条件缺省账户Administrator名称已更改。 Guest帐号已停用。 2、检测操作进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用户和组”：缺省帐户－>属性－> 更改名称

本地安全策略

使用本地安全策略加强windows主机的整体防御 1.1学习目的与要求 1.1.1 学习目的学生通过该能力模块的学习,能够独立完成和熟练掌握WindowsXP的本地安全策略设置。 1.1.2 学习要求 1.学习重点 ?禁止枚举账号 ?指派本地用户权利 ?设置IP安全策略 ?配置密码安全策略 2.学习难点 IP安全策略：IP安全策略是一个给予通讯分析的策略，它将通讯内容与设定好的规则进行比较以判断通讯是否与预期相吻合，然后决定是允许还是拒绝通讯的传输，它弥补了传统TCP/IP设计上的"随意信任"重大安全漏洞，可以实现更仔细更精确的TCP/IP安全，也就是说，当我们配置好IP安全策略后，就相当于拥有了一个免费，但功能完善的个人防火墙。 1.2 本能力单元涉及的知识组织 1.2.1本能力单元涉及的主要知识点 1.什么是枚举账号 2.什么事本地安全策略 3.什么是密码安全

1.2.2本能力单元需要解决的问题 1.按照项目的需求，重点针对WindowsXP的本地安全策略进行设置，达到对本地安全策略的进行深入的理解。 1.3 知识准备 1.3.1 本地安全策略安全策略是影响计算机安全性的安全设置的组合。可以利用本地安全策略来编辑本地计算机上的帐户策略和本地策略。通过本地安全策略可以控制： ?访问计算机的用户。 ?授权用户使用计算机上的哪些资源。 ?是否在事件日志中记录用户或组的操作。 1.3.2 枚举账号禁用枚举账号的意义一般来说，黑客攻击入侵，大部分利用漏洞，然后提升权限，成为管理员，这一切都跟用户帐号紧密相连。一般的黑客要攻击Windows 2000/XP等系统，必须要知道账号和密码。而账号更为关键，那么如何来避免这种情况的发生呢？我们可以利用禁止枚举帐号来限制黑客攻击我们的账户和密码。由于Windows 2000/XP的默认安装允许任何用户通过空用户得到系统所有账号和共享列表，但是，任何一个远程用户通过同样的方法都能得到账户列表，使用暴力法破解账户密码后，对我们的电脑进行攻击，所以有必要禁止枚举帐号，我们可以通过修改注册表和设置本地安全策略来禁止。

涉密计算机安全策略配置完整版

涉密计算机安全策略配置 HEN system office room 【HEN16H-HENS2AHENS8Q8-HENH1688】

涉密计算机安全策略配置一、物理安全防护 1、安装防盗铁门 2、安装红外报警器 3、放置密码文件柜 4、涉密电脑实行物理隔离二、硬件相关设置 1、禁止使用无线设备（无线键盘、鼠标、网卡、红外、蓝牙、modem等）； 2、未经许可不得使用视频、音频输入设备、读卡器设备、刻录设备; 3、接入红黑电源隔离插座； 4、与非密设备间隔一米以上。三、主板BIOS相关设置 1、设置BIOS系统密码，该密码由安全保密管理员掌握； 2、设置BIOS开机密码，该密码由用户掌握； 3、BIOS最优先启动设置为硬盘启动，其余优先启动全部关闭；四、操作系统 1、禁止安装番茄花园、雨林木风等经处理的操作系统，禁止安装Ghost版操作系统； 2、更改A d m i n i s t r a t o r用户名并设置密码，禁用Guest帐户，删除多余帐户； 3、关闭操作系统的默认共享，同时禁止设置其它共享； 4、设置屏保时间10分钟，屏保恢复需用密码； 5、不得安装《软件白名单》外的软件； 6、对操作系统与数据库进行补丁升级（每季度一次〉； 7、定期输出安全审计记录报告（每月一次） 8、清理一切私人信息：私人照片、mp3、电影等等。 9、根据规定设置系统策略，关闭非必要服务；〔见后）五、安全保密防护软件的部署 1、安装正版杀毒软件，涉密计算机（瑞星杀毒软件），涉密中间机、非涉密中间机（瑞星杀毒软件)；杀毒软件每半个月更新一次病毒库并全盘扫描； 2、安装主机监控审计软件与介质绑定系统；六、关闭计算机不必要的应用服务原则：在没有特殊情况下应当关闭不必要的服务。如果有特殊需求，应当主动申请提出。详细配置说明

配置本地安全策略

配置本地安全策略端口的保护 IP 安全策略设置方法一、适用范围：它适用于2000以上Windows系统的专业版；对家庭版的用户可以看一下是不是能通过：控制台（运行mm）-文件-添加/删除管理单元-添加-添加独立单元，添加上“ IP 安全策略管理”，如行的话则可在左边的窗口中看到“ IP 安全策略，在本地计算机”了，接下来的操作就跟专业版一样了。二、找到“ IP 安全策略，在本地计算机”： “IP 安全策略，在本地计算机”选项在“本地安全设置”下，所以要找到它就打开“本地安全设置”的方法，主要采用以下两种方法来打开：1是点“开始”-“运行” -输入 secpol.msc ，点确定；2 是“控制面板”-“管理工具”-“本地安全策略”。打开“本地安全策略”对话框就能在左边的窗口中看到“ IP 安全策略，在本地计算机”了。右击它，在它的下级菜单中能看到“创建IP 安全策略”和“管理IP 筛选器表和筛选器操作”等菜单（也可以在此级菜单中的“所有任务”项的下级菜单中看到上面的两个菜单）。三、建立新的筛选器： 1、在“ IP 安全策略，在本地计算机”的下级菜单中选择“管理IP 筛选器和筛选器操作”菜单，打开“管理IP 筛选器和筛选器操作”对话框，里面有两个标签：“管理IP 筛选器列表”和“管理筛选器操作”。选择“管理IP 筛选器列表”标签，在“ IP 筛选器列表”下的文本框下面能看到三个按钮：“添加”、“编辑”和“删除”。 2、点“添加”按钮，打开叫做“ IP筛选器列表”的对话框，里面有三个文本框，从上到下分别是：“名称”、“描述”和“筛选器”。在“名称”和“描述”文本框右边，能看到“添加”、“编辑”和“删除”三个按钮（对没有内容的筛选器而言，它的 “编辑”和“删除”按钮不可用），在这三个按钮下有一个复选框，复选框后面有“使用‘添加向导'”这样的文本说明。 3、取消默认的对“使用‘添加向导'”的勾选，在“名称”下面的文本框中把默认的“新IP 筛选器列表”修改成下面要建立的筛选器列表的名称，我们这里先输入： “病毒常驻端口”，在“描述”下面的空白文本框中输进去“病毒常驻端口”后面的全部

提升Windows系统安全性的组策略设置

升Win d o w s 系统安全性的组策略设置有人将组策略比作深藏在系统中的“大内高手”，笔者觉得这个比喻的非常恰当的。组策略确实有其他第三方安全软件所无法比拟的优势，这不仅是其与Win dows系统的密切 “关系”，更在于它强大的安全功能。除了可通过其进行系统配置，而且可对系统中几乎所有的软硬件实施管理，全方位地提升系统安全。到目前为止，似乎没有任何一款第三方软件可提供如果多的配置项。何况随着Win dows系统的更新换代，组策略也是越来越强大了，比如在Windows 7中就增加了许多Vista没有的安全项。本文就以当前主流的Vista系统为例，就Windows组策略的安全特性进行一番比较深入的解析。为了便于说明，笔者依据组策略的安全配置功能将其划分为三部分：系统核心安全配置、应用程序和设备限制、In ternet Explorer(IE)安全。下面就以此为线索，分别谈谈组策略的安全特性。 1、系统核心安全配置与系统核心安全相关的组策略设置项主要在“计算机配置f Win dows配置—安全配置”节点下。 (1) .账户策略对于组策略的这一部分大家应该非常熟悉，因为在这里可以设置密码和账户的锁定策略。例如，在这部分组策略中，我们可以设置密码最小长度或者密码需要包含复杂字符。如果在链接到域(如默认域策略)的组策略对象(GPO冲定义这些策略，域中的所有域控制器(DC)都会处理密码策略，并且组策略对象会控制域用户账户的密码策略。当在链接到域的组策略对象中定义密码策略时，域中的所有工作站和成员服务器也会进行处理, 并为这些系统中定义的本地账户设置账户策略。(图1) 图1安全设置账户策略大家知道，通过组策略只能定义一个域密码策略，不过，WindowsServer 2008支持一套新的密码策略对象，这些在活动目录(AD)中定义的密码策略对象为单一域提供了更加细化的密码策略控制。 (2) .本地策略 “本地策略”下有三个安全策略项，通过配置可以实现Windows系统的各种安全需求。例如，其中的“审计策略”用于配置服务器的Windows安全事件日志收集哪些事件；“用户权限分配”用于配置哪些用户能通过“远程桌面”访问指定的服务器或工作站;使用“安全选项”配置以确定是否激活指定系统上的“管理员”账户以及重命名“管理员”账户。

Windows Server 2008 R2常规安全设置及基本安全策略

Windows Server 2008 R2常规安全设置及基本安全策略比较重要的几部 1.更改默认administrator用户名，复杂密码 2.开启防火墙 3.安装杀毒软件 1)新做系统一定要先打上补丁 2)安装必要的杀毒软件 3)删除系统默认共享 4)修改本地策略——>安全选项交互式登陆：不显示最后的用户名启用网络访问：不允许SAM 帐户和共享的匿名枚举启用网络访问: 不允许存储网络身份验证的凭据或.NET Passports 启用网络访问：可远程访问的注册表路径和子路径全部删除 5)禁用不必要的服务 TCP/IP NetBIOS Helper、Server、Distributed Link Tracking Client 、Print Spooler、Remote Registry、Workstation 6)禁用IPV6 server 2008 r2交互式登录: 不显示最后的用户名一、系统及程序 1、屏幕保护与电源桌面右键--〉个性化--〉屏幕保护程序，屏幕保护程序选择无，更改电源设置选择高性能，选择关闭显示器的时间关闭显示器选从不保存修改 2、配置IIS7组件、FTP7、php 5.5.7、mysql 5.6.15、phpMyAdmin 4.1.8、phpwind 9.0、ISAPI_Rewrite 环境。在这里我给大家可以推荐下阿里云的服务器一键环境配置，全自动安装设置很不错的。点击查看地址二、系统安全配置 1、目录权限除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权，之后再对其下的子目录作单独的目录权限 2、远程连接我的电脑属性--〉远程设置--〉远程--〉只允许运行带网络超级身份验证的远程桌面的计算机

涉密计算机安全策略配置

涉密计算机安全策略配置一、物理安全防护 1、安装防盗铁门 2、安装红外报警器 3、放置密码文件柜 4、涉密电脑实行物理隔离二、硬件相关设置 1、禁止使用无线设备（无线键盘、鼠标、网卡、红外、蓝牙、moden等）； 2、未经许可不得使用视频、音频输入设备、读卡器设备、刻录设备; 3、接入红黑电源隔离插座； 4、与非密设备间隔一米以上。三、主板BIOS相关设置 1、设置BIOS系统密码，该密码由安全保密管理员掌握； 2、设置BIOS 开机密码，该密码由用户掌握； 3、B IOS最优先启动设置为硬盘启动，其余优先启动全部关闭; 四、操作系统 1、禁止安装番茄花园、雨林木风等经处理的操作系统，禁止安装Ghost 版操作系统； 2、更改Admi ni st rat or 用户名并设置密码，禁用Guest 帐户，删除多余帐户； 3、关闭操作系统的默认共享，同时禁止设置其它共享； 4、设置屏保时间10分钟，屏保恢复需用密码； 5、不得安装《软件白名单》外的软件； 6、对操作系统与数据库进行补丁升级（每季度一次〉； 7、定期输出安全审计记录报告（每月一次） &清理一切私人信息：私人照片、mp3电影等等。 9、根据规定设置系统策略，关闭非必要服务；〔见后）五、安全保密防护软件的部署 1 、安装正版杀毒软件，涉密计算机（瑞星杀毒软件），涉密中间机、非涉密中间机（瑞星杀毒软件）；杀毒软件每半个月更新一次病毒库并全盘扫描；2、安装主机监控审计软件与介质绑定系统；六、关闭计算机不必要的应用服务原则：在没有特殊情况下应当关闭不必要的服务。如果有特殊需求，应当主动申请提出。详细配置说明

Windows7本地安全策略

广东XXXX职业学院计算机工程技术学院(软件学院) 实验报告专业计算机网络技术班级XXX 成绩评定______ 学号XX 姓名XXX (合作者____号____) 教师签名XX 实验八题目本地安全策略第九周星期二第节一、实验目的与要求（此栏实验前由老师填写） ◆创建和验证多重本地组策略的设置； ◆配置本地安全策略设置。二、实验环境及方案（此栏实验前由老师填写）实验环境：主机硬件配置至少1G内存，15G以上的空余硬盘空间，然后要求在主机上安装Oracle VM VirtualBox 4.1.8，利用它配置至少一台虚拟机，安装windows 7企业版客户机，并准备好相应的windows 7安装盘或对应ISO文件。实验说明： 1.计算机启动时所启动的操作系统称为主机，在虚拟机上安装的操作系统称为客户机； 2.启动客户机后，如果想操作客户机，只需用鼠标点击客户机桌面就可以；如果要回到主机操作，可以按下键盘右边ctrl键。 3.也可以通过安装增强功能来实现在主机与客户机之间自由地切换 4.客户机的管理员kgy帐号的登录密码：P@ssw0rd 5.实验所需的各种资料在共享文件夹中找

6.请把实验过程的关键操作屏幕的图片剪切下来，贴在相应实验内容后面，以备检查。（截屏方法：如果要截全屏，直接按屏幕打印键；如果只截当前屏幕，请按Alt+屏幕打印键） 7.完成后，请将实验结果文件命名为：“班内序号_姓名_第几次实验”，如张三班内序号为18号、实验一的结果文件可命名为：“18_张三_1.doc” ；再如李四班内序号为8号、实验六的结果文件可命名为：“08_李四_6.doc” 三、实验内容（将每项实验内容的具体操作步骤及相关截图存放于实验结果栏中）（一）创建和验证多重本地组策略的设置 1、以administrator登录计算机，创建自定义管理控制台，分别选择本地计算机、Administrators和非管理员为组策略对象，保存到桌面并命名为Multiple Local Group Policy Editor； 2、配置本地计算机策略 ●在本地计算机策略中配置windows登录脚本，添加一个登录脚本文件，脚本文件名称为computerscript.vbs，脚本内容为msgbox “Default Computer Policy”； 3、配置本地计算机管理员策略 ●在本地计算机\Administrators策略中配置windows登录脚本，添加一个登录脚本文件，脚本文件名称为administratorscript.vbs，脚本内容为msgbox “Default Administrator’s Policy”； 4、配置本地计算机非管理员策略 ●在本地计算机\非管理员策略中配置windows登录脚本，添加一个登录

组策略软件保护设置方法

散列规则和路径规则的区别，简单的说散列规则中规则记住的是程序一些不能改变的特征，而路径规则只是记住了规则中程序的路径或者名称，如果程序改了名字或者路径，那么那条路径规则就报废。组策略软件保护设置方法 - windowsXP系统经常被人诟病安全性不高，其实不然，微软的系统也提供了很多好的工具，只要这些工具设置恰当，电脑可以更好的防御查杀病毒，组策略就是其中之一。现在，我来介绍一下组策略中的软件限制策略设置办法。首先打开组策略，在软件限制策略处右键创建新策略，就会出现如图一的界面，在软件限制策略下拉的其他规则，选中其他规则可以在右面右键创建规则，如图二。从图二中可以看到有四个选项，其中证书规则一般用于商业软件，因为通常来说商业软件才会有证书，而Internet区域规则是用于Internet的。我们的软件规则应该集中在散列规则和路径规则。（图一）

（图二）散列规则和路径规则的区别，简单的说散列规则中规则记住的是程序一些不能改变的特征，而路径规则只是记住了规则中程序的路径或者名称，如果程序改了名字或者路径，那么那条路径规则就报废。下面本人来演示一下两种规则的设置及效果，这里我用著名游戏扫雷演示。散列规则，在其他规则右面右键创建新散列规则，点浏览，找到程序，在安全级别中选择，如果不让其运行就选不允许，如果是允许运行，就选择不受限。这里为了不让其运行，我选择不允许如图三，然后运行，就会出现如图四的情况。我将其改名为cqpreson，再次运行，还是出现不能运行，如图五。我又将其剪切到C盘，再次运行，结果还是不能运行，如图六。（图三）

（图四）

本地安全策略

本地安全策略任务: 基于服务器安全要求,做为网络管理员,进行安全策略设置。任务目的： 1．掌握Windows Server 2003账户策略使用方法。 2．掌握Windows Server 2003审核策略的使用方法。 3．掌握本地策略的使用方法。任务要求: 根据安全策略特性,制定本地安全策略, 写出方案,并进行实施,实施步骤进行抓屏做为作业上交。任务具体内容：一、备份本地安全策略依次打开“开始”、“程序”、“管理工具”、“本地安全策略”，右键“安全设置”，“导出策略”，输入文件名bak.inf，确定。文件名可以任选，只要你知道是它是最原始的安全策略便可。二、恢复本地安全策略 1．在做恢复本地安全策略以前，先建立一个用户，不给口令，应该顺利建成。 2．进入本地安全策略，右键“安全设置”，“导入策略”可以看到许多安全模板，包括你上面备份的那一个，这些安全模板是 Server 2003自带的几套，系统管理员可以不作任何更改将其

应用到系统中来，不同模板安全级别不同，作用网管员应该熟悉这些模板，在具体工作时，你可以在这些模板的基础上，自定义出适合具体工作场合的模板。 3．导入hisecde.inf策略，重新建一个用户，如同（1）一样，不给口令，结果？不能建用户，原因：因为本地安全策略与原来的不同了，它使用了另外一个系统已经设置好的要求用户口令的安全策略。 4．导入备份的本地安全策略bak.inf，导入结束后，你再从新建一个用户，结果？说明了什么？三、帐户策略 1.用管理员登录，新建一个user1用户，不输入密码，是否能建成？进入本地安全策略，再进入帐户策略，再进入密码策略，双击密码长度最小值，输入4，退出。这时新建一个用户user2，不输入密码，是否能建成？有什么提示？输入3位密码，结果如何？输入4 位密码，结果如何？再进入本地策略中的帐户策略，双击密码必须符合复杂性要求，先已启用，退出。这时再新建一个用户user3，输入密码abcd，1234，a1b2，a1b:，哪个能建成用户？从而说明密码必须符合复杂性要求是指：该密码必须由字母、数字、符号三种组成，缺一不可。最后复原：取消密码必须符合复杂性要求和把密码长度最小值设为0。 2.用管理员登录，新建一个user4用户，只选下次登录时改变密码，再建一个用户user5，输入密码：user5，只选用户不能修改密码。分别用user4和user5登录，是否都能登录？用管理员登录，进入安全策略，再进入密码策略，把密码最长保存期改为30天，再修改系统时间，向后延长30天，分别用user4和user5登录，有什么提示？能否登录？为什么？用user4用户登录，能否自己修改密码？用管理员登录，进入安全策略，再进入密码策略，把密码最短存留期改为60天，用user4用户登录，能否自己修改密码？用管

本地安全策略设置

实验本地安全策略设置【实验目的】 1)掌握帐户策略的设置。 2)掌握本地策略的设置。【实验环境】具有Windows xp的计算机、局域网环境。【实验重点及难点】重点：掌握帐户策略、本地策略的设置。难点：实验过程中，切实理学会如何实际应用XP本地安全策略。【实验内容】一、帐户策略的设置。 1、设置密码策略（使我们的系统密码相对安全，不易破解）。 1)打开”开始”菜单→”程序”→”管理工具”→”本地安全策略”→”帐户策略”→”密码策略”(截图),设置密码长度最小值为2个字符，密码最短存留期为2天，密码最长存留期为50天。启用密码必须符合复杂性要求(截图)。更改密码，设置Administrator帐号密码为空，或者设置密码为单一数字，则弹出如下对话框（截图）。 1）完成。 2、设置帐户锁定策略（可以抵御网络用户通过枚举入侵自己计算机）。 1）打开”开始”菜单→”程序”→”管理工具”→”本地安全策略”→”帐户策略”→”帐户锁定策略”(截图)。 2）设置”复位账户锁定计数器”为2分钟之后，“账户锁定时间”为2分钟，”账户锁定阈值”为5次无效登陆。（截图）。 3)此时，注销自己计算机，连续5次输入密码错误，此时自己电脑被锁定，禁止输入密码，并且锁定时间为2分钟。 4）完成。二、本地策略的设置。 1、设置审核策略（可以获取用户对本计算机的操作历史进行审核）。审核登陆事件：用户在本机的登陆。审核对象访问：用户对对象的访问（如文件、文件夹控制面板等）。审核系统事件：系统的启动、注销和关机，以及涉及到安全性的一些事件。审核帐户登陆事件：用户在其他计算机上登陆，在本计算机上进行验证。审核帐户管理：涉及到帐户的管理，如新建用户和组，修改密码、重命名用户和组等。 1）打开”开始”菜单→”程序”→”管理工具”→”本地安全策略”→”本地策略”→”审核策略”(截图)。 2）设置审核登陆事件和审核系统事件都为成功和失败（截图）。

组策略教程

一、访问组策略 1.输入gpedit.msc命令访问: 选择“开始”→“运行”(或快捷方式：Win+R)，在弹出窗口中输入“gpedit.msc”，回车后进入组策略窗口。组策略窗口的结构和资源管理器相似，左边是树型目录结构，由“计算机配置”、“用户配置”两大节点组成。这两个节点下分别都有“软件设置”、“Windows设置”和“管理模板”三个节点（如图一），节点下面还有更多的节点和设置。此时点击右边窗口中的节点或设置，便会出现关于此节点或设置的适用平台和作用描述。“计算机配置”、“用户配置”两大节点下的子节点和设置有很多是相同的，那么我们该改哪一处？“计算机配置”节点中的设置应用到整个计算机策略，在此处修改后的设置将应用到计算机中的所有用户。“用户配置”节点中的设置一般只应用到当前用户，如果你用别的用户名登录计算机，设置就不会管用了。但一般情况下建议在“用户配置”节点下修改，本文也将主要讲解“用户配置”节点的各项设置的修改，附带讲解“计算机配置”节点下的一些设置。其中“管理模板”设置最多、应用最广，因此也是本文的重中之重。图一：

下面我们就进入“用户配置”，去细细探测它的奥秘： 1、在软件设置里面没有什么重要内容，我们省去介绍吧（不信你看看）； 2、那我们先看看“windows设置”里的内容（如图二全结构图：）：在“windows设置”的节点下有“脚本”、“安全设置”和“IE维护”三个节点，其中“脚本”下包含“登录”和“注销”两个脚本，其功能（属性）是设置“登录”和“注销”时的桌面背景！在“安全设置”里面没有什么实质内容，现我们就忽略它吧！《而对于“计算机配置”的“安全设置”的下节点里，多了三个小节点，其一是“密码策略”，它可以设置我们对用户的密码要求及密码保留时间等，因此，当你设置后，你的密码设置就必须符合这要求。。。。。。其二是“帐号锁定策略”，它可以设置帐号无效登录系

本地安全策略修复方法

解决：方法一、1、点击『开始』菜单 2、点击“运行” 3、键入"regedit"（不包括感叹号） 4、在注册表键值HKEY_CURRENT_USER\Software\Policies\Microsoft\MMC 请将 RestrictToPermittedSnapins 的值设置为 0 方法二、1、点击『开始』菜单 2、点击“运行” 3、键入"regedit"（不包括感叹号） 4、在注册表键值 HKEY_CURRENT_USER\Software\Policies\Microsoft\Mmc\{8FC0B734-A0E1-11D1-A7D3-000 0F87571E3}\Restrict_Run 和 HKEY_CURRENT_USER\Software\Policies\Microsoft\MMC\{0F6B957E-509E-11D1-A7CC-000 0F87571E3}\Restrict_Run 请将 Restrict_Run 的值设置为 0 5、修改完毕后重启。方法三、1、点击『开始』菜单 2、点击“运行” 3、键入"regedit"（不包括感叹号） 4、在注册表键值 HKEY_CLASSES_ROOT\CLSID\{8FC0B734-A0E1-11D1-A7D3-0000F87571E3}\InProcServer32 把其中的default改成： %SystemRoot%\System32\GPEdit.dll 5、修改完毕后重启。方法四、检查环境变量： a、点击『开始』菜单 b、点击“控制面板” c、在“控制面板”中打开“系统” d、在“系统属性”中点击“高级”标签 e、在“高级”标签页中点击“环境变量”按钮 f、在“环境变量”中的“系统变量”框中的变量名为Path中修改变量值为： %Systemroot%\System32;%Systemroot%;%Systemroot%\system32\WBEM 方法五、运行regsvr32 filemgmt.dll a、点击『开始』菜单 b、点击“运行”

设置安全策略步骤

实验七设置安全策略实验背景某公司所有员工的初始密码为benet2!。管理员担心公司员工更改的密码过于简单，容易被扫描软件扫描扫到，同时管理员担心用户长久不更改密码影响安全性。对于公司域控制器，管理员需要验证都有谁在什么时候登录。有人反应公司的文件服务器上的资料有丢失现象，管理员需要查找是否有人有意的删除文件。由于域用户帐号一旦登录域内成员主机成功，访问文件服务器不在需要做身份验证，为了放置有人恶意尝试用户密码，公司要求所有员工有三次输入密码机会，三次输入错误自动锁定帐号。试行一段时间后很多人帐号经常锁定，不得不频繁找管理员，管理员需设定用户帐号的30分钟自动解锁。公司有人反应访问加入域后，用域用户帐号登录后不能自动关机，公司要求所有员工下班必须关机离开，管理员解决这个问题。有部分输入domain users组的员工需要登录域控制器，可这些员工反应他们无法登录域控制器，管理员解决这个问题文件服务器公司要求所有员工可以网络访问，但不可以对文件服务器本地登录，公司要求管理员完成，并对文件服务器做登录审核。对于文件服务器，公司要求本地登录成功后需要提示：标题：重要警告，内容：服务器重地，请不要做任何删除和剪切。实验目标 1 所有域用户帐号在设置密码时，必须符合复杂密码要求，密码长度至少7位，密码必须每60天更新一次 2 设置三次密码锁定，设置锁定复位时间30分钟。 3 为域控制器启动帐号的登录审核，对文件服务器启动对象审核 4 把域用户帐号加入关闭系统，保证可以下班关机 5 把域用户帐号加入本地登录安全策略 6 文件服务器上把所有的用户帐号加入拒绝网络访问，对文件服务器启动审核 7 对文件服务器设置登录提示实验环境 1 一人一组 2 准备2台Windows Server 200 3 虚拟机（1台域控制器，1台成员主机）实验步骤： 1 在域控制器上完成以域管理员登录域控制器，设置域安全策略

提升Windows 系统安全性的组策略设置

升W i n d o w s系统安全性的组策略设置有人将组策略比作深藏在系统中的“大内高手”，笔者觉得这个比喻的非常恰当的。组策略确实有其他第三方安全软件所无法比拟的优势，这不仅是其与Windows系统的密切“关系”，更在于它强大的安全功能。除了可通过其进行系统配置，而且可对系统中几乎所有的软硬件实施管理，全方位地提升系统安全。到目前为止，似乎没有任何一款第三方软件可提供如果多的配置项。何况随着Windows系统的更新换代，组策略也是越来越强大了，比如在Windows 7中就增加了许多Vista没有的安全项。本文就以当前主流的Vista系统为例，就Windows组策略的安全特性进行一番比较深入的解析。为了便于说明，笔者依据组策略的安全配置功能将其划分为三部分：系统核心安全配置、应用程序和设备限制、Internet Explorer(IE)安全。下面就以此为线索，分别谈谈组策略的安全特性。 1、系统核心安全配置与系统核心安全相关的组策略设置项主要在“计算机配置→Windows配置→安全配置”节点下。 (1).账户策略对于组策略的这一部分大家应该非常熟悉，因为在这里可以设置密码和账户的锁定策略。例如，在这部分组策略中，我们可以设置密码最小长度或者密码需要包含复杂字符。如果在链接到域(如默认域策略)的组策略对象(GPO)中定义这些策略，域中的所有域控制器(DC)都会处理密码策略，并且组策略对象会控制域用户账户的密码策略。当在链接到域的组策略对象中定义密码策略时，域中的所有工作站和成员服务器也会进行处理，并为这些系统中定义的本地账户设置账户策略。(图1) 图1 安全设置账户策略大家知道，通过组策略只能定义一个域密码策略，不过，Windows Server 2008支持一套新的密码策略对象，这些在活动目录(AD)中定义的密码策略对象为单一域提供了更加细化的密码策略控制。 (2).本地策略 “本地策略” 下有三个安全策略项，通过配置可以实现Windows系统的各种安全需求。例如，其中的“审计策略”用于配置服务器的Windows安全事件日志收集哪些事件;“用户权限分配”用于配置哪些用户能通过“远程桌面”访问指定的服务器或工作站;使用“安全选项”配置以确定是否激活指定系统上的“管理员” 账户以及重命名

配置本地安全策略

配置本地安全策略 Revised as of 23 November 2020

配置本地安全策略———端口的保护IP安全策略设置方法一、适用范围：它适用于2000以上Windows系统的专业版；对家庭版的用户可以看一下是不是能通过：控制台（运行mmc）－文件－添加/删除管理单元－添加－添加独立单元，添加上“IP安全策略管理”，如行的话则可在左边的窗口中看到“IP安全策略，在本地计算机”了，接下来的操作就跟专业版一样了。二、找到“IP安全策略，在本地计算机”： “IP安全策略，在本地计算机”选项在“本地安全设置”下，所以要找到它就打开“本地安全设置”的方法，主要采用以下两种方法来打开：1是点“开始”－“运行”－输入，点确定；2是“控制面板”－“管理工具”－“本地安全策略”。打开“本地安全策略”对话框就能在左边的窗口中看到“IP安全策略，在本地计算机”了。右击它，在它的下级菜单中能看到“创建IP安全策略”和“管理IP筛选器表和筛选器操作”等菜单（也可以在此级菜单中的“所有任务”项的下级菜单中看到上面的两个菜单）。三、建立新的筛选器： 1、在“IP安全策略，在本地计算机”的下级菜单中选择“管理IP筛选器和筛选器操作”菜单，打开“管理IP筛选器和筛选器操作”对话框，里面有两个标签：“管理IP 筛选器列表”和“管理筛选器操作”。选择“管理IP筛选器列表”标签，在“IP筛选器列表”下的文本框下面能看到三个按钮：“添加”、“编辑”和“删除”。

2、点“添加”按钮，打开叫做“IP筛选器列表”的对话框，里面有三个文本框，从上到下分别是：“名称”、“描述”和“筛选器”。在“名称”和“描述”文本框右边，能看到“添加”、“编辑”和“删除”三个按钮（对没有内容的筛选器而言，它的“编辑”和“删除”按钮不可用），在这三个按钮下有一个复选框，复选框后面有“使用 ‘添加向导’”这样的文本说明。 3、取消默认的对“使用‘添加向导’”的勾选，在“名称”下面的文本框中把默认的“新IP筛选器列表”修改成下面要建立的筛选器列表的名称，我们这里先输入：“病毒常驻端口”，在“描述”下面的空白文本框中输进去“病毒常驻端口”后面的全部端口号（可以用复制、粘贴来操作），主要作用是便于下一步对照着添加作为“筛选器”具体内容的“端口”。这时可以点“确定”按钮，保存本“筛选器”。但由于它没有任何内容，所以会蹦出来“IP筛选器列表警告”对话框，提示“这个IP筛选器列表是空的。没有匹配的IP数据包。您想……吗”，因为保存是目的，所以选择“是”。 4、这里我们不点“确定”，不保存空的筛选器，直接向“筛选器”下面的文本框中添加本筛选器要操作的端口。这个文本框中是不能直接用输入法输入、编辑的，具体方法见下一步。四、添加“筛选器”要操作的端口： 1、点“IP筛选器列表”对话框中的“添加”按钮，打开“筛选器属性”对话框。这个对话框里面有三个标签：“寻址”、“协议”和“描述”。 2、在“寻址”标签下有两个选项框和一个复选框。从上到下是“源地址”选项框、“目标地址”选项框和“镜像。同时与源地址和目标地址……匹配”复选框。因为我们

windows server 2008 配置本地安全策略

第六章配置本地安全策略一、账户策略的应用 1、以管理员账户Administrator登录到服务器 2、单击“开始”→“管理工具”→“本地安全策略”（或者“开始”→“运行”→输入“secpol.msc”）,打开本地安全策略。 3、选择“账户策略”→“密码策略”→设置密码长度最小值为7，启用密码必须符合复杂性要求，密码使用最长期限为30天

4、选择“账户策略”→“账户锁定策略”，设置账户锁定阈值为3. 5、单击“开始”→“运行”→，输入“gpupdate”，刷新策略。

6、管理员administrator打开“服务器管理器”控制台。 7、展开“配置”→“本地用户和组”→“用户”，右击账户UserA，选择“重设密码”，输入新密码和确认密码“aaa”，单击“确定”按钮，提示密码不符合密码策略的要求。 8、输入旧密码，输入新密码和确认新密码“aaa”，单击“确定”同样提示密码不符合密码策略要求。

9、以账户UserA在计算机上登录，故意输错3次密码，提示账户被锁定 10、以administrator登录没有被锁定的提示。对计算机解锁。 11、以管理员账户登录服务器解锁UserA账户。 12、在“服务器管理器”中，展开“配置”→“本地用户和组”→“用户”，右击账户UserA，选择“属性”→“常规”，可以看到账户以锁定的。

13、清除“账户以锁定”的复选框。 14、以UserA账户登录服务器，输入正确的密码可以正常登陆。

审核策略的应用 1、以管理员账户登录到服务器，在D盘创建一个名字为“sss”的文件夹。 2、单击“开始”→“程序”→“管理工具”→“本地安全策略”，打开本地安全策略。 3、选择“本地策略”→“审核策略”→，双击“审核对象访问”策略，选择“成功”和“失败” 4、刷新策略。 5、右击文件夹sss，选择“属性”→“安全”→“高级”→“审核”，添加“everyone”

设置安全策略+步骤

本地安全策略无法打开

Windows 安全配置规范

本地安全策略

涉密计算机安全策略配置完整版

配置本地安全策略

提升Windows系统安全性的组策略设置

Windows Server 2008 R2常规安全设置及基本安全策略

涉密计算机安全策略配置

Windows7本地安全策略

组策略软件保护设置方法

本地安全策略

本地安全策略设置

组策略教程

最新最全USG6000安全策略配置(DOC41页)

本地安全策略修复方法

设置安全策略步骤

提升Windows 系统安全性的组策略设置

配置本地安全策略

windows server 2008 配置本地安全策略