Win2008安全检查作业指导书

1）系统安装的组件和应用程序遵循了最小安装的原则；
2）不必要的服务没有启动；
3）不必要的端口没有打开；
4）a)“共享名”列为空，无C$、D$、IPC$等默认共享。b)HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\restrictanonymous值不为“0”（0表示共享开启）
3）如果安装有主机防火墙则查看有无登录地址限制。
1）如果安装有主机防火墙则通过防火墙对登录地址进行限制；如果无主机防火墙，则在“TCP/IP筛选”中对端口做了限制。
1、主要服务器操作系统，是否设定了终端接入方式、网络地址范围等条件限制终端登录。
2、是否开启了主机防火墙TCP/IP筛选。
3、是否有硬件防火墙限制终端接入、网络地址范围。
2、安全策略是否对重要文件的访问权限进行了限制。
3、是否对系统不需要的服务、共享路径等进行了禁用或删除。
4、服务器操作系统的权限设置情况，是否依据安全策略对用户权限进行了限制。
5、选%systemdrive%\windows\system、%systemroot％\system32\config、等相应的文件夹，右键选择“属性”>“安全”，查看users组和administrators组的权限设置,是否为不同级别的用户组，赋予不同的权限，如完全控制、修改、读取及运行、列出文件夹目录、读取、写入权限不同。
12
检查主机防恶意代码软件或硬件，查看其厂家名称、产品版本号和恶意代码库名称等，查看其是否与网络防恶意代码软件有不同的恶意代码库
1）访谈系统管理员网络防病毒软件和主机防病毒软件分别采用什么病毒库。
1）主机防恶意代码产品与网络防恶意代码产品的恶意代码库不同
1、是否有与主机防恶意代码产品有不同的恶意代码库。
访谈系统安装的组件和应用程序是否遵循了最小安装的原则；
2）服务最小化：
a）依次展开[开始]->（[控制面板]->）[管理工具]->[服务]；
b）查看已经启动的或者是手动的服务，一些不必要的服务如Alerter、Remote Registry Service、Messenger、Task Scheduler是否已启动；
3、操作系统用户口令复杂度是否已经启用
3
检查主要服务器操作系统和主要数据库管理系统的身份鉴别策略，查看是否配置了登录失败处理功能、设置了非法登录次数的限制值；
查看是否设置网络登录连接超时，并自动退出
1）依次展开[开始]->（[控制面板] ->）[管理工具]->[本地安全策略]->[账户策略]->[账户锁定策略]；
%systemdrive%\program files%systemroot%\system32\config
2）用户权限：
a)[开始]->（[控制面板] ->）[管理工具]->[计算机管理]->[本地用户和组]->[组]
b)双击“名称”列中Administrators用户，查看成员。
e）看注册表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\restrictanonymous的值，restrictanonymous的值是否为0
8
检查主要服务器操作系统中所安装的系统组件和应用程序是否都是必须的
1）依次展开[开始]->[控制面板] ->[添加删除程序]
2）查看系统安装组件和应用程序。
1）无其他不必要的插件
9
检查是否设置了专门的升级服务器实现对主要服务器操作系统补丁的升级，主要服务器操作系统是否具有操作系统补丁更新策略；
1）组件最小化：
2）查看用户列表中是否有SUPPORT_388945a0、GUEST账户，如果有这些账户，则右键点击该[账户]->[属性]，查看账户是否停用。
3）依次展开[开始]->[控制面板] ->[管理工具]->[本地安全策略]-> [本地策略] ->[安全选项]->账户：重命名来宾帐户/重命名管理员账号
4）右击选择“属性”，查看账户是否重命名。
1）a）未选中“使用简单文件共享（推荐）”选项。
b）program files文件夹的users权限只允许“读取和运行”、“列出文件夹目录”、“读取”三种权限；config文件夹的users权限只允许“列出文件夹目录”权限；
2）普通用户、应用账户等非管理员账户不属于管理员组。
1、服务器操作系统的是否配置了安全策略。
1）查看系统中安装的防病毒软件。询问管理员病毒库更新策略。查看病毒库的最新版本更新日期是否超过一个星期。
1）安装了防病毒软件，病毒库经常更新，是最新版本。
1、主机系统是否采取恶意代码实时检测与查杀措施。
2、服务器是否安装了实时检测与查杀恶意代码的软件产品。
3、系统中是否安装了防病毒软件。
4、关注防病毒软件的同时还应该保证病毒库是否及时更新。
2）查看以下项的情况：a)复位账户锁定计数器、b)账户锁定时间和c)账户锁定阈值。
3）设置cat/etc/profile TMOUT字段超时退出
a)设置了“复位账户锁定计数器”时间；
b)设置了“账户锁定时间”；
c)设置了“账户锁定阈值”。
d）设置了“超时退出”
所有的项只要不为默认的0或未启用就可以。
4
检查主要服务器操作系统的安全策略，查看是否对重要文件的访问权限进行了限制；对系统不需要的服务、共享路径等进行了禁用或删除
1）文件权限：
a)右键点击[开始]，打开[开资源管理器(X)]，[工具]->[文件夹选项]->[查看]中的“使用简单文件共享（推荐）”是否选中；
b)右键单击下面两个文件夹的[属性]->[安全]，查看users的权限。
6）服务器操作系统的补丁是否得到了及时安装。
7）是否持续跟踪厂商提供的系统升级更新情况。
8）是否在经过充分的测试评估后对必要补丁进行及时更新。
9）查看目前系统中运行的服务如：Alerter、Remote Registry Service、Messenger、Task Scheduler是否已启动。
10
检查主要服务器操作系统和主要数据库管理系统的补丁是否得到了及时更新
1）依次展开[开始]->[控制面板] ->[添加删除程序]
2）查看操作系统和主要数据库管理系统的补丁更新情况。
1）操作系统和主要数据库管理系统的补丁已正常安装
11
检查主要服务器的恶意代码防范策略，查看是否安装了实时检测与查杀恶意代码的软件产品,并且及时更新了软件版本和恶意代码库
6、在命令行模式下输入net share，查看是否存在共享文件。
5
检查主要服务器操作系统和主要数据库管理系统的访问控制策略，查看特权用户的权限是否进行分离，如可分为系统管理员、安全管理员、安全审计员等；查看是否采用最小授权原则；
1）访谈并查看管理用户及角色的分配情况。
2）“管理工具”->“本地安全策略”->“安全设置”->“本地策略”中的“用户权利指派”是否为不同的用户指派了不同的权限。
5）补丁更新
访谈系统补丁升级的方法，[开始]->[运行]，在文本框中输入regedit，查看HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates下的安装补丁列表。
6）访谈并查看系统补丁升级方式，以及最新的补丁更新情况：“开始”->“控制面板”->“程序和功能”->“查看已安装的更新”
3）服务端口：
依次展开[开始]->[运行]，在文本框中输入cmd点确定，输入netstat –an查看是否有不必要端口开启，如139、445。
4）默认共享：
a)依次展开[开始]->[运行]，在文本框中输入cmd点确定，输入net share，查看共享；
b)依次展开[开始]->[运行]，在文本框中输入regedit点确定，查看HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\restrictanonymous值是否为“0”
1）用户列表中没有名为GUEST、SUPPORT_388945a0的账户，或已经禁用。2）来宾/管理员账号已被重命名
1、服务器操作系统，匿名/默认用户的访问权限是否已被禁用或者严格限制。(EG:系统无法修改访问权限的特殊默认账户，可不修改访问权限;系统无法重命名的特殊默认账户，可不重命名。)
2、账户的默认口令是否被修改。
5）系统补丁先测试，再升级；补丁号为较新版本。
1）关注系统安装的组件和应用程序情况；
2）关注补丁是否先测试，补丁号是否为较新版本。
3）操作系统是否遵循最小安装的原则，仅安装需要的组件和应用程序。
4）主要服务器操作系统中所安装的系统组件和应用程序是否都是必须的。
5）否设置了专门的升级服务器实现对主要服务器操作系统补丁的升级。
1）无多人共用同一个账号的情况。
1、服务器操作系统帐户列表，管理员用户名分配是否唯一。(EG:应为操作系统的不同用户分配不同的用户名，确保用户名具有唯一性)
2、运行lusrmgr.msc检查用户标识符列表，是否存在相同的用户名。
3、是否存在一个用户使用多个用户名的情况。
4、是否存在过期的或是多余的用户名。
1、操作系统的身份标识与鉴别机制采取何种措施实现
2、是否须输入密码才能登录。
3、登录过程中系统帐号是否进行验证登陆.
2
检查主要服务器操作系统和主要数据库管理系统的身份鉴别策略，查看其身份鉴别信息是否具有不易被冒用的特点
1）依次展开[开始]->（[控制面板] ->）[管理工具]->[本地安全策略]->[账户策略]->[密码策略]，查看以下项的情况：a)复杂性要求、b)长度最小值、c)最长存留期、d)最短存留期、e)强制密码历史。