基于Windows操作系统安全基线配置
基于Windows操作系统安全基线配置
作者：马李辉王玮马鑫
来源：《科学与信息化》2018年第01期
摘要随着科学技术的发展，信息技术已经涉及人们生活和工作的各个方面，但是信息安全问题日益凸显，安全基线技术的应用显得更加重要。
为了加强计算机的使用安全，有效发现计算机操作系统用户应用环境的安全隐患，文章对当前主流的windows操作系统安全基线存在的配置问题和安全加固进行讨论分析。
本文以windows操作系统为实验对象，依据安全基线配置策略对操作系统进行安全加固，达到日常使用的安全要求。
关键词安全基线；信息系统；等级保护；操作系统
前言
安全基线是由微软提出的，在安全体系中windows server 2003和ISA server 2004对如何配置和管理计算机有详细描述。
安全基线不仅在计算机上实现了受信计算机组件，同时还描述了实现安全运行的所有相关配置的设置。
安全基线借用“基线”的概念，类似于“木桶理论”，可以认为安全基线是安全木桶的最短板，发现安全威胁、实现防护措施，达到最低的安全要求[1]。
文章主要对常用windows操作系统的安全管理提出安全基线配置策略，通过对不同操作系统进行安全基线配置核查，给出相应加固配置建议，针对核查结果对安全基线进行加固，以达到用户日常使用的安全需要[2]。
文章安排：第一部分阐述安全基线的重要性。
第二部分给出安全基线配置检查点和加固建议。
第三部分依据安全基线配置策略以实验的形式实现。
第四部分对全文进行总结。
1 安全基线配置核查和加固
计算机安全基线作为计算机安全的主要组成部分，直接关系到用户的信息、网络、应用程序等，计算机安全得不到保障，犹如门户大开，毫无安全可言。
安全基线配置是在保证满足计算机基本使用功能时，最低的计算机安全保障策略。
对影响系统安全性的关节配置项进行合理设置，禁止或限制存在安全风险的组策略、服务、注册表的键值等配置参数，启用系统的安全保护功能，增强计算机抵抗风险的能力[3]。
安全基线配置包含多种类型，包括开关型、区间型、枚举型、复合型，设置种类多样，涵盖身份鉴别、访问控制、安全审计、信息保护、软件控制、入侵防范、资源分配等方面。
本文按照计算机操作系统一般使用情况设置安全基线检查点，通过对安全基线检查点的分析构建安全基线结构模型[4]。
以该模型形成检测清单，检测计算机安全基线配置情况，并结合安全基线配置清单与检测结果，提取需要加固的安全基线检测点进行加固。
如图1为安全基线配置检测与加固基本流程图。
安全基线配置主要包含账户配置、密钥配置、用户权限配置、审计记日志配置、安全选项配置，涉及操作系统组策略和注册表键值等的修改。
下面文章从五个方面对安全基线配置策略进行介绍。
1.1 账户配置
账户配置主要是对账户信息保护提出安全要求，有利于加强用户账户信息的管理，防止非法窃取账户信息。
该项主要包括账户锁定阈值、账户锁定时间和复位账户锁定计数器等。
密钥配置
账户密钥是进入计算机的钥匙，密钥设置的合适与否直接影响到该计算机的安全。
密钥主要涉及复杂度、长度、使用期限、历史重复使用次数等项，合理设置密钥，可以有效防止攻击者暴力猜解密钥。
1.3 用户权限配置
用户权限配置涉及计算机每个用户对系统资源、访问控制、软件执行等权限提出安全配置要求。
合理分配用户权限，可以有效限制多用户共用一台计算机时权限的分配，通常情况下以最小权限为基准来设置用户权限。
1.4 审计及日志配置
审核记日志配置主要是对系统各项操作、配置变更以及安全事件的成功或失败进行审核。
各个事件审核情况记录在日志当中，需设置系统日志、安全日志和应用日志的存储内容、存储时限和覆盖方式等，为审计管理员提供有效的审计日志，方便对审核项进行审查。
1.5 安全选项配置
安全选项配置主要包含来宾账户、匿名账户、everyone权限、windows系统自动播放等各项，涉及组策略、注册表的相关项的设置。
以上五部分介绍了本文操作系统安全基线的基本检查点，并给出了相应配置建议。
安全加固以安全基线配置检测结果为依据，制定符合等级保护标准的配置参数。
针对提到的安全基线配置的基本检查点，本节给出各项参数设置，但是仅作为参考。
本文安全基线配置策略可以加强计算机防护能力，有效防止外部入侵。
2 功能测试
针对提出安全基线配置策略，文章使用虚拟机部署安装windows xp SP3、windows7、windows8.1、windows10等32位或64位操作系统，在JDK8环境下运行，使用JNI封装注册表的API，通过JXL输出安全基线配置核查报告。
在测试中对操作系统不进行任何设置，得到检测结果如表6。
本文分别以windows XP SP3和windows 10两类操作系统为例，列举出口令和审核策略两部分作为实例，图2和图3为XP系统检测前加固后的对比图。
图2a、b分别为计算机中口令和审核策略的初始设置情况，图2c为检查汇总情况。
图3a、b分别为口令和审核策略加固后的设置情况，图3c是加固后检查汇总情况。
上下对比之后，可以发现加固后相应检查点参数已经设置为参考数值。
文章对操作系统安全基线检测后，直接进行安全加固，证实了本文安全策略的有效性，可以准确无误的对安全配置策略进行加固。
软件可以实现对操作系统的安全基线配置进行安全加固[5]。
可以有效防止外部入侵，防护计算机安全。
对于不了解计算机安全配置策略的使用人来说，本文提供了一个良好的思路，可以依据本文对计算机进行安全配置。
3 结束语
安全基线广泛应用于各个行业，但是对操作系统安全选项进行设置的配置要求却很难给出一个统一的标准，文章以windows操作系统的安全设置为基础模型，以信息系统安全等级保护基本要求的相关标准，给出了一个可靠的操作系统安全基线配置检查和加固策略。
随着信息系统的不断发展，系统安全基线也在不断发展，后续可以进一步推广，如Linux系统、Android 系统等安全配置。
参考文献
[1] 卿斯汉，曾山松，杜超.windows安全基线研究[J].技术研究期刊，2015，（03）：6-13.
[2] 罗佳，徐方艾，锁延锋.基于信息安全等级保护的安全操作系统解决方案[C].第二届全国信息安全等级保护技术大会会与论文集，2013.
[3] 傅峰，孙彬.基于Widows server 2003 操作系统的安全加固初探[J].价值工程，2013，（16）：201-202.
[4] 彭飞，张涛，徐伟光，等.基于本体的操作系统安全策略生成模型[J].计算机工程与应用，2017，（4）：1-5.
[5] 白茹.计算机操作系统的安全加固技术分析[J].现代工业经济和信息化，2017，（6）：100-101.。
操作系统安全基线配置
Win2003 & 2008操作系统平安配置要求2.1. 口令平安分配：应为不同用户分配不同的，不允许不同用户间共享同一。
锁定：应删除或锁定过期、无用。
用户访问权限指派：应只允许指定授权对主机进展远程访问。
权限最小化：应根据实际需要为各个分配最小权限。
默认管理：应对Administrator重命名，并禁用Guest〔来宾〕。
口令长度及复杂度：应要求操作系统口令长度至少为8位，且应为数字、字母和特殊符号中至少2类的组合。
口令最长使用期限：应设置口令的最长使用期限小于90天。
口令历史有效次数：应配置操作系统用户不能重复使用最近 5 次〔含 5 次〕已使用过的口令。
口令锁定策略：应配置当用户连续认证失败次数为 5次，锁定该30分钟。
2.2. 效劳及授权平安效劳开启最小化：应关闭不必要的效劳。
SNMP效劳承受团体名称设置：应设置SNMP承受团体名称不为public或弱字符串。
系统时间同步：应确保系统时间与NTP效劳器同步。
DNS效劳指向：应配置系统DNS指向企业部DNS效劳器。
2.3. 补丁平安系统版本：应确保操作系统版本更新至最新。
补丁更新：应在确保业务不受影响的情况下及时更新操作系统补丁。
2.4. 日志审计日志审核策略设置：应合理配置系统日志审核策略。
日志存储规则设置：应设置日志存储规则，保证足够的日志存储空间。
日志存储路径：应更改日志默认存放路径。
日志定期备份：应定期对系统日志进展备份。
2.5. 系统防火墙：应启用系统自带防火墙，并根据业务需要限定允许通讯的应用程序或端口。
2.6. 防病毒软件：应安装由总部统一部署的防病毒软件，并及时更新。
2.7. 关闭自动播放功能：应关闭 Windows 自动播放功能。
2.8. 共享文件夹删除本地默认共享：应关闭 Windows本地默认共享。
共享文件权限限制：应设置共享文件夹的访问权限，仅允许授权的共享此文件夹。
2.9. 登录通信平安制止远程访问注册表：应制止远程访问注册表路径和子路径。
各类操作系统安全基线配置
各类操作系统安全配置要求及操作指南检查模块支持系统版本号Windows Windows 2000 以上Solaris Solaris 8 以上AIX AIX 5.X以上HP-UNIX HP-UNIX 11i以上Linux 内核版本2.6以上Oracle Oracle 8i以上SQLServerMicrosoft SQL Server 2000 以上MySQL MySQL 5.x以上IIS IIS 5.x以上Apache Apache 2.x 以上Tomcat Tomcat 5.x以上WebLogic WebLogic 8.X以上Windows操作系统安全配置要求及操作指南I目录目录 (I)前言 (II)1 范围 (1)2 规范性引用文件 (1)3 缩略语 (1)4 安全配置要求 (2)4.1 账号 (2)4.2 口令 (3)4.3 授权 (5)4.4 补丁 (7)4.5 防护软件 (8)4.6 防病毒软件 (8)4.7 日志安全要求 (9)4.8 不必要的服务 (11)4.9 启动项 (12)4.10 关闭自动播放功能 (13)4.11 共享文件夹 (13)4.12 使用NTFS 文件系统 (14)4.13 网络访问 (15)4.14 会话超时设置 (16)4.15 注册表设置 (17)附录A：端口及服务 (18)II前言为了在工程验收、运行维护、安全检查等环节，规范并落实安全配置要求，编制了一系列的安全配置要求及操作指南，明确了操作系统、数据库、应用中间件在内的通用安全配置要求及参考操作。
该系列安全配置要求及操作指南的结构及名称预计如下：（1）《Windows 操作系统安全配置要求及操作指南》（本规范）（2）《AIX操作系统安全配置要求及操作指南》（3）《HP-UX 操作系统安全配置要求及操作指南》（4）《Linux操作系统安全配置要求及操作指南》（5）《Solaris操作系统安全配置要求及操作指南》（6）《MS SQL server数据库安全配置要求及操作指南》（7）《MySQL 数据库安全配置要求及操作指南》（8）《Oracle数据库安全配置要求及操作指南》（9）《Apache安全配置要求及操作指南》（10）《IIS安全配置要求及操作指南》（11）《Tomcat 安全配置要求及操作指南》（12）《WebLogic 安全配置要求及操作指南》11 范围适用于使用Windows 操作系统的设备。
配置Windows安全基线
■ 大庆 时炜随着息化的不入，信息安重要性越显。
其中计算机系统的安全是信息安全的基础，安全基桶理论”，板，是最基本的安全要求。
配置使用计算机系统的安全基线，受到不法分子恶意攻击、意软件、木马及蠕虫病毒等攻击时能够起到主动防御的【上接第135页】仅仅有了的，还必须在其中添加相关的账户。
例如，就需要httpd、的支持。
执行“useradd –d /var /chapa -s /usr/local/bin/ jail httpd”系统中创建名为账户，其Home图1Edge、图2 配置安全基线前soft Office 2016的安全基Version 1909 and WindowsVersion 1909 SeBaseline.zip解压至然后将LGPO.c:\1909\Scripts\身份运行并进入PS C:\1909\scripts>，然后执行Baseline-LocalInstall.ps1脚本加相应的参数。
的Windows“Baseline-LocalInstall.ps1-Win10Domain系统执行“Baseline-L o c a lp s1-W i mainJoined”已加员Win dows Server统执行“BaseLocalInstall.ps1-WS Member”。
而没Windows“Baseline-LocalInstall. ps1-WSNonDomainJoined”在域Server系统执行Local Install.ps1-WS mainController”以未加入版本1909PS C:\1909\scri pts>. \Baseline-Localps1-Win10Non DomainJoined 提示\1909\scripts\Baseline-LocalInstall.ps1。
查看1909\s ccutionpolicycted。
这是因为在此系统默认图3 配置安全基线后C:\1909\scripts> set-e x e c u t i o n p o l i c y-e x e身的需要，。
Windows系统安全配置基线
安全基线项目名称
操作系统审核对象访问安全基线要求项
安全基线项说明
启用组策略中对Windows系统的审核对象访问，成功和失败都要审核。
检测操作步骤
进入“控制面板->管理工具->本地安全策略”，在“本地策略->审核策略”中：
查看“审核对象访问”设置。
基线符合性判定依据
“审核对象访问”设置为“成功”和“失败”都要审核。
基线符合性判定依据
HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareServer键，值为0。
备注
6.2
防病毒软件保护
安全基线项目名称
操作系统防病毒保护安全基线要求项
安全基线项说明
对Windows2003服务器主机应当安装部署服务器专版杀毒软件，并打开自动升级病毒库选项。
基线符合性判定依据
“应用日志”“系统日志”“安全日志”属性中的日志大小设置不小于“8M”,设置当达到最大的日志尺寸时，“按需要改写事件”。
备注
第6章
6.1
关闭默认共享
安全基线项目名称
操作系统默认共享安全基线要求项
安全基线项说明
非域环境中，关闭Windows硬盘默认共享，例如C$，D$。
检测操作步骤
进入“开始－>运行－>Regedit”，进入注册表编辑器，查看HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareServer；
备注
日志文件大小
安全基线项目名称
操作系统日志容量安全基线要求项
操作系统安全基线配置
操作系统安全基线配置操作系统安全基线配置1、系统基本配置1.1、设置强密码策略1.1.1、密码复杂度要求1.1.2、密码长度要求1.1.3、密码历史记录限制1.2、禁用默认账户1.3、禁用不必要的服务1.4、安装最新的操作系统补丁1.5、配置防火墙1.6、启用日志记录功能1.7、安装安全审计工具2、访问控制2.1、确定用户账户和组织结构2.2、分配最小特权原则2.3、管理账户权限2.3.1、内置管理员账户2.3.2、各类用户账户2.4、用户认证和授权2.4.1、双因素身份验证2.4.2、权限管理2.5、用户追踪和监管2.5.1、记录登录和注销信息2.5.2、监控用户活动3、文件和目录权限管理3.1、配置文件和目录的ACL3.2、禁止匿名访问3.3、确保敏感数据的安全性3.4、审计文件和目录访问权限4、网络安全设置4.1、配置安全网络连接4.1.1、使用SSL/TLS加密连接4.1.2、配置安全的网络协议 4.2、网络隔离设置4.2.1、网络分段4.2.2、VLAN设置4.3、防御DDoS攻击4.4、加密网络通信4.5、网络入侵检测和预防5、应用程序安全配置5.1、安装可靠的应用程序5.2、更新应用程序到最新版本 5.3、配置应用程序的访问权限 5.4、定期备份应用程序数据5.5、应用程序安全策略6、数据保护与恢复6.1、定期备份数据6.2、加密敏感数据6.3、完整性保护6.4、数据恢复7、安全审计与监控7.1、审计日志管理7.1.1、配置日志记录7.1.2、日志监控和分析7.2、安全事件响应7.2.1、定义安全事件7.2.2、响应安全事件7.2.3、安全事件报告8、物理安全8.1、服务器和设备安全8.1.1、物理访问控制8.1.2、设备保护措施8.2、网络设备安全8.2.1、路由器和交换机的安全配置 8.2.2、网络设备的物理保护8.3、数据中心安全8.3.1、安全区域划分8.3.2、访问控制措施附件：无法律名词及注释：1、双因素身份验证：双因素身份验证是指通过两个或多个不同的身份验证要素来确认用户身份的一种安全措施。
各类操作系统安全基线配置及操作指南
2 NTFS New Technology File System 新技术文件系统
4 安全配置要求 4.1 账号 编号： 1 要求内容 应按照不同的用户分配不同的账号，避免不同用户间共享账号。避 免用户账号和设备间通信使用的账号共享。 操作指南 1、参考配置操作 进入“控制面板 ->管理工具 ->计算机管理” ，在“系统工具 ->本地用 户和组” ： 根据系统的要求，设定不同的账户和账户组。 检测方法 1、 判定条件 结合要求和实际业务情况判断符合要求，根据系统的要求，设定不 同的账户和账户组 2、检测操作 进入“控制面板 ->管理工具 ->计算机管理” ，在“系统工具 ->本地用 户和组” ： 查看根据系统的要求，设定不同的账户和账户组
4.12 使用 NTFS文件系统 ..................................................... 14
4.13 网络访问 ............................................................... 15
4.14 会话超时设置 ........................................................... 16
1 范围 ....................................................................... 1
2 规范性引用文件 ............................................................. 1 3 缩略语 ..................................................................... 1
Microsoft Windows安全配置基线
Windows 系统安全配置基线备注：1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录第1章概述 (5)1.1目的 (5)1.2适用范围 (5)1.3适用版本 (5)1.4实施 (5)1.5例外条款 (5)第2章帐户管理、认证授权 (6)2.1帐户 (6)2.1.1 管理缺省帐户 (6)2.1.2 按照用户分配帐户* (6)2.1.3 删除与设备无关帐户* (7)2.2口令 (7)2.2.1密码复杂度 (7)2.2.2密码最长留存期 (8)2.2.3帐户锁定策略 (8)2.3授权 (8)2.3.1远程关机 (8)2.3.2本地关机 (9)2.3.3用户权利指派* (9)2.3.4授权帐户登陆* (10)2.3.5授权帐户从网络访问* (10)第3章日志配置操作 (11)3.1日志配置 (11)3.1.1审核登录 (11)3.1.2审核策略更改 (11)3.1.3审核对象访问 (11)3.1.4审核事件目录服务器访问 (12)3.1.5审核特权使用 (12)3.1.6审核系统事件 (13)3.1.7审核帐户管理 (13)3.1.8审核过程追踪 (13)3.1.9日志文件大小 (14)第4章IP协议安全配置 (15)4.1IP协议 (15)4.1.1启用SYN攻击保护 (15)第5章设备其他配置操作 (17)5.1共享文件夹及访问权限 (17)5.1.1关闭默认共享 (17)5.1.2共享文件夹授权访问* (17)5.2防病毒管理 (18)5.2.1数据执行保护 (18)5.3W INDOWS服务 (18)5.3.1 SNMP服务管理 (18)5.3.2系统必须服务列表管理* (19)5.3.3系统启动项列表管理* (19)5.3.4远程控制服务安全* (19)5.3.5 IIS安全补丁管理* (20)5.3.6活动目录时间同步管理* (20)5.4启动项 (21)5.4.1关闭Windows自动播放功能 (21)5.5屏幕保护 (21)5.5.1设置屏幕保护密码和开启时间* (21)5.6远程登录控制 (22)5.6.1限制远程登陆空闲断开时间 (22)5.7补丁管理 (23)5.7.1操作系统补丁管理* (23)5.7.2操作系统最新补丁管理* (23)第6章评审与修订 (24)第1章概述1.1 目的本文档旨在指导系统管理人员或安全检查人员进行WINDOWS 操作系统的安全合规性检查和配置。
Windows+8操作系统安全配置基线
Windows+8操作系统安全配置基线Windows 8操作系统安全配置基线2013年7⽉⽬录1 引⾔ (1)2 适⽤范围 (1)3 缩略语 (1)4 安全基线要求项命名规则 (1)5 ⽂档使⽤说明 (1)6 注意事项 (2)7 安全配置要求 (2)7.1 账户管理 (2)7.1.1 Administrator账户管理 (2)7.1.2 Guest账户管理 (3)7.1.3 ⽆关账户管理 (3)7.2 密码管理 (4)7.2.1 密码复杂度 (4)7.2.2 密码长度最⼩值 (4)7.2.3 密码最长使⽤期限 (5)7.2.4 强制密码历史 (5)7.2.5 账户锁定阈值（可选） (5)7.3 认证授权 (6)7.3.1 远程强制关机授权 (6)7.3.2 ⽂件所有权授权 (6)7.4.1 审核策略更改 (7)7.4.2 审核登录事件 (7)7.4.3 审核对象访问 (8)7.4.4 审核进程跟踪 (8)7.4.5 审核⽬录服务访问 (8)7.4.6 审核特权使⽤ (9)7.4.7 审核系统事件 (9)7.4.8 审核账户管理 (10)7.5.1 启⽤Windows防⽕墙 (11)7.5.2 关闭⾃动播放功能 (11)7.6 补丁与防护软件 (12)7.6.1 系统安全补丁管理 (12)7.6.2 防病毒管理 (12)7.7 共享⽂件夹及访问权限 (13)7.7.1 关闭默认共享 (13)7.7.2 设置共享⽂件夹访问权限 (13)7.8 远程维护 (13)7.8.1 远程协助安全管理 (13)7.8.2 远程桌⾯安全管理 (14)7.9.1 数据执⾏保护 (14)附录A 安全基线配置项应⽤统计表 (16)附录B 安全基线配置项应⽤问题记录表 (18)1 引⾔本⽂档规定了中国⽯油所管理的运⾏Windows 8操作系统的计算机应当遵循的操作系统安全性设置标准，是中国⽯油安全基线⽂档之⼀。
本⽂档旨在对信息系统的安全配置审计、加固操作起到指导性作⽤。
Windows操作系统安全防护基线配置要求
可能会使日志量猛增。
编号：OS-Windows-日志-03
要求内容：设置日志容量和覆盖规则，保证日志存储
操作指南：
开始-运行-eventvwr
右键选择日志，属性，根据实际需求设置；
日志文件大小：可根据需要制定。
超过上限时的处理方式（建议日志记录天数不小于90天）
检测方法：
开始-运行-eventvwr，右键选择日志，属性，查看日志上限及超过上线时的处理方式。
查看是否“从本地登陆此计算机”设置为“指定授权用户”
查看是否“从网络访问此计算机”设置为“指定授权用户”
判定条件：
“从本地登陆此计算机”设置为“指定授权用户”
“从网络访问此计算机”设置为“指定授权用户”
三、
编号：OS-Windows-口令-01
要求内容：密码长度最少8位，密码复杂度至少包含以下四种类别的字符中的三种：
英语大写字母A, B, C, … Z
英语小写字母a, b, c, … z
阿拉伯数字0, 1, 2, … 9
非字母数字字符，如标点符号，@, #, $, %, &, *等
操作指南：
进入“控制面板->管理工具->本地安全策略”，在“帐户策略->密码策略”：“密码必须符合复杂性要求”选择“已启动”。
检测方法：
检测方法：
进入“控制面板->管理工具->本地安全策略”，在“本地策略->用户权利指派”:查看“关闭系统”设置为“只指派给Administrators组”；查看是否“从远端系统强制关机”设置为“只指派给Administrators组”。
判定条件：
“关闭系统”设置为“只指派给Administrators组”；
Windows操作系统安全防护基线配置要求
打开“控制面板”，打开“管理工具”中的“服务”，找到“SNMP Service”，单击右键打开“属性”面板中的“安全”选项卡，在这个配置界面中，查看community strings，也就是微软所说的“团体名称”。
判定条件：
community strings已改，不是默认的“public”。
要求内容：在保证业务可用性的前提下，经过分析测试后，可以选择更新使用最新版本的补丁；
操作指南：
例如截止到2010年最新版本：Windows XP的Service Pack为SP3。
Windows2000的Service Pack为SP4,Windows 2003的Service Pack为SP2。
检测方法：
进入控制面板->添加或删除程序->显示更新打钩，查看是否XP系统已安装SP3，Win2000系统已安装SP4，Win2003系统已安装SP2。
五、
编号：OS-Windows-防护软件-01
要求内容：启用自带防火墙或安装第三方威胁防护软件。根据业务需要限定允许访问网络的应用程序，和允许远程登陆该设备的IP地址范围
判定条件：
缺省账户Administrator名称已更改。Guest帐号已停用。
二、
编号：OS-Windows-授权-01
要求内容：本地、远端系统强制关机只指派给Administrators组
操作指南：
进入“控制面板->管理工具->本地安全策略”，在“本地策略->用户权利指派”:“关闭系统”设置为“只指派给Administrators组”；“从远端系统强制关机”设置为“只指派给Administrators组”。
补充说明：
可能会使日志量猛增。