ISO27001检查表 Windows_Checklist ISO27001,信息审计信息安全加固手册

信息安全加固手册WINDOWS系统二零零五年四月1 补丁类 (5)1.1 最新的Service Pack (5)1.2 最新的Hotfixs (5)2 端口服务类 (6)2.1 禁止Messenger服务 (6)2.2 禁止Telnet服务 (7)3系统参数类 (7)3.1禁止自动登录 (7)3.2禁止在蓝屏后自动启动机器 (8)3.4删除服务器上的管理员共享 (9)3.5防止计算机浏览器欺骗攻击 (9)4网络参数类 (10)4.1防止碎片包攻击 (10)4.2 keep-alive时间 (11)5用户管理、访问控制、审计功能类 (12)5.1验证Passwd强度 (12)5.2密码长度 (12)5.3密码使用时间 (14)5.4账号登录事件审计 (15)5.5账号管理审计 (16)5.6目录服务访问审计 (18)5.7登录事件审计 (19)5.8对象访问审计 (21)5.9策略更改审计 (22)5.10特权使用审计 (24)5.11进程跟踪审计 (25)5.12系统事件审计 (27)5.13失败登录账号锁定 (28)5.14失败登录账号锁定时间 (29)5.15登录时间到期时自动退出登录 (30)5.16不显示上次登录的用户名 (31)5.17 防止系统保持计算机账号和口令 (32)5.18防止用户安装打印机驱动程序 (34)5.19恢复控制台禁止管理员自动登录 (35)6防病毒 (36)6.1安装防病毒软件及其更新 (37)7 Windows主机上WWW服务的安全增强 (37)7.1启用日志记录 (37)7.2删除未使用的脚本映射 (38)7.3删除IIS默认文件和目录 (39)8修改系统默认日志保存路径 (40)9 SQLSERVER加固 (40)9.1 SP补丁 (40)9.2删除不用的外部存储过程 (41)10替换CMD命令 (41)11 tunnel封装terminal服务 (42)1补丁类1.1 最新的Service Pack风险描述是否已经安装了最新的Service Pack风险等级风险高加固建议从微软的更新网站上下载最新的补丁进行安装加固存在的风险需要重启系统加固风险规避方法加固成果升级后能避免攻击者利用微软已公布的漏洞进行攻击加固具体方法WindowsSP补丁（如WIN2000的SP3）包可以用介质升级；最好选择可以恢复系统的安装方式意见管理员对本条风险加固的意见：●同意●需要修改（描述修改的意见）●不同意（描述不同意的原因）●签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见：●同意●需要修改（描述修改的意见）●不同意（描述不同意的原因）●签名（签字确认）1.2 最新的Hotfixs风险描述是否已经安装了最新的Hotfixs风险等级风险高加固建议从微软的更新网站上下载最新的补丁进行安装加固存在的风险可能需要重新启动系统加固风险规避方法加固成果升级后能避免攻击者利用微软已公布的漏洞进行攻击加固具体方法WIN2000的HOTFIX可以直接点击开始菜单的Windows Update，直接到/zhcn/default.asp升级，最好选择可以恢复系统的安装方式意见管理员对本条风险加固的意见：●同意●需要修改（描述修改的意见）●不同意（描述不同意的原因）●签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见：●同意●需要修改（描述修改的意见）●不同意（描述不同意的原因）●签名（签字确认）2端口服务类2.1 禁止Messenger服务风险描述用于把Alerter服务器的消息发送给网络上的其它机器风险等级风险低加固建议将Messenger服务停止或者禁用加固存在的风险加固成果不会把Alerter服务器的消息发送给网络上的其它机器加固具体方法1、打开控制面板->管理工具->服务窗口2、查看Messenger服务是否已启动3、将服务停止，将其启动类型由“自动”改为“手动”或者“禁用”。

意见管理员对本条风险加固的意见：●同意●需要修改（描述修改的意见）●不同意（描述不同意的原因）●签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见：●同意●需要修改（描述修改的意见）●不同意（描述不同意的原因）●签名（签字确认）2.2 禁止Telnet服务风险描述该服务在缺省时被安装.用于基于命令行方式的远程管理, 但是该协议在网络上一明文传输数据.风险等级风险高加固建议将Telnet服务停止或者禁用，如果需要进行命令行方式的远程管理, 建议使用SSH来作为替代加固存在的风险加固成果避免入侵者通过监控Telnet协议端口获得敏感信息加固具体方法1、打开控制面板->管理工具->服务窗口2、查看Telnet服务是否已启动3、将服务停止，将其启动类型由“自动”改为“手动”或者“禁用”。

意见管理员对本条风险加固的意见：●同意●需要修改（描述修改的意见）●不同意（描述不同意的原因）●签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见：●同意●需要修改（描述修改的意见）●不同意（描述不同意的原因）●签名（签字确认）3系统参数类3.1禁止自动登录风险描述自动登录会把用户名和口令以明文的形式保存在注册表中，因此需要禁止自动登录风险等级风险高加固建议修改注册表相关键值来禁止自动登录加固存在的风险加固风险规避方法加固成果禁止了系统自动登录，避免其它用户从注册表中获得其它用户及其口令加固具体方法1、运行中输入regedit2、修改键值HKLM\Software\Microsoft\Windows NT\ CurrentVersion\Winlogon\AutoAdminLogon 为(REG_DWORD) 0意见管理员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）3.2禁止在蓝屏后自动启动机器风险描述防止有恶意用户故意制造程序错误来重起机器以进行某些操作风险等级风险低加固建议修改注册表相关键值来禁止在蓝屏后自动启动机器加固存在的风险加固风险规避方法加固成果用户在输入口令时都会用星号遮掩加固具体方法1、运行中输入regedit2、修改键值HKLM\System\ CurrentControlSet\Control\CrashControl\AutoReboot 为(REG_DWORD) 0意见管理员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）3.3删除服务器上的管理员共享风险描述每个Windows NT/2000机器在安装后都缺省存在”管理员共享”,它们被限制只允许管理员使用,但是它们会在网络上以Admin$,c$等来暴露每个卷的根目录和%systemroot%目录风险等级风险高加固建议修改注册表相关键值来删除服务器上的管理员共享加固存在的风险如果在网络上使用管理员共享来进行远程备份,防病毒支持,或其它远程管理,将会使你的应用程序不工作.加固风险规避方法加固成果无法利用admin$,c$等来访问网络windows nt/2000 机器的共享加固具体方法1、运行中输入regedit2、修改键值HKLM\System\CurrentControlSet\ Services\LanmanServer\Parameters\AutoShareServer 为(REG_DWORD) 0意见管理员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）3.4防止计算机浏览器欺骗攻击风险描述虽然建议终端用户关闭他们的计算机浏览服务,但是也可能不是每个用户都会去执行.该注册表选项在计算机浏览服务被允许时提供对该服务弱点的保护.更详细的信息可以在/default.aspx?scid=kb;EN-US;q262694查到.风险等级风险中加固建议修改注册表相关键值来防止计算机浏览器欺骗攻击加固存在的风险加固风险规避方法加固成果防止计算机浏览器欺骗攻击加固具体方法1、运行中输入regedit2、修改键值HKLM\System\ CurrentControlSet\Services\MrxSmb\Parameters\RefuseReset 为(REG_DWORD) 1意见管理员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）4网络参数类4.1防止碎片包攻击风险描述帮助防止碎片包攻击风险等级风险中加固建议修改注册表相关键值来帮助防止碎片包攻击加固存在的风险加固风险规避方法加固成果能帮助防止碎片包攻击加固具体1、运行中输入regedit2、修改键值HKLM\System\CurrentControlSet\方法Services\Tcpip\Parameters\EnablePMTUDiscovery 为(REG_DWORD) 1意见管理员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）4.2 keep-alive时间风险描述Keep-alive时间被网络子系统用来判定一个TCP会话是否仍然有效. 风险等级风险低加固建议修改注册表相关键值来设定keep-alive数值加固存在的风险加固风险规避方法加固成果能限定一个TCP会话的最大保持时间加固具体方法1、运行中输入regedit2、修改键值HKLM\System\CurrentControlSet\Services\Tcpip\Parameters\KeepAliveTime 为(REG_DWORD) 300000（300000表示5分钟）意见管理员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）厂商意见厂商维护人员对本条风险加固的意见：同意需要修改（描述修改的意见）不同意（描述不同意的原因）签名（签字确认）5用户管理、访问控制、审计功能类5.1验证Passwd强度风险描述验证系统已经存在的Passwd强度风险等级风险高加固建议核查具有空口令的用户和弱密码的用户，passwd强度来增强系统安全性加固存在的风险可能造成某些其他系统来使用弱口令登陆本系统用户来做同步备份或操作的脚本失效加固风险规避方法加固成果增强用户密码的强度，大大降低用户密码被猜解的可能性加固具体方法验证系统口令强度，对弱口令的用户重新做口令加固。