1、 第 1 页 共 13 页目 录1 账户管理 .31.1 用户管理 .31.2 弱口令修改 .31.3 密码策略 .31.4 帐户锁定策略 .32 本地策略 .42.1 审核策略： .43 服务 .53.1 关闭不必须的服务 .54 网络协议 .74.1 删除 TCP/IP 外的其他网络协议： .74.2 解除 NetBios 与 TCP/IP 协议的绑定： .74.3 使用 TCP/IP 筛选限制端口： .75 注册表设置 .85.1 关闭默认共享 .85.2 减少 DDOS 攻击的影响 .85.3 处理 HTTP/FTP 半连接请求 .85.4 禁用 CD-ROM 的自动运行 .85.5
2、删除 OS2、POSIX 子系统 .95.6 防止 ICMP 重定向报文的攻击 .95.7 禁止响应 ICMP 路由通告报文 .95.8 保护内核对象标志 .95.9 禁止建立空连接 .95.10 禁用路由功能 .95.11 检查 RUN.106 文件系统与权限 .116.1 使用 NTFS 文件系统 .116.2 保护重要的 EXE 程序 .116.3 删除无用的系统文件和目录 .116.4 保护重要系统文件和目录 .126.5 加密重要、敏感文件 .126.6 系统、文件的备份： .127 常规安全 .137.1 更新 Windows 安全补丁： .137.2 使用防病毒软件： .137.
3、3 使用木马扫描软件： .137.4 使用个人防火墙： .137.5 其他常规安全设置： .14第 2 页 共 13 页1 账户管理1.1 用户管理序号 用户管理 检查确认1停用 guest 帐号：以防止未授权的用户访问。默认停用，检查确认。2限制不必要用户的数量：除日常使用、管理用帐号外，停用其他不必要的帐号、删除废弃帐号3重命名 administrator 帐号：重命名 administrator 帐号，创建一个低权限的名为“administrator ”的本地帐号，设置复杂密码，作为陷阱帐号。方法：控制面板管理工具计算机管理本地用户和组1.2 弱口令修改使用口令猜测工具扫描计算机的弱口令
4、帐户，并根据扫描结果，提交用户修改1.3 密码策略序号 策略 设置 检查确认1 密码必须符合复杂性要求 启用2 密码长度最小值 6 位3 密码最长存留期 30 天4 密码最短存留期5 密码强制历史 5 次方法：控制面板管理工具本地安全策略帐户策略1.4 帐户锁定策略序号 策略 设置 检查确认1 复位帐户锁定计数器 20 分钟2 帐户锁定时间 20 分钟3 帐户锁定阀值 3 次方法：控制面板管理工具本地安全策略帐户策略第 3 页 共 13 页2 本地策略2.1 审核策略：序号 策略 设置 检查确认1 审核策略更改 成功 失败2 审核登录事件 成功 失败3 审核对象访问 失败4 审核过程追踪5 审
5、核目录服务访问 失败6 审核特权使用 失败7 审核系统事件 成功 失败8 审核帐户登录事件 成功 失败9 审核帐户管理 成功 失败方法：控制面板管理工具本地安全策略本地策略第 4 页 共 13 页3 服务3.1 关闭不必须的服务序号 服务 设置 说明1 Alerter 手动 提供管理性的警告功能，通过 NetSend 命令2 Application Management 手动 提供软件安装服务，诸如分派，发行以及删除3 ClipBook 己禁用 通过网络共享剪贴板中的内容4 Computer Browser 手动维护网上邻居的计算机列表（局域网内仅需启用一台）5 DHCP Client 已禁用
6、 手动配置网络设置时，禁用此服务6 Distributed link tracking client 手动 局域网文件、资源连接信息更新（较耗内存）7 Distributed Transaction Coordinator 手动 SQL Server 使用8 Error reporting service 己禁用 发送错误报告给微软9 Fax 己禁用 提供传真功能10 Indexing Service 己禁用 很耗资源的目录索引服务，应禁用11 Internet Connection Sharing 手动 用于 Internet 连接共享12 IPSEC Policy Agent 手动 用于
7、IP 安全协议（IPSEC ） ，VPN、无线等用13 Logical Disk Manager 手动14Logical Disk Manager Administrative Service手动用于支持磁盘管理控制，设置成手动，需要时启动15 Messenger 手动 和 Alerter 服务一同使用，与 MSN 没有关系16 Net Logon 手动 只用于在基于域的网络中登录17NetMeeting Remote Desktop Sharing已禁用允许有权限的用户使用 NetMeeting 远程访问 Windows 桌面。18 Network Connections 手动 管理“网络和
8、拨号连接”文件夹中对象19 Network DDE 已禁用20 Network DDE DSDM 已禁用动态数据交换。ClipBook 服务时少数几个使用网络DDE 的程序之一。禁用以防被远程启动21 NT LM Security Support Provider 手动 提供 RPC 连接的验证，极少用，Exchange Server 使用22 Performance Logs and Alerts 手动 配置性能日志和警报23Portable Media Serial Number Service手动获取连接到计算机上的便携音乐播放器序列号，向播放器传送受保护的内容时需要这个序列号24 Qo
9、S RSVP 手动 为应用程序提供 QOS，常见的为 NetMeeting25Remote Access Auto Connection Manager已禁用 常用于自动拨号到 ISP，非拨号用户可禁用第 5 页 共 13 页26 Remote Access Connection Manager 手动 创建网络连接并管理网络连接文件夹27Remote Desktop Help Session Manager已禁用 远程协助功能，WinXP 用，危险且耗资源，应禁用28Remote Procedure Call (RPC) Locator手动帮助网络上其他计算机发现这台计算机上的基于 RPC的程
10、序，不常见。29 Remote Registry Service 已禁用 远程修改注册表，危险的操作，应禁用30 Removable Storage 手动 管理脱机存储媒体，一般用于磁带备份等31 Routing and Remote Access 已禁用 在局域网以及广域网环境中为企业提供路由服务32 Smart Card 手动33 Smart Card Helper 手动用于支持智能卡身份验证硬件34 TCP/IP NetBIOS Helper Service 手动 提供 NetBIOS 名字管理35 Telephony 手动 支持调制解调器的连接36 Telnet 已禁用 提供通过远程命
11、令行对系统的访问37 terminal services 已禁用 实现远程登录本地电脑，快速用户切换和远程桌面38 Uninterruptible Power Supply 手动 管理连接到计算机的不间断电源(UPS)39 Windows Installer 手动 管理 Windows 安全程序（.msi）40Windows Management Instrumentation Driver Extensions手动 与驱动程序间交换系统管理信息41 Windows Time 手动 时间同步服务说明： 以上服务列表基于 Win2000 系统，也包括 WinXP 中少量危险的服务 以上未提及的服
12、务为重要的系统服务，保持默认的自动设置，应用程序的服务请按情况设置 以上列表中多数服务默认情况下已经为手动启动，检查确认 配置方法：在“运行”中输入“services.msc” 或者：控制面板计算机管理服务，中进行相应的修改第 6 页 共 13 页4 网络协议4.1 删除 TCP/IP 外的其他网络协议：删除 TCP/IP 外的 NETBEUI， IPX/SPX 等其他协议，删除文件和打印共享方法：本地连接属性4.2 解除 NetBios 与 TCP/IP 协议的绑定：减少 NetBios 漏洞的攻击企图和系统信息泄漏方法：本地连接属性TCP/IP属性高级WINS禁用 TCP/IP 上的Net
13、Bios4.3 使用 TCP/IP 筛选限制端口：UDP 协议和 ICMP 协议一样是基于无连结的，一样容易伪造，所以如果不是必要（例如要从 UDP 提供 DNS 服务之类）应该选择全部不允许，避免受到洪水（Flood）或碎片（Fragment）攻击最右边的一个编辑框是定义 IP 协议过滤的，我们选择只允许 TCP 协议通过，添加一个 6（6 是 TCP 在 IP 协议中的代码，IPPROTO_TCP=6）方法：本地连接属性TCP/IP属性高级选项TCP/IP 筛选第 7 页 共 13 页5 注册表设置5.1 关闭默认共享注册表项： HKEY_LOCAL_MACHINESYSTEMCurren
14、tControlSetServicesLanmanServerParameters序号 键值 类型 值 说明1 添加键值 AutoShareServer DWORD 0 关闭 C$等共享2 添加键值 AutoShareWKS DWORD 0 关闭 ADMIN$共享关闭 IPC$共享5.2 减少 DDOS 攻击的影响注册表项： HKLMSystemCurrentControlSetServicesTcpipParameters序号 键值 类型 值 说明1 SynAttackProtect DWORD 22 EnableICMPRedirec DWORD 03 SynAttackProtect D
15、WORD 24 EnableDeadGWDetect DWORD 05 EnablePMTUDiscovery DWORD 06 KeepAliveTime DWORD 300,0007 DisableIPSourceRoutin DWORD 28 TcpMaxConnectResponseRetransmissions DWORD 29 TcpMaxDataRetransmissions DWORD 310 PerformRouterDiscovery DWORD 011 TCPMaxPortsExhausted DWORD 55.3 处理 HTTP/FTP 半连接请求注册表项： HKLMS
16、ystemCurrentControlSetServicesAFDParameters序号 键值 类型 值 说明1 DynamicBacklogGrowthDelta DWORD 102 EnableDynamicBacklog DWORD 13 MinimumDynamicBacklog DWORD 204 MaximumDynamicBacklog DWORD 200005.4 禁用 CD-ROM 的自动运行防止恶意程序的自动加载运行，防止病毒等的扩散。注册表项： HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesExplorer第 8 页
17、 共 13 页序号 键值 类型 值 说明1 NoDriveTypeAutoRun DWORD 0xFF5.5 删除 OS2、POSIX 子系统注册表项： HKLMSYSTEMCurrentControlSetControlSession ManagerSubSystems序号 动作1 删除以下键值：Optional；OS2；POSIX5.6 防止 ICMP 重定向报文的攻击注册表项： HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters序号 键值 类型 值 说明1 EnableICMPRedirects DWORD 0
18、5.7 禁止响应 ICMP 路由通告报文注册表项： HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersInterfacesinterface序号 键值 类型 值 说明2 PerformRouterDiscovery DWORD 05.8 保护内核对象标志注册表项： HKLMSYSTEMCurrentControlSetControlSession Manager序号 键值 类型 值 说明1 EnhancedSecurityLevel DWORD 15.9 禁止建立空连接注册表项： Local_MachineSyste
19、mCurrentControlSetControlLSA序号 键值 类型 值 说明1 RestrictAnonymous DWORD 15.10 禁用路由功能注册表项： HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters序号 键值 类型 值 说明1 IPEnableRouter DWORD 0第 9 页 共 13 页5.11 检查 RUN注册表项： HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrenVersionRun序号 动作1 检查 RUN，是否存在可疑的启动项目第
20、10 页 共 13 页6 文件系统与权限6.1 使用 NTFS 文件系统NTFS 相对 FAT32 拥有更优秀的安全、效率和功能。在可能的情况下，所有分区都应该使用 NTFS 格式6.2 保护重要的 EXE 程序序号 文件 位置 设置1 cmd.exe c:winntsystem32 只能由管理员访问，其他用户不能访问2 finger.exe c:winntsystem32 只能由管理员访问，其他用户不能访问3 nbtstat.exe c:winntsystem32 只能由管理员访问，其他用户不能访问4 netstat.exe c:winntsystem32 只能由管理员访问，其他用户不能访问
21、5 rsh.exe c:winntsystem32 只能由管理员访问，其他用户不能访问6 rcp.exe c:winntsystem32 只能由管理员访问，其他用户不能访问7 route.exe c:winntsystem32 只能由管理员访问，其他用户不能访问8 telnet.exe c:winntsystem32 只能由管理员访问，其他用户不能访问9 tftp.exe c:winntsystem32 只能由管理员访问，其他用户不能访问10 tracert.exe c:winntsystem32 只能由管理员访问，其他用户不能访问11 c:winntsystem32 只能由管理员访问，其他
22、用户不能访问12 net.exe c:winntsystem32 只能由管理员访问，其他用户不能访问13 ipconfig.exe c:winntsystem32 只能由管理员访问，其他用户不能访问14 ping.exe c:winntsystem32 只能由管理员访问，其他用户不能访问15 regedt32.exe c:winntsystem32 只能由管理员访问，其他用户不能访问备注：另一种方法为创建一个只能由管理员访问的目录，把上述的文件都移到该目录中6.3 删除无用的系统文件和目录序号 类别 文件/目录 说明1 DOS 文件 dos（目录） 查找并删除，防止攻击者进入 DOS2 OS/2 子系统文件OS2（目录）Os2.exeOs2srv.exeOs2ss.exe查找并删除
