本文針對Windows操作系統的賬號管理、賬戶授權、日志配置、通信協議（IP協議安全）以及設置其他安全進行合規性檢查和配置。

一、賬戶管理：

1、分配賬號：

進入“控制面板->管理工具->計算機管理”，在“系統工具->本地用戶和組”，結合要求和實際業務情況判斷符合要求，根據系統的要求，設定不同的賬戶和賬戶組。

2、清除無效賬戶：

進入“控制面板->管理工具->計算機管理”，在“系統工具->本地用戶和組”，刪除或鎖定與設備運行、維護等與工作無關的賬號。

3、更改缺省賬戶名稱；禁用guest（來賓）賬號：

進入“控制面板->管理工具->計算機管理”，在“系統工具->本地用戶和組”。Administrator－>屬性－> 更改名稱，Guest賬號->屬性－> 已停用。

4、配置密碼策略：

進入“控制面板->管理工具->本地安全策略”，在“賬戶策略->密碼策略”。“密碼必須符合復雜性要求”選擇“已啟動”設置符合要求的策略。

5、配置賬戶鎖定策略：

進入“控制面板->管理工具->本地安全策略”，在“賬戶策略->賬戶鎖定策略”。

二、賬戶授權：

1、遠端系統強制關機設置：

進入“控制面板->管理工具->本地安全策略”，在“本地策略->用戶權利指派”。“從遠端系統強制關機”設置為“只指派給Administrators組”。

2、關閉系統設置：

進入“控制面板->管理工具->本地安全策略”，在“本地策略->用戶權利指派”。“關閉系統”設置為“只指派給Administrators組”。

3、“取得文件或其它對象的所有權”設置：

進入“控制面板->管理工具->本地安全策略”，在“本地策略->用戶權利指派”。“取得文件或其它對象的所有權”設置為“只指派給Administrators組”。

4“從本地登錄此計算機”設置：

進入“控制面板->管理工具->本地安全策略”，在“本地策略->用戶權利指派”，“從本地登錄此計算機”設置為“指定授權用戶”。

5、“從網絡訪問此計算機”設置：

進入“控制面板->管理工具->本地安全策略”，在“本地策略->用戶權利指派”，“從網絡訪問此計算機”設置為“指定授權用戶”。

三、日志配置：

1、審核策略設置：

開始->運行-> 執行“控制面板->管理工具->本地安全策略->審核策略”

審核登錄事件，雙擊，設置為成功和失敗都審核。

“審核策略更改”設置為“成功”和“失敗”都要審核

“審核對象訪問”設置為“成功”和“失敗”都要審核

“審核目錄服務器訪問”設置為“成功”和“失敗”都要審核

“審核特權使用”設置為“成功”和“失敗”都要審核

“審核系統事件”設置為“成功”和“失敗”都要審核

“審核賬戶管理”設置為“成功”和“失敗”都要審核

“審核過程追蹤”設置為“失敗”需要審核

2、日志記錄策略設置：

進入“控制面板->管理工具->事件查看器”，在“事件查看器（本地）”中：

“應用日志”屬性中的日志大小設置不小于“8192KB”,設置當達到最大的日志尺寸時，“按需要改寫事件”

“系統日志”屬性中的日志大小設置不小于“8192KB”,設置當達到最大的日志尺寸時，“按需要改寫事件”

“安全日志”屬性中的日志大小設置不小于“8192KB” ,設置當達到最大的日志尺寸時，“按需要改寫事件”。

四、通信協議（IP協議安全）：

1、啟用TCP/IP篩選：

系統管理員出示業務所需端口列表。根據列表只開放系統與業務所需端口。進入“控制面板－>網絡連接－>本地連接”，進入“Internet協議（TCP/IP）屬性－>高級TCP/IP設置”，在“選項”的屬性中啟用網絡連接上的TCP/IP篩選，只開放業務所需要的TCP，UDP端口和IP協議。

2、開啟系統防火墻：

系統管理員出示業務所需端口列表。根據列表只開放系統與業務所需端口。進入“控制面板－>網絡連接－>本地連接”，在高級選項的設置中：啟用Windows防火墻。在“例外”中配置允許業務所需的程序接入網絡。在“例外->編輯->更改范圍”編輯允許接入的網絡地址范圍。

3、啟用SYN攻擊保護：

在“開始->運行->鍵入regedit”啟用 SYN 攻擊保護的命名值位于注冊表項HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices 之下。值名稱：SynAttackProtect。推薦值：2。

以下部分中的所有項和值均位于注冊表項 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices 之下。

指定必須在觸發 SYNflood 保護之前超過的 TCP 連接請求閾值。值名稱：TcpMaxPortsExhausted。推薦值：5。

啟用SynAttackProtect 后，該值指定SYN_RCVD 狀態中的 TCP 連接閾值，超過 SynAttackProtect 時，觸發 SYN flood 保護。值名稱：TcpMaxHalfOpen。推薦值數據：500。

啟用 SynAttackProtect 后，指定至少發送了一次重傳的 SYN_RCVD 狀態中的 TCP 連接閾值。超過 SynAttackProtect 時，觸發 SYN flood 保護。值名稱：TcpMaxHalfOpenRetried。推薦值數據：400。

Windows Server 2012

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersSynAttackProtect推薦值：2

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersTcpMaxHalfOpen推薦值：500

Windows Server 2008

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSynAttackProtect推薦值：2

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpMaxPortsExhausted推薦值：5

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpMaxHalfOpen推薦值：500HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpMaxHalfOpenRetried推薦值：400

五、設置其他安全要求：

1、啟用屏幕保護程序：

進入“控制面板－>顯示－>屏幕保護程序”：啟用屏幕保護程序，設置等待時間為“5分鐘”，啟用“在恢復時使用密碼保護”。

2、設置Microsoft網絡服務器掛起時間：

進入“控制面板->管理工具->本地安全策略”，在“本地策略->安全選項”：“Microsoft網絡服務器”設置為“在掛起會話之前所需的空閑時間”為15分鐘。

3、關閉默認共享：

進入“開始－>運行－>Regedit”，進入注冊表編輯器更改注冊表鍵值：在HKLMSystemCurrentControlSetServicesLanmanServerParameters下，增加REG_DWORD類型的AutoShareServer鍵，值為0。

4、設置共享文件夾訪問權限:

進入“控制面板->管理工具->計算機管理”，進入“系統工具－>共享文件夾”：查看每個共享文件夾的共享權限，只將權限授權于指定賬戶。

5、安裝系統補丁：

安裝最新的Service Pack補丁集，以及最新的Hotfix補丁。目前Windows XP的Service Pack為SP3。Windows2000的Service Pack為SP4,Windows 2003的Service Pack為SP2。

注意：安裝補丁前，應對操作系統進行兼容性測試，避免補丁打上后系統無法正常使用。

6、安裝、更新殺毒軟件：

安裝防病毒軟件，并將病毒庫更新到最新的版本。

7、數據執行保護配置：

進入“控制面板－>系統”，在“高級”選項卡的“性能”下的“設置”。進入 “數據執行保護”選項卡。設置為“僅為基本 Windows 操作系統程序和服務啟用DEP”。

8、關閉服務：

進入“控制面板->管理工具->計算機管理”，進入“服務和應用程序”：

查看所有服務，不在此列表的服務都需要（還是評估一下吧）關閉。

?

?

9、修改SNMP服務密碼：

打開“控制面板”，打開“管理工具”中的“服務”，找到“SNMP Service”，單擊右鍵打開“屬性”面板中的“安全”選項卡，在這個配置界面中，可以修改community strings，也就是微軟所說的“團體名稱”。

10、關閉無效啟動項：

“開始->運行->MSconfig”啟動菜單中，取消不必要的啟動項。

11、關閉Windows自動播放功能：

點擊開始→運行→輸入gpedit.msc，打開組策略編輯器，瀏覽到計算機配置→管理模板→系統，在右邊窗格中雙擊“關閉自動播放”，對話框中選擇所有驅動器，確定即可。

?