首页 / WINDOWS / 阿里云Windows操作系统安全加固

阿里云Windows操作系统安全加固

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了阿里云Windows操作系统安全加固，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含5147字，纯文字阅读大概需要8分钟。

内容图文

更新时间： 2019-10-29

本文档旨在指导系统管理人员或安全检查人员进行Windows操作系统的安全合规性检查和配置。

1. 账户管理和认证授权

1.1 账户

默认账户安全

禁用Guest账户。
禁用或删除其他无用账户（建议先禁用账户三个月，待确认没有问题后删除。）

操作步骤

打开控制面板 > 管理工具 > 计算机管理，在系统工具 > 本地用户和组 > 用户中，双击 Guest 帐户，在属性中选中帐户已禁用，单击确定。

按照用户分配帐户

按照用户分配帐户。根据业务要求，设定不同的用户和用户组。例如，管理员用户，数据库用户，审计用户，来宾用户等。

操作步骤

打开控制面板 > 管理工具 > 计算机管理，在系统工具 > 本地用户和组中，根据您的业务要求设定不同的用户和用户组，包括管理员用户、数据库用户、审计用户、来宾用户等。

定期检查并删除与无关帐户

定期删除或锁定与设备运行、维护等与工作无关的帐户。

操作步骤

打开控制面板 > 管理工具 > 计算机管理，在系统工具 > 本地用户和组中，删除或锁定与设备运行、维护等与工作无关的帐户。

不显示最后的用户名

配置登录登出后，不显示用户名称。

操作步骤：

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 安全选项中，双击交互式登录:不显示最后的用户名，选择已启用并单击确定。

技术分享图片

1.2 口令

密码复杂度

密码复杂度要求必须满足以下策略：

最短密码长度要求八个字符。
启用本机组策略中密码必须符合复杂性要求的策略。
即密码至少包含以下四种类别的字符中的两种：
- 英语大写字母 A, B, C, … Z
- 英语小写字母 a, b, c, … z
- 西方阿拉伯数字 0, 1, 2, … 9
- 非字母数字字符，如标点符号，@, #, $, %, &, *等

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在帐户策略 > 密码策略中，确认密码必须符合复杂性要求策略已启用。

密码最长留存期

对于采用静态口令认证技术的设备，帐户口令的留存期不应长于90天。

操作步骤打开控制面板 > 管理工具 > 本地安全策略，在帐户策略 > 密码策略中，配置密码最长使用期限不大于90天。技术分享图片

帐户锁定策略

对于采用静态口令认证技术的设备，应配置当用户连续认证失败次数超过10次后，锁定该用户使用的帐户。

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在帐户策略 > 帐户锁定策略中，配置帐户锁定阈值不大于10次。

配置样例：

技术分享图片

1.3 授权

远程关机

在本地安全设置中，从远端系统强制关机权限只分配给Administrators组。

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 用户权限分配中，配置从远端系统强制关机权限只分配给Administrators组。

本地关机

在本地安全设置中关闭系统权限只分配给Administrators组。

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 用户权限分配中，配置关闭系统权限只分配给Administrators组。

用户权限指派

在本地安全设置中，取得文件或其它对象的所有权权限只分配给Administrators组。

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 用户权限分配中，配置取得文件或其它对象的所有权权限只分配给Administrators组。

授权帐户登录

在本地安全设置中，配置指定授权用户允许本地登录此计算机。

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 用户权限分配中，配置允许本地登录权限给指定授权用户。

授权帐户从网络访问

在本地安全设置中，只允许授权帐号从网络访问（包括网络共享等，但不包括终端服务）此计算机。

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 用户权限分配中，配置从网络访问此计算机权限给指定授权用户。

技术分享图片

2. 日志配置操作

2.1 日志配置

审核登录

设备应配置日志功能，对用户登录进行记录。记录内容包括用户登录使用的帐户、登录是否成功、登录时间、以及远程登录时、及用户使用的IP地址。

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 审核策略中，设置审核登录事件。

审核策略

启用本地安全策略中对Windows系统的审核策略更改，成功和失败操作都需要审核。

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 审核策略中，设置审核策略更改。

审核对象访问

启用本地安全策略中对Windows系统的审核对象访问，成功和失败操作都需要审核。

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 审核策略中，设置审核对象访问。

审核事件目录服务访问

启用本地安全策略中对Windows系统的审核目录服务访问，仅需要审核失败操作。

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 审核策略中，设置审核目录服务器访问。

审核特权使用

启用本地安全策略中对Windows系统的审核特权使用，成功和失败操作都需要审核。

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 审核策略中，设置审核特权使用。

审核系统事件

启用本地安全策略中对Windows系统的审核系统事件，成功和失败操作都需要审核。

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 审核策略中，设置审核系统事件。

审核帐户管理

启用本地安全策略中对Windows系统的审核帐户管理，成功和失败操作都要审核。

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 审核策略中，设置审核帐户管理。

审核过程追踪

启用本地安全策略中对Windows系统的审核进程追踪，仅失败操作需要审核。

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 审核策略中，设置审核进程追踪。技术分享图片

日志文件大小

设置应用日志文件大小至少为 8192 KB，可根据磁盘空间配置日志文件大小，记录的日志越多越好。并设置当达到最大的日志尺寸时，按需要轮询记录日志。

操作步骤

打开控制面板 > 管理工具 > 事件查看器，配置应用日志、系统日志、安全日志属性中的日志大小，以及设置当达到最大的日志尺寸时的相应策略。
技术分享图片

3. IP协议安全配置

3.1 IP协议安全

启用SYN攻击保护

启用SYN攻击保护。

指定触发SYN洪水攻击保护所必须超过的TCP连接请求数阈值为5。
指定处于 SYN_RCVD 状态的 TCP 连接数的阈值为500。
指定处于至少已发送一次重传的 SYN_RCVD 状态中的 TCP 连接数的阈值为400。

操作步骤

打开注册表编辑器，根据推荐值修改注册表键值。

Windows Server 2012

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\SynAttackProtect
推荐值：2
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\TcpMaxHalfOpen
推荐值：500

Windows Server 2008

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SynAttackProtect
推荐值：2
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TcpMaxPortsExhausted
推荐值：5
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TcpMaxHalfOpen
推荐值：500
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TcpMaxHalfOpenRetried
推荐值：400

4. 文件权限

4.1 共享文件夹及访问权限

关闭默认共享

非域环境中，关闭Windows硬盘默认共享，例如C$，D$。

操作步骤

打开注册表编辑器，根据推荐值修改注册表键值。

注意： Windows Server 2012版本已默认关闭Windows硬盘默认共享，且没有该注册表键值。

HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareServer
推荐值： 0

共享文件夹授权访问

每个共享文件夹的共享权限，只允许授权的帐户拥有共享此文件夹的权限。

操作步骤

每个共享文件夹的共享权限仅限于业务需要，不要设置成为 Everyone。打开控制面板 > 管理工具 > 计算机管理，在共享文件夹中，查看每个共享文件夹的共享权限。

5. 服务安全

5.1 禁用TCP/IP上的NetBIOS

禁用TCP/IP上的NetBIOS协议，可以关闭监听的 UDP 137（netbios-ns）、UDP 138（netbios-dgm）以及 TCP 139（netbios-ssn）端口。

操作步骤

在计算机管理 > 服务和应用程序 > 服务中禁用 TCP/IP NetBIOS Helper 服务。
在网络连接属性中，双击 Internet协议版本4（TCP/IPv4），单击高级。在 WINS 页签中，进行如下设置：

禁用不必要的服务

禁用不必要的服务，请参考：
技术分享图片

6.安全选项

6.1 启用安全选项

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 安全选项中，进行如下设置：
技术分享图片

6.2 禁用未登录前关机

服务器默认是禁止在未登录系统前关机的。如果启用此设置，服务器安全性将会大大降低，给远程连接的黑客造成可乘之机，强烈建议禁用未登录前关机功能。

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 安全选项中，禁用关机: 允许系统在未登录前关机策略。
技术分享图片

7. 其他安全配置

7.1 防病毒管理

Windows系统需要安装防病毒软件。

操作步骤

安装企业级防病毒软件，并开启病毒库更新及实时防御功能。

7.2 设置屏幕保护密码和开启时间

设置从屏幕保护恢复时需要输入密码，并将屏幕保护自动开启时间设定为五分钟。

操作步骤

启用屏幕保护程序，设置等待时间为 5分钟，并启用在恢复时使用密码保护。

7.3 限制远程登录空闲断开时间

对于远程登录的帐户，设置不活动超过时间15分钟自动断开连接。

操作步骤

打开控制面板 > 管理工具 > 本地安全策略，在本地策略 > 安全选项中，设置 Microsoft网络服务器：暂停会话前所需的空闲时间数量属性为15分钟。

7.4 操作系统补丁管理

安装最新的操作系统Hotfix补丁。安装补丁时，应先对服务器系统进行兼容性测试。

操作步骤

安装最新的操作系统Hotfix补丁。安装补丁时，应先对服务器系统进行兼容性测试。

注意：对于实际业务环境服务器，建议使用通知并自动下载更新，但由管理员选择是否安装更新，而不是使用自动安装更新，防止自动更新补丁对实际业务环境产生影响。
技术分享图片

转自：https://www.alibabacloud.com/help/zh/faq-detail/49781.htm

原文：https://www.cnblogs.com/gs008/p/12401223.html

内容总结

以上是互联网集市为您收集整理的阿里云Windows操作系统安全加固全部内容，希望文章能够帮你解决阿里云Windows操作系统安全加固所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/1252001.html

来源：【匿名】

【上一篇】如何关闭windows电脑的开机自启程序【下一篇】Mysql 4.1 Windows 下升级问题

更多 ►

【阿里云Windows操作系统安全加固】教程文章相关的互联网学习教程文章

js判断操作系统windows,ios,android(笔记)【代码】

使用JS判断用户使用的系统是利用浏览器的userAgent。 navigator.userAgent：userAgent 获取了浏览器用于 HTTP 请求的用户代理头的值。 navigator.platform：platform 获取运行浏览器的操作系统和（或）硬件平台。<html><head><meta http-equiv="Content-Type" content="text/html; charset=utf-8"><title></title><script type="text/javascript">var u = navigator.userAgent; var iswindows = (u.indexOf("Windows",0) !=...

Windows操作系统必须禁止的10个服务

1.NetMeeting Remote Desktop Sharing：允许受权的用户通过NetMeeting在网络上互相访问对方。这项服务对大多数个人用户并没有多大用处，况且服务的开启还会带来安全问题，因为上网时该服务会把用户名以明文形式发送到连接它的客户端，黑客的嗅探程序很容易就能探测到这些账户信息。 2.Universal Plug and Play Device Host：此服务是为通用的即插即用设备提供支持。这项服务存在一个安全漏洞，运行此服务的计算机很容易受到攻击。攻...

WDS+MDT部署Windows7操作系统—部署操作系统【代码】【图】

1. 然后我们就准备体验一下通过PXE部署一个简单的操作系统啦，哈哈！准备一台虚拟机，开机按F12，650) this.width=650;" title="image_thumb107" border="0" src="/upload/getfiles/default/2022/11/10/20221110051335261.jpg" height="341" />650) this.width=650;" title="image_thumb103" border="0" src="/upload/getfiles/default/2022/11/10/20221110051335553.jpg" height="294" />650) this.width=650;" title="image_t...

Windows 93操作系统现身！总觉得怪怪的(附体验地址)【图】

尽管微软从未开发过Windows 93操作系统，但这并不代表Windows 93就不存在，最近就有开发者搞出了一个基于浏览器的“Windows 93”操作系统。小编看了之后，感觉哪里不对，一起随脚本之家看看吧！开发者煞有其事的为它加入了硬件引导以及开机画面，开机之后桌面还有非常多的小图标，诸如画图等应用还可以流畅运行，但其中大部分软件运行效果都不咋地。桌面上的图标可以看做是典型的Windows 95风格，操作起来满满都是回忆。如果你想要...

在VMware中安装windows7操作系统【图】

1、在https://msdn.itellyou.cn/下载Windows7镜像 2、下载镜像之后在VMware中配置虚拟机内存为2G就可以，硬盘容量为30G就可以。其他的默认就行（注意要指定虚拟机iso镜像位置） 3、之后需要安装VMware Tools来使得虚拟机中鼠标流畅并且可以全屏显示如果安装VMware Tools报错：提示你必须安装microsoft windows 7 service pack 1，请安装SP1并再次安装程序原因：你需要安装sp1版本。重新下载win7 64 sp1版本，重新建虚拟机，安装is...

Windows2008操作系统 IIS7 IIS7.5 进程池经常死最终解决方案【图】

作为一个服务器维护人员，经常遇到不可解决的问题，这问题一直存在，一直困扰我多时，经常凌晨1-2点起床，就为了重启一下进程池错误应用程序名称: w3wp.exe，版本: 7.5.7600.16385，时间戳: 0x4a5bd0eb错误模块名称: ntdll.dll，版本: 6.1.7600.16385，时间戳: 0x4a5be02b异常代码: 0xc0000374错误偏移量: 0x00000000000c6cd2错误进程 ID: 0xb54c错误应用程序启动时间: 0x01d0c0d94f91529a错误应用程序路径: c:\windows\system32\i...

在Windows基础上（硬盘）安装Linux操作系统（CentOS/RedHat）

注：该方法安装CentOS ,RedHat均没有问题，其它Linux操作系统，没有尝试过。0、创建一个fat32的盘。我分了8G给这个盘，盘符为F。F盘以后的内存所有删除，作为未分配的内存。这个留用Linux OS的使用空间；由于linux使用的文件系统跟windows有点不一样。所以，我们要让Linux来自己创建属于他自己的文件系统；1、下载Linux操作系统镜像文件：我用的是CentOS 6.2；2、下载grub4dos:http://www.linuxidc.com/Linux/2009-01/18027.htm。将...

操作系统 - unix和windows下进程异同

在UNIX系统中，仅仅有一个系统调用能够用来创建新进程：fork。这个系统调用会创建一个与调用进程相同的副本。在调用了fork之后。这两个进程（父进程和子进程）拥有相同的存储映像、相同的环境字符串和相同的打开文件。这就是所有情形。同城，子进程接着运行execve或一个类似的系统调用，以改动其存储映像并运行一个新的程序。比如，当一个用户在shell中键入命令时，shell就创建一个子进程，然后，这个子进程运行sort。之所以要安排...

Windows操作系统添加永久静态路由

1.比如:添加一条去往 10.10.10.0/24网段的静态路由，指定去往此网段的路由都走 172.20.153.254网关route -p add 10.10.10.0 mask 255.255.255.0 172.20.153.254其中此处用到的几个参数的作用是： -p 表示永久路由，重启后不丢失 Add 添加路由 10.10.10.0 表示目的网段的网络地址 Mask 固定命令，后面跟的是目标网段的子网掩码 172.20.153.254 是去往目的网段的2.检查一下是否添加成功 route print3.删除添加的永久...

windows操作系统下java程序使用sigar的使用问题

今天，处理了一个windows操作系统下java程序使用sigar的使用问题。之前是将dll文件放置在C:\Windows\SysWOW64下。后来，还是会报错（调用获取cup信息时出错），网上找了好久，发现需要在你运行程序时依赖的jdk的安装路径下的bin目录下，放置对应的dll文件（sigar-x86-winnt.dll或sigar-amd64-winnt.dll），重启服务，运行，ok ps：可使用System.out.println(System.getProperty("java.library.path"));获取你的jdk路径（打...

2.30 准备Windows Server 2012 R2操作系统【图】

为了构建完整的vSphere环境，根据规划，我们需要准备一台Windows Server 2012 R2操作系统，此操作系统可扮演多重角色（域控制器、存储服务器、DNS服务器）。具体的执行过程如下。在VMware Workstation中新建一台虚拟机充当Storage Server，其配置参数参考上一节所讲。保证本机上有两块网卡并按前面的规划正确桥接，一块用于管理流量/业务流量，IP网段是10.0.0.0/24，桥接到VMnet0；另一块用于其他流量（存储流量）管理，IP网段是...

WINDOWS操作系统中可以允许最大的线程数（线程栈预留1M空间）（56篇Windows博客值得一看）【代码】

WINDOWS操作系统中可以允许最大的线程数默认情况下，一个线程的栈要预留1M的内存空间而一个进程中可用的内存空间只有2G，所以理论上一个进程中最多可以开2048个线程但是内存当然不可能完全拿来作线程的栈，所以实际数目要比这个值要小。你也可以通过连接时修改默认栈大小，将其改的比较小，这样就可以多开一些线程。如将默认栈的大小改成512K，这样理论上最多就可以开4096个线程。即使物理内存再大，一个进程中可以起的线程总...

windows8操作系统如何建立WIFI热点 win8系统创建WIFI热点图文详细介绍【图】

大家都知道在没有无线WIFI设备的情况下，Win7可以创建无线临时网络来实现网络共享，使WiFi设备通过笔记本可以连接到网络。那么在Win8系统实际上已经取消了无线临时网络（ad-hoc)的功能，单虚拟WiFi的这个功能还是有的，下面我们将介绍在Win8下如何创建WiFi热点共享。设置如下：1. 在桌面左下角右击，选择命令指令符（管理员）；2. 启用并设定虚拟WiFi网卡；运行命令：netsh wlan set hostednetwork mode=allow ssid=cai key=123456...

使用ultraiso制作启动盘安装windows操作系统【图】

1. 使用ultraiso制作u盘启动盘在电脑上安装ultraiso；启动ultraiso，文件->打开->选中iso镜像文件菜单栏->启动->写入硬盘映像 a. 便捷启动->写入新的驱动器引导扇区->win10/win8/win7/vista b. 刻录校验打钩 c. 写入方式选择USB-HDD+ d. 写入详细如图所示： 2. 开始安装windows操作系统将制作好的u盘启动盘插入usb口，启动电脑，在出现电脑品牌窗口是连续按下F2(有些电脑是F8，F12)，进入bios设置界面，设置从u盘启动；安装过程可...

Windows操作系统下查看日志

运行eventvwr.msc即可打开事件查看器，在其中可以查找由于Windows的应用程序或系统出现异常错误的详细日志。如下图原文：http://www.cnblogs.com/kwang-cai/p/5473561.html

首页 / WINDOWS / 阿里云Windows操作系统安全加固

阿里云Windows操作系统安全加固

内容导读

内容图文

更新时间： 2019-10-29

1. 账户管理和认证授权

1.1 账户

默认账户安全

按照用户分配帐户

定期检查并删除与无关帐户

不显示最后的用户名

1.2 口令

密码复杂度

密码最长留存期

帐户锁定策略

1.3 授权

远程关机

本地关机

用户权限指派

授权帐户登录

授权帐户从网络访问

2. 日志配置操作

2.1 日志配置

审核登录

审核策略

审核对象访问

审核事件目录服务访问

审核特权使用

审核系统事件

审核帐户管理

审核过程追踪

日志文件大小

3. IP协议安全配置

3.1 IP协议安全

启用SYN攻击保护

4. 文件权限

4.1 共享文件夹及访问权限

关闭默认共享

共享文件夹授权访问

5. 服务安全

5.1 禁用TCP/IP上的NetBIOS

禁用不必要的服务

6.安全选项

6.1 启用安全选项

6.2 禁用未登录前关机

7. 其他安全配置

7.1 防病毒管理

7.2 设置屏幕保护密码和开启时间

7.3 限制远程登录空闲断开时间

7.4 操作系统补丁管理

内容总结

内容备注

内容手机端

【阿里云Windows操作系统安全加固】教程文章相关的互联网学习教程文章

操作系统 - 相关标签

安全 - 相关标签

WINDOWS - 最新教程

WINDOWS - 最热教程