操作系统安全配置

第2章 操作系统安全配置

本章要点

z操作系统的概念、安全评估

z操作系统的用户安全设置

z操作系统的密码安全设置

z操作系统的系统安全设置

z操作系统的服务安全设置

z操作系统的注册表安全设置

2.1操作系统的安全问题

操作系统是计算机资源的直接管理者，它和硬件打交道并为用户提供接口，是计算机软件的基础和核心。在网络环境中，网络的安全很大程度上依赖于网络操作系统的安全性。没有网络操作系统的安全性，就没有主机系统和网络系统的安全性。因此操作系统的安全是整个计算机系统安全的基础，其安全问题日益引起人们的高度重视。作为用户使用计算机和网络资源的中间界面，操作系统发挥着重要的作用。因此，操作系统本身的安全就成了安全防护的头等大事。操作系统安全防护研究通常包括以下几方面内容。

(1) 操作系统本身提供的安全功能和安全服务，现代的操作系统本身往往要提供一定的访问控制、认证与授权等方面的安全服务，如何对操作系统本身的安全性能进行研究和开发使之符合选定的环境和需求。

(2) 对各种常见的操作系统，采取什么样的配置措施使之能够正确应付各种入侵。

(3) 如何保证操作系统本身所提供的网络服务得到安全配置。

2.1.1 操作系统安全概念

一般意义上，如果说一个计算机系统是安全的，那么是指该系统能够控制外部对系统信息的访问。也就是说，只有经过授权的用户或代表该用户运行的进程才能读、写、创建或删除信息。

操作系统内的活动都可以认为是主体对计算机系统内部所有客体的一系列操作。操作系统中任何存有数据的东西都是客体，包括文件程序、内存、目录、队列、管道、进程间报文、I/O设备和物理介质等。能访问或使用客体活动的实体称为主体，一般说，用户或者代表用户进行操作的进程都是主体。主体对客体的访问策略是通过可信计算基(TCB)来实现的。可信计算基是系统安全的基础，正是基于该TCB，通过安全策略的实施控制主体对空体的存取，达到对客体的保护。

计算机网络安全技术

·14· ·14·

安全策略描述的是人们如何存取文件或其他信息。当安全策略被抽象成安全模型后，人们可以通过形式货摊方法证明该模型是安全的。被证明了的模型成为人们设计系统安全部分的坐标。安全模型精确定义了安全状态的概念访问的基本模型和保证主体对客体访问的特殊规则。

一般所说的操作系统的安全通常包含两方面意思：一方面是操作系统在设计时通过权限访问控制、信息加密性保护、完整性鉴定等机制实现的安全；另一方面则是操作系统在使用中，通过一系列的配置，保证操作系统避免由于实现时的缺陷或是应用环境因素产生的不安全因素。只有在这两方面同时努力，才能够最大可能地建立安全的操作系统。

2.1.2 计算机操作系统安全评估

计算机系统安全性评估标准是一种技术性法规。在信息安全这一特殊领域，如果没有这一标准，那么与此相关的立法、执法就会有失偏颇，最终会给国家的信息安全带来严重后果。由于信息安全产品和系统的安全评价事关国家的安全利益，因此许多国家都在充分借鉴国际标准的前提下，积极制定本国的计算机安全评价认证标准。

美国可信计算机安全评估标准(TCSEC)是计算机系统安全评估的第一个正式标准，具有划时代的意义。TCSEC 将计算机系统的安全划分为4个等级、8个级别。这里仅给出等级划分的基本特征以满足本章后续内容之需要。

(1) D 类安全等级：D 类安全等级只包括D1一个安全类别，安全等级最低。D1系统只为文件和用户提供安全保护。最普通的形式是本地操作系统，或者是一个完全没有保护的网络。

(2) C 类安全等级：该类安全等级能够提供审慎的保护，并为用户的行动和责任提供审计能力。C 类安全等级可划分为C1和C2两类。C1系统通过将用户和数据分开来达到安全的目的。C2系统比C1系统加强了可调的审慎控制。在连接到网络上时，C2系统的用户分别对各自的行为负责，通过登录过程、安全事件和资源隔离来增强这种控制。

(3) B 类安全等级：B 类安全等级分为B1、B2、B3三类。B 类系统具有强制性保护功能，强制性保护意味着如果用户没有与安全等级相连，系统就不会让用户存取对象。

(4) A 类安全等级：A 系统的安全级别最高。目前A 类安全等级只包含A1一个安全类别。其显著特征是，系统的设计者必须按照一个正式的设计规范来分析系统。对系统分析后，设计者必须运用核对技术来确保系统符合设计规范。A1系统必须满足：系统管理员必须从开发者那里接收到一个安全策略的正式模型；所有的安装操作都必须由系统管理员进行；系统管理员进行的每一步安装操作都必须有正式文档。

2.1.3 国内的安全操作系统评估

为了适应信息安全发展的需要，借鉴国际上的一系列有关标准,我国也制定了计算机信息系统等级划分准则。我国将操作系统分成5个级别，分别是用户自主保护级、系统审计保护级、安全标记保护级、结构化保护级、访问验证保护级。这5个级别区别见表2-1。

第2章 操作系统安全配置 ·15·

表2-1 操作系统5个级别

第1级第2级第3级第4级第5级

自主访问控制√√√√√

身份鉴别√√√√√

数据完整性√√√√√

客体重用√√√√

审计√√√

强制访问控制√√√

标记√√√

隐蔽信道分析√√

可信路径√√

可信恢复√

1) 自主访问控制

计算机信息系统可信计算基定义和控制系统中命名用户对命名客体的访问。实施机制(如访问控制列表)允许命名用户以用户和(或)用户组的身份规定并控制客体的共享；阻止非授权用户读取敏感信息，并控制访问权限扩散。自主访问控制机制根据用户指定的用户只允许由授权用户指定对客体的访问权。

2) 身份鉴别

计算机信息系统可信计算基初始执行时，首先要求用户标识自己的身份，并使用保护机制(如口令)来鉴别用户的身份；阻止非授权用户访问用户身份鉴别数据。通过为用户提供唯一标识，计算机信息系统可信计算基能够使用户对自己的行为负责。计算机信息系统可信基还具备将身份标识与该用户所有可审计行为相关联的能力。

3) 数据完整性

计算机信息系统可信计算基通过自主和强制完整性策略，阻止非授权用户修改或破坏敏感信息。在网络环境中，使用完整性敏感标记来确信信息在传送中未受损。

4) 客体重用

在计算机输出信息系统可信计算基的空闲存储客体空间中，对客体初始指定、分配再分配一个主体之前，撤销该客体所含信息的所有授权。当主体获得对一个已释放的客体的访问权时，当前主体不能获得原主体活动所产生的任何信息。

5) 审计

计算机信息系统可信计算基能创建和维护受保护客体的访问审计跟踪记录，并能阻止非授权的用户对它的访问或破坏活动。可信计算基能记录在案下述事件：使用身份鉴别机制；将客体引入用户地址空间(如打开文件、程序初始化)；删除客体；由操作员、系统管理员或(和)系统安全管理员实施的动作以及其他与系统安全有关的事件。对于每一事件，其审计记录包括：事件的日期和时间、用户事件类型、事件是否成功。对于身份鉴别事件，审计记录包含来源(如终端标识符)；对于客体引入用户地址空间的事件及客体删除事件，

·15·

计算机网络安全技术

·16· ·16·

审计记录包含客体名。对不能由计算机信息系统可信计算基独立辨别的审计事件，审计机制提供审计记录接口，可由授权主体调用。这些审计记录区别于计算机信息系统可信计算基独立分辨的审计记录。

6) 强制访问控制

计算机信息系统可信计算基对所有主体及其所控制的客体(例如，进程、文件、段、设备)实施强制访问控制，为这些主体及客体指定敏感标记，这些标记是等级分类和非等级类别的组合，它们是实施强制访问控制的事实依据。计算机信息系统可信计算基支持两种或两种以上成分组成的安全级。计算机信息系统可信计算基控制的所有主体对客体的访问应满足：仅当主体安全级中的等级分类高于或等于客体安全级中的等级分类，且主体安全级非等级类别包含了客体安全级中的非等级类别，主体才能写一个客体。计算机信息系统可信计算基使用身份和鉴别数据，鉴别用户的身份，并保证用户创建的计算机信息系统可信计算基外部主体的安全级和授权受该用户的安全级和授权的控制。

7) 标记

计算机信息系统可信计算基应维护与主体及其控制的存储客体(例如，进程、文件、段、设备)相关的敏感标记，这些标记是实施强制访问的基础。为了输入未加安全标记的数据，计算机信息系统可信基向授权用户要求并接受这些数据的安全级别，且可由计算机信息系统可信计算基审计。

8) 隐蔽信道分析

系统开发者应彻底隐蔽存储信道，并根据实际测量或工程估算确定每一个被标识信道的最大带宽。

9) 可信路径

当连接用户时(例如，注册、更改主体安全级)，计算机信息系统可信计算基提供它与用户之间的可信通道路径。可信路径上的通信能由该用户或计算机信息系统激活，且在逻辑上与其他路径上的通信相隔离，并能正确地加以区分。

10) 可信恢复

计算机信息系统可信计算基提供过程和机制，保证计算机信息系统失效或中断后，可以进行不损害任何安全保护性能的恢复。

该规定中，级别从低到高，每一级都将实现上一级的所有功能，并且有所增加。第1级是用户自主保护级，在该级中，计算机信息系统可信计算基通过隔离用户与数据，使用户具备自主安全保护能力。通常所说的安全操作系统，其最低级别即是第3级，日常所见的操作系统，则以第1级和第2级为主。4级以上的操作系统，与前3级有着很大的区别。4级和5级操作系统必须建立于一个明确定义的形式化安全策略模型之上。此外，还需要考虑隐蔽通道。在第4级结构化保护级中，要求将第3级系统中的自主和强制访问控制扩展到所有主体与客体。第5级访问验证保护级的计算机信息系统可信计算基满足访问监控器需求。访问监控器仲裁主体对客体的全部访问，访问监控器本身必须是抗篡改的、足够小且能够分析和测试。为了满足访问监控器需求，计算机信息系统可信计算基在构造时，排除那些对实施安全策略来说并非必要的代码；在设计和实现时，从系统工程角度将其复杂性降低到最小。支持安全管理员职能；提供审计机制，当发生与安全相关的事件时发出信号；提供系统恢复机制。这种系统具有高的抗渗透能力。

第2章 操作系统安全配置 ·17·2.1.4 操作系统的安全配置

操作系统安全配置主要是指操作系统访问控制权限的恰当设置、系统的及时更新以及对于攻击的防范。所谓操作系统访问控制权限的恰当设置是指利用操作系统的访问控制功能，为用户和文件系统建立恰当的访问权限控制。由于目前流行的操作系统绝大多数是用户自主级访问控制，因此对于用户和重要文件的访问权限控制是否得当，直接影响系统的安全稳定和信息的完整保密。不同的系统，其安全设置通常有所区别，我们将在2.2节重点介绍Windows系统的访问权限控制。

随着利用操作系统安全缺陷进行攻击的方法的不断出现，操作系统和TCP/IP缺陷逐渐成为系统安全防护的一个重要内容。在不影响正常的系统功能和网络功能的基础上，进行安全防范，也是2.2节的重要内容。

随时更新操作系统，是系统安全管理的一个重要方面。及时地更新系统，会使整个系统的安全性能、稳定性能、易用性能得到大幅度提高。

2.1.5 操作系统的安全漏洞

可以说，几乎所有的操作系统都不是十全十美的，总存在安全漏洞。比如在Windows NT中，安全账户管理(SAM)数据库可以被以下用户复制：Administrator账户、Administrator 组的所有成员、备份操作员、服务器操作员以及所有具有备份特权的人员。SAM数据库的一个备份拷贝能够被某些工具所利用来破解口令。

又如Windows NT对较大的ICMP包是很脆弱的。如果发一条Ping命令，指定包的大小为64KB，Windows NT的TCP/IP栈将不会正常工作，可使系统离线直至重新启动，结果造成某些服务的拒绝访问。

不久前，微软推出了新款操作系统Windows XP。我们是否可以放心地使用Windows XP？微软在Windows XP 的安全性方面做了许多工作，增加了许多新的安全功能，例如，Internet 连接防火墙，支持多用户的加密文件系统，改进的访问控制，对智能卡的支持等。Windows XP到底有多安全，它是否是一种安全的操作系统呢？Windows XP提供了自主访问控制保护，并具有审计主体责任和它们的初始动作的能力。从操作系统的等级来看，Windows XP仍然是C级操作系统，即是一个安全等级比较低的操作系统。

另一方面，操作系统作为软件存在的许多漏洞使黑客有机可乘。例如，Windows XP 发布后，与之有关的漏洞有：通用即插即用(UPnP)拒绝服务漏洞、GDI拒绝服务漏洞、终端服务IP地址欺骗漏洞。UPnP拒绝服务漏洞的是这样的：UPnP服务使计算机能够发现和使用基本的网络设备。而Windows Me 和Windows XP自带UPnP服务不能正确地处理某种类型的无效请求，因此产生了一个安全漏洞。该漏洞含有一个内存泄漏问题，Windows XP 系统每次接收到这样的一个请求时，就会有一小部分系统内存无法使用，如果这种情况重复发生，就会耗尽系统资源，使性能降低，甚至完全终止。

实际上，根据目前的软件设计水平和开发工具，要想绝对避免软件漏洞是不可能的。操作系统作为一种系统软件，在设计和开发过程中造成这样或那样的缺陷，埋下一些隐患，使黑客有机可乘，也可以理解。可以说，软件质量决定了软件的安全性。

·17·

计算机网络安全技术 ·18·

·18·2.2 操作系统安全配置实验

2.2.1 用户安全配置

1. 实训目的和内容

(1) 了解操作系统用户安全配置组件。

(2) 掌握其正确配置。

2. 实训步骤

1) 新建用户

对于新建用户，要求账号便于记忆与使用，而密码则要求有一定的长度与复杂度。如图2.1、图2.2和图2.3所示。

图2.1 选择新建用户

图2.2 输入新用户账号与密码

第2章 操作系统安全配置 ·19

·

·19·

图2.3 添加用户完成

2) 账户授权

对于不同账户，其身份不同，对于操作系统的所拥有的权限也不同。为此可以对不同的账户进行授权，使其拥有和身份相应的权限。

具体方法为：在“计算机管理”窗口中选择“本地用户和组”项打开“用户”项，并在右方的用户列表中右击相应用户，执行“属性”命令，在弹出的对话框中打开“隶属于” 选项卡，单击“添加”按钮，选择相应的组添加即可完成，如图2.4、图2.5

和图2.6

所示。

图2.4 打开用户属性 图2.5 选择用户组

计算机网络安全技术 ·20·

·20·

图2.6 添加用户组

3) 停用Guest用户

在计算机管理的用户里面把Guest账号禁用。为了保险起见，最好给Guest加一个复杂的密码。你可以打开记事本，在里面输入一串包含特殊字符、数字、字母的长字符串，然后把它作为Guest用户的密码输进去。并且修改Guest账号的属性，设置拒绝远程访问，如图2.7和图2.8所示。

图2.7 修改Guest账号的属性

第2章 操作系统安全配置 ·

21·

·21·

图2.8 设置Guest 账号属性

4) 系统Administrator 账号改名

大家都知道，Windows 2000 的Administrator 用户是不能被停用的，这意味着别人可以一遍又一遍地尝试这个用户的密码。把Administrator 账号改名可以有效地解决这一问题。

不要使用Admin 之类的名字，这样的话等于没改，而尽量把它伪装成普通用户，比如改成luqing 。具体操作时只要选中账户改名即可，如图

2.9所示。

图2.9 修改Administrator 账号

5) 创建一个陷阱用户

什么是陷阱用户？即创建一个名为Administrator 的本地用户，把它的权限设置成最低，

计算机网络安全技术

·22· ·22·

什么事也干不了的那种，并且加上一个超过10位的超级复杂密码，可以将该用户隶属的组改成Guest 组。这样可以让那些 Hacker 们忙上一段时间，借此发现它们的入侵企图。如图2.10所示。

图2.10 创建陷阱用户

6) 把共享文件的权限从Everyone 组改成授权用户

将共享文件的权限从Everyone 改成“授权用户”。Everyone 在Windows 2000中意味着任何有权进入网络的用户都能够获得这些共享资料。

任何时候都不要把共享文件的用户设置成Everyone 组，包括打印共享默认的属性就是Everyone 组，一定要进行修改。 设置某文件夹共享默认设置如图2.11所示。

图2.11 默认共享权限

7) 不让系统显示上次登录的用户名

默认情况下，登录对话框中会显示上次登录的用户名。这使得别人可以很容易地得到系统的一些用户名，进而做密码猜测。修改注册表可以不让对话框里显示上次登录的用户

第2章 操作系统安全配置

·23·

·23·名。方法为：打开注册表编辑器并找到注册表项HKEY_CURRENT\Software\Microsoft \Windows NT\CurrentVersion\Winlogon\DontDisplayLastUserName ，把REG_SZ 的键值改成1

，如图2.12所示。

图2.12 修改注册表

8) 限制用户数量

去掉所有的测试账户，将共享账号作为普通部门账号等。用户组策略设置相应权限，并且经常检查系统的账户，删除已经不使用的账户。

很多账户是黑客们入侵系统的突破口，系统的账户越多，黑客们得到用户权限的可能性一般也就越大。对于Windows 2000系统的主机，如果系统账户超过10个，一般能找出一两个弱口令账户，所以账户数量不要大于10个。

9) 多个管理员账号

虽然这点看上去和第8点有些矛盾，但事实上是服从以上规则的。创建一个一般用户权限账号用来处理电子邮件及一些日常事务，创建另一个有Administrator 权限的账户供在需要的时候使用。因为只要登录系统以后，密码就存储在WinLogo 进程中，当有其他用户入侵计算机的时候就可以得到登录用户的密码，所以要尽量减少Administrator 登录的次数和时间。

10) 开启用户策略

开启账户策略可以有效地防止字典式攻击，设置见表2-2。

表2-2 开启账户策略 策 略 设 置

复位账户锁定计数器 30分钟

账户锁定时间 30分钟

账户锁定阈值

5次

设置结果如图2.13所示。

计算机网络安全技术 ·24·

·24·

图2.13 设置账户策略

当某一用户连续5次登录都失败后将自动锁定该账户，30分钟之后自动复位被锁定的账户。

2.2.2 密码安全配置

1. 实训目的和内容

(1) 了解操作系统密码安全配置组件。

(2) 掌握其正确配置。

2. 实训步骤

1) 安全密码

安全的密码对于一个网络是非常重要的，但是也是最容易被忽视的。一些网络管理员创建账号时往往用公司名、计算机名或者一些别的容易猜到的字符当用户名，然后又把这些账户的密码设置得比较简单，比如：route 、switch 、welcome或者与用户名相同的密码等。这样的账户应该要求用户首次登录时更改为复杂的密码，还要注意经常更改密码。

这里给安全密码下了个定义：安全期内无法破解出来的密码就是安全密码，也就是说，如果得到了密码文档，必须花43天或者更长的时间才能破解出来(密码策略是42天必须改密码)。

2) 开启密码策略

这对系统安全非常重要，要使安全设置中的密码策略在默认的情况下都没有开启。需要开启的密码策略见表2-3。

表2-3 开启密码策略

策略设置

密码必须符合复杂性要求启用

密码长度最小值6位

密码最长存留期 15天

强制密码历史5次

第2章 操作系统安全配置 ·25·

·25·

“密码必须符合复杂性要求”是要求设置的密码必须是数字和字母的组合；“密码长度最小值”是要求密码长度至少为6位；“密码最长存留期”是要求当该密码使用超过15天后，就自动要求用户修改密码；“强制密码历史”是要求当前设置的密码不能和前面

5次的密码相同。设置如图2.14所示。

图2.14 设置密码策略

3) 设置屏幕保护密码

这是一个很简单也很有必要的操作。设置屏幕保护密码也是防止内部人员破坏服务器的一个屏障。注意不要使用OpenGL

和一些复杂的屏幕保护程序浪费系统资源，黑屏就可以了，如图2.15所示。

图2.15 设置屏幕保护密码

计算机网络安全技术

·26· ·26·

4) Windows 2000 中加密文件或文件夹

Windows 2000 继承了Windows NT 4.0 的“优良传统”，你可用Windows 2000 的加密工具来保护文件和文件夹，以防别人偷看，如图2.16所示。

图2.16 设置加密属性

2.2.3 系统安全配置

1. 实训目的和内容

(1) 了解操作系统安全配置组件。

(2) 掌握其正确配置。

2. 实训步骤

1) 使用NTFS 格式分区

最好把服务器的所有分区都改成NTFS 格式，NTFS 文件系统要比FAT 、FAT32的文件系统安全得多，如图2.17所示。

图2.17 设置磁盘管理

第2章 操作系统安全配置 ·27·

·27·

2) 运行防毒软件

杀毒软件不仅能杀掉一些著名的病毒，还能查杀大量木马和后门程序，因此要注意经

常运行程序并升级病毒库，如图2.18所示。

图2.18 运行杀毒软件

3) 到微软网站下载最新的补丁程序

很多网络管理员没有访问安全站点的习惯，以至于一些漏洞都出现很久了，还放着服务器的漏洞不补给人家当靶子用。经常访问微软和一些安全站点，下载最新的Service Pack 和漏洞补丁，是保障服务器长久安全的唯一方法。

4) 关闭默认共享

Windows 2000安装好以后，系统会创建一些隐藏的共享，你可以在cmd 下输入net share

字符查看它们，如图2.19所示。

图2.19 查看隐藏默认共享

计算机网络安全技术

·28· ·28·

网上有很多关于IPC 入侵的文章，都利用了默认共享链接。要禁止这些共享 ，可在“计算机管理”窗口中选择“系统工具”项，打开“共享文件夹”下的“共享”项，在右方的列表中选择相应的共享文件夹，右击并执行“停止共享”命令即可，如图2.20所示。

图2.20 停止默认共享

常见的共享目录及它们的对应地址和说明见表2-4。

表2-4 共享目录及其功能 默认共享目录 路 径 说 明

C$ D$ E$ 分区的根目录 Windows 2003 Advanced Server 版中，只有Admin-

istrator 和Backup Operators 级成员才可链接，

Windows 2000 Server 版本Server Operators 组也

可以链接到这些共享目录

ADMIN$ %SYSTEMTOOT%

远程管理用的共享目录。它的路径永远都指向Windows 2003的安装路径，比如C ：\WINNT IPC$ IPC$共享提供了登录的能力

PRIN$ SYSTEM32\SPOOL\DRIVERS

用户远程管理打印机

5) 锁住注册表

在Windows 2000中，只有Administrator 和Backup Operators 才有从网络上访问注册表的权限。当账号的密码泄漏以后，黑客也可以在远程访问注册表，当服务器放到网络上时，一般需要锁定注册表。修改HKEY_CURRENT_USER 下的子键：Software\Microsoft\ Windows\CurrentVersion\Policies 。

把DisableRegistryTools 值改为0，类型为DWORD ，如图2.21所示。

第2章 操作系统安全配置 ·

29·

·29·

图2.21 锁定注册表

6) 禁止用户从软盘和光驱启动系统

一些第三方的工具能通过引导系统来绕过原有的安全机制。如果你的服务器对安全要求非常高，可以考虑使用可移动软盘和光驱。当然，把机箱锁起来不失为一种好方法。

7) 利用Windows 2000的安全配置工具来配置安全策略

微软提供了一套基于MMC(管理控制台)的安全配置和分析工具，利用它们你可以很方便地配置你的服务器以满足你的要求。具体内容可参考微软主页https://www.wendangku.net/doc/1b14582015.html,/ windows2000/techinfo/howitworks/security/sctoolset.asp 。

8) 开启审核策略

安全审核是Windows 2000最基本的入侵检测方法。当有人对系统进行某种方式入侵(如验证用户密码，改变账户策略和未经许可的访问等)时，都会被安全审核记录下来的。

表2-5为开启审核策略列表，这些审核是必须开启的，其他的可以根据需要增加。

表2-5 开启审核策略 策 略

设 置 审核系统登录事件

成功、失败 审核账户管理

成功、失败 审核登录事件

成功、失败 审核对象访问

成功 审核策略更改

成功、失败 审核特权使用

成功、失败 审核系统事件

成功、失败

审核策略在默认的情况下都是没有开启的，如图2.22所示。

计算机网络安全技术 ·30·

·30·

图2.22 开启审核策略

9) 加密Temp 文件夹

一些应用程序在安装和升级时，会把一些内容复制到Temp文件夹，但是当程序升级完毕或关闭时，并不会自动清除Temp文件夹的内容。所以给Temp文件夹加密可以给文件多一层保护。

10) 使用智能卡

密码总是使安全管理员进退两难。如果密码太简单，容易受到一些工具的攻击，如果密码太复杂，用户为了记住密码到处乱写。因此如果条件允许，用智能卡来代替复杂的密码是一种很好的解决方法。

11) 使用IPSec

正如其名字的含义，IPSec提供IP数据包的安全性。它提供身份验证、完整性和可选择的机密性。发送端计算机在传输之前加密数据，而接收端计算机在收到数据之后解密数据。利用IPSec可以使得系统的安全性能大大增强。

2.2.4 服务安全配置

1. 实训目的和内容

(1) 了解操作系统服务安全配置组件。

(2) 掌握其正确配置。

2. 实训步骤

1) 关闭不必要的端口

关闭端口意味着减少功能，在安全和功能上面需要做一些抉择。如果服务器安装在防火墙的后面，风险就会少些。但是，永远不要认为你可以高枕无忧了。

用端口扫描器扫描系统已开放的端口，确定系统开放的哪些服务可能引起黑客入侵。在系统目录中的system32\drivers\etc\services 文件中有知名端口和服务的对照表可供参考，如图2.23所示。

第2章 操作系统安全配置 ·31

·

·31·

图2.23 端口和服务对照表

具体方法为：右击“网上邻居”图标，执行“属性”命令，在出现的窗口中右击“本地连接”执行“属性”命令，在弹出对话框中选中“Internet 协议(TCP/IP) ”项，单击“属性”按钮，再在弹出的对话框中单击“高级”按钮，弹出“高级TCP/IP 设置”对话框，打开“选项”选项卡选中“TCP/IP 筛选”项，单击“属性”按钮，弹出“TCP/IP 筛选”对话框，添加需要的TCP 、UDP 协议即可，如图2.24所示。

设置完毕的端口界面如图2.25所示。

图2.24 设置IP 的高级属性 图2.25 设置TCP/IP 筛选

计算机网络安全技术

·32· ·32·

2) 设置安全记录的访问权限

安全记录在默认情况下是没有保护的，把它设置成只有Administrator 和系统账户才有权访问，如图2.26所示。

图2.26 设置安全记录的访问权限

3) 把敏感文件存放在另外的文件服务器中

虽然现在服务器的硬盘容量都很大，但是还是应该考虑是否有必要把一些重要的用户数据(文件、数据表、项目文件等)存放在另外一个安全的服务器中，并且经常备份。

4) 禁止建立空链接

默认情况下，任何用户都可通过空链接连上服务器，进而枚举出账号，猜测密码。可以通过修改注册表来禁止建立空链接：即把LOCAL_MACHINE\SYSTEM\CurrentControl Set\ Control\Lsa 下的restrictanonymous 的值改成1即可，如图2.27所示。

此外，安全和应用在很多时候是矛盾的。因此，你需要在其中找到平衡点，如果安全原则妨碍了系统应用，那么这个安全原则也不是一个好的原则。

图2.27 修改注册表

操作系统的安全策略基本配置原则(新版)

When the lives of employees or national property are endangered, production activities are stopped to rectify and eliminate dangerous factors. （安全管理） 单位：___________________ 姓名：___________________ 日期：___________________ 操作系统的安全策略基本配置原 则(新版)

操作系统的安全策略基本配置原则(新版)导语：生产有了安全保障，才能持续、稳定发展。生产活动中事故层出不穷，生产势必陷于混乱、甚至瘫痪状态。当生产与安全发生矛盾、危及职工生命或国家财产时，生产活动停下来整治、消除危险因素以后，生产形势会变得更好。"安全第一" 的提法，决非把安全摆到生产之上;忽视安全自然是一种错误。 安全配置方案中级篇主要介绍操作系统的安全策略配置,包括十 条基本配置原则: (1)操作系统安全策略,(2)关闭不必要的服务(3)关闭不必要的端口,(4)开启审核策略(5)开启密码策略,(6)开启帐户策略,(7)备份敏 感文件,(8)不显示上次登陆名,(9)禁止建立空连接(10)下载最新的补丁 1操作系统安全策略 利用Windows2000的安全配置工具来配置安全策略,微软提供了一套的基于管理控制台的安全配置和分析工具,可以配置服务器的安全 策略.在管理工具中可以找到"本地安全策略".可以配置四类安全策略:帐户策略,本地策略,公钥策略和IP安全策略.在默认的情况下,这些策略都是没有开启的. 2关闭不必要的服务 Windows2000的TerminalServices(终端服务)和IIS(Internet信

XXXX农商银行信息系统安全基线技术规范

XXXX农商银行 信息系统安全配置基线规范 1范围 本规范适用于XXXX农商银行所有信息系统相关主流支撑平台设备。 2规范性引用文件 下列文件对于本规范的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本规范。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本规范。 ——中华人民共和国计算机信息系统安全保护条例 ——中华人民共和国国家安全法 ——中华人民共和国保守国家秘密法 ——计算机信息系统国际联网保密管理规定 ——中华人民共和国计算机信息网络国际联网管理暂行规定 ——ISO27001标准/ISO27002指南 ——公通字[2007]43号信息安全等级保护管理办法 ——GB/T 21028-2007 信息安全技术服务器安全技术要求 ——GB/T 20269-2006 信息安全技术信息系统安全管理要求 ——GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求 ——GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南 3术语和定义 安全基线：指针对IT设备的安全特性，选择合适的安全控制措施，定义不同IT设备的最低安全配置要求，则该最低安全配置要求就称为安全基线。 管理信息大区：发电企业、电网企业、供电企业内部基于计算机和网络技术的业务系统，原则上划分为生产控制大区和管理信息大区。生产控制大区可以分为控制区(安全区I)和非控制区(安全区Ⅱ)；管理信息大区内部在不影响生产控制大区安全的前提下，可以根据各企业不同安全要求划分安全区。根据应用系统实际情况，在满足总体安全要求的前提下，可以简化安全区的设置，但是应当避免通过广域网形成不同安全区的纵向交叉连接。 4总则 4.1指导思想 围绕公司打造经营型、服务型、一体化、现代化的国内领先、国际著名企业的战略总体目标，为切实践行南网方略，保障信息化建设，提高信息安全防护能力，通过规范IT主流设备安全基线，建立公司管理信息大区IT主流设备安全防护的最低标准，实现公司IT主流设备整体防护的技术措施标准化、规范化、指标化。 4.2目标

AI操作系统安全配置规范

AIX安全配置程序

1 账号认证 编号：安全要求-设备-通用-配置-1 编号：安全要求-设备-通用-配置-2

2密码策略 编号：安全要求-设备-通用-配置-3

编号：安全要求-设备-通用-配置-4 编号：安全要求-设备-通用-配置-5

编号：安全要求-设备-通用-配置-6 3审核授权策略 编号：安全要求-设备-通用-配置-7 (1)设置全局审核事件

配置/etc/security/audit/config文件，审核特权帐号和应用管理员帐号登录、注销，用户帐号增删，密码修改，执行任务更改，组更改，文件属主、模式更改，TCP连接等事件。 classes: custom = USER_Login,USER_Logout,USER_SU,PASSWORD_Change,USER_Create, USER_Change,USER_Remove,USER_Chpass,GROUP_Create,GROUP_Change,GROUP_Remove,CRON_J obAdd,CRON_JobRemove,TCPIP_config,TCPIP_host_id,TCPIP_connect,TCPIP_access,TCPIP_route,USER _Reboot,USER_SetGroups,INSTALLP_Inst,INSTALLP_Exec,FS_Rmdir,FS_Chroot,PORT_Locked,PORT_ Change,PROC_kill,PROC_Reboot,FS_Mount,FS_Umount,PROC_Settimer,PROC_Adjtime (2)审核系统安全文件修改 配置/etc/security/audit/objects文件，审核如下系统安全相关文件的修改。 /etc/security/environ: w = "S_ENVIRON_WRITE" /etc/security/group: w = "S_GROUP_WRITE" /etc/security/limits: w = "S_LIMITS_WRITE" /etc/security/login.cfg: w = "S_LOGIN_WRITE" /etc/security/passwd: r = "S_PASSWD_READ" w = "S_PASSWD_WRITE" /etc/security/user: w = "S_USER_WRITE" /etc/security/audit/config: w = "AUD_CONFIG_WR" 编号：安全要求-设备-通用-配置-8

系统安全配置技术规范-Cisco防火墙

系统安全配置技术规范—Cisco防火墙

文档说明（一）变更信息 （二）文档审核人

目录 1适用范围 (4) 2账号管理与授权 (4) 2.1【基本】设置非特权模式密码 (4) 2.2【基本】ENABLE PASSWORD的使用 (4) 2.3【基本】设置与认证系统联动 (5) 2.4【基本】设置登录失败处理功能 (5) 2.5认证授权最小化 (6) 3日志配置要求 (7) 3.1【基本】设置日志服务器 (7) 4IP协议安全要求 (7) 4.1【基本】设置SSH方式访问系统 (7) 4.2【基本】远程访问源地址限制 (8) 4.3【基本】设置F AILOVER KEY (8) 4.4【基本】关闭不使用的SNMP服务或更正不当权限设置 (9) 4.5【基本】SNMP服务的共同体字符串设置 (9) 4.6【基本】SNMP服务的访问控制设置 (9) 4.7【基本】防火墙策略修订 (10) 4.8常见攻击防护 (10) 4.9VPN安全加固 (10) 5服务配置要求 (11) 5.1【基本】启用NTP服务 (11) 5.2禁用HTTP配置方式 (11) 5.3禁用DHCP服务 (12) 5.4启用SERVICE RESETOUTSIDE (12) 5.5启用F LOODGUARD (12) 5.6启用F RAGMENT CHAIN保护 (13) 5.7启用RPF保护 (13) 6其他配置要求 (13) 6.1【基本】系统漏洞检测 (13) 6.2【基本】设置登录超时时间 (14) 6.3【基本】检查地址转换超时时间 (14) 6.4信息内容过滤 (14)

Windows操作系统安全配置方案

Windows操作系统安全配置方案 一、物理安全 服务器应当放置在安装了监视器的隔离房间内，并且监视器应当保留１５天以内的录像记录。另外，机箱、键盘、抽屉等要上锁，以保证旁人即使在无人值守时也无法使用此计算机，钥匙要放在安全的地方。 二、停止Guest帐号 在［计算机管理］中将Guest帐号停止掉，任何时候不允许Guest帐号登录系统。为了保险起见，最好给Guest帐号加上一个复杂的密码，并且修改Guest帐号属性，设置拒绝远程访问。 三、限制用户数量 去掉所有的测试帐户、共享帐号和普通部门帐号，等等。用户组策略设置相应权限、并且经常检查系统的帐号，删除已经不适用的帐号。 很多帐号不利于管理员管理，而黑客在帐号多的系统中可利用的帐号也就更多，所以合理规划系统中的帐号分配。 四、多个管理员帐号 管理员不应该经常使用管理者帐号登录系统，这样有可能被一些能够察看Winlogon进程中密码的软件所窥探到，应该为自己建立普通帐号来进行日常工作。 同时，为了防止管理员帐号一旦被入侵者得到，管理员拥有备份的管理员帐号还可以有机会得到系统管理员权限，不过因此也带来了多个帐号的潜在安全问题。 五、管理员帐号改名 在Windows 2000系统中管理员Administrator帐号是不能被停用的，这意味着攻击者可以一再尝试猜测此帐户的密码。把管理员帐户改名可以有效防止这一点。 不要将名称改为类似Admin之类，而是尽量将其伪装为普通用户。 六、陷阱帐号 和第五点类似、在更改了管理员的名称后，可以建立一个Administrator的普通用户，将其权限设置为最低，并且加上一个10位以上的复杂密码，借此花费入侵者的大量时间，并且发现其入侵企图。

操作系统的安全策略基本配置原则(正式)

编订：__________________ 单位：__________________ 时间：__________________ 操作系统的安全策略基本配置原则(正式) Standardize The Management Mechanism To Make The Personnel In The Organization Operate According To The Established Standards And Reach The Expected Level. Word格式 / 完整 / 可编辑

文件编号：KG-AO-8263-70 操作系统的安全策略基本配置原则 (正式) 使用备注：本文档可用在日常工作场景，通过对管理机制、管理原则、管理方法以及管理机构进行设置固定的规范，从而使得组织内人员按照既定标准、规范的要求进行操作，使日常工作或活动达到预期的水平。下载后就可自由编辑。 安全配置方案中级篇主要介绍操作系统的安全策略配置,包括十条基本配置原则: (1)操作系统安全策略,(2)关闭不必要的服务 (3)关闭不必要的端口, (4)开启审核策略(5)开启密码策略, (6)开启帐户策略,(7)备份敏感文件,(8)不显示上次登陆名,(9)禁止建立空连接(10)下载最新的补丁 1 操作系统安全策略 利用Windows 2000的安全配置工具来配置安全策略,微软提供了一套的基于管理控制台的安全配置和分析工具,可以配置服务器的安全策略.在管理工具中可以找到"本地安全策略".可以配置四类安全策略:帐户策略,本地策略,公钥策略和IP安全策略.在默认

的情况下,这些策略都是没有开启的. 2 关闭不必要的服务 Windows 2000的Terminal Services(终端服务)和IIS(Internet 信息服务)等都可能给系统带来安全漏洞.为了能够在远程方便的管理服务器,很多机器的终端服务都是开着的,如果开了,要确认已经正确的配置了终端服务. 有些恶意的程序也能以服务方式悄悄的运行服务器上的终端服务.要留意服务器上开启的所有服务并每天检查.Windows2000可禁用的服务服务名说明Computer Browser维护网络上计算机的最新列表以及提供这个列表Task scheduler允许程序在指定时间运行Routing and Remote Access在局域网以及广域网环境中为企业提供路由服务Removable storage管理可移动媒体,驱动程序和库Remote Registry Service允许远程注册表操作Print Spooler将文件加载到内存中以便以后打印.要用打印机的用户不能禁用这项服务IPSEC Policy Agent管

系统安全配置技术规范-Windows

系统安全配置技术规范—Windows

212211文档说明（一）变更信息 （二）文档审核人

目录 1.适用范围.................................................. 错误!未定义书签。 2.帐号管理与授权............................................ 错误!未定义书签。 1 ........................................................... 错误!未定义书签。 2 ........................................................... 错误!未定义书签。 【基本】删除或锁定可能无用的帐户 ..................... 错误!未定义书签。 【基本】按照用户角色分配不同权限的帐号................ 错误!未定义书签。 【基本】口令策略设置不符合复杂度要求 ................. 错误!未定义书签。 【基本】设定不能重复使用口令 ......................... 错误!未定义书签。 不使用系统默认用户名 ................................. 错误!未定义书签。 口令生存期不得长于90天 .............................. 错误!未定义书签。 设定连续认证失败次数 ................................. 错误!未定义书签。 远端系统强制关机的权限设置 ........................... 错误!未定义书签。 关闭系统的权限设置 ................................... 错误!未定义书签。 取得文件或其它对象的所有权设置 ....................... 错误!未定义书签。 将从本地登录设置为指定授权用户 ....................... 错误!未定义书签。 将从网络访问设置为指定授权用户 ....................... 错误!未定义书签。 3.日志配置要求.............................................. 错误!未定义书签。 3 ........................................................... 错误!未定义书签。 【基本】审核策略设置中成功失败都要审核................ 错误!未定义书签。 【基本】设置日志查看器大小 ........................... 错误!未定义书签。 4.IP协议安全要求 ........................................... 错误!未定义书签。 4 ........................................................... 错误!未定义书签。 开启TCP/IP筛选 ...................................... 错误!未定义书签。 启用防火墙 ........................................... 错误!未定义书签。 启用SYN攻击保护 ..................................... 错误!未定义书签。

Windows 安全配置规范

Windows 安全配置规范 2010年11月

第1章概述 1.1适用范围 本规范明确了Windows操作系统在安全配置方面的基本要求，可作为编制设备入网测试、安全验收、安全检查规范等文档的参考。 适用于中国电信所有运行的Windows操作系统，包括Windows 2000、Windows XP、Windows2003, Windows7 , Windows 2008以及各版本中的Sever、Professional版本。 第2章安全配置要求 2.1账号 编号：1 要求内容应按照不同的用户分配不同的账号，避免不同用户间共享账号，避 免用户账号和设备间通信使用的账号共享。 操作指南1、参考配置操作 进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用 户和组”： 根据系统的要求，设定不同的账户和账户组。 检测方法1、判定条件 结合要求和实际业务情况判断符合要求，根据系统的要求，设定不 同的账户和账户组 2、检测操作 进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用 户和组”：

查看根据系统的要求，设定不同的账户和账户组编号：2 要求内容应删除与运行、维护等工作无关的账号。 操作指南1．参考配置操作 A）可使用用户管理工具： 开始-运行-compmgmt.msc-本地用户和组-用户B）也可以通过net命令： 删除账号：net user account/de1 停用账号：net user account/active:no 检测方法1.判定条件 结合要求和实际业务情况判断符合要求，删除或锁定与设备运行、维护等与工作无关的账号。 注：主要指测试帐户、共享帐号、已经不用账号等 2.检测操作 开始-运行-compmgmt.msc-本地用户和组-用户 编号：3 要求内容重命名Administrator；禁用guest（来宾）帐号。 操作指南1、参考配置操作 进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用 户和组”： Administrator－>属性－> 更改名称 Guest帐号->属性－> 已停用 检测方法1、判定条件 缺省账户Administrator名称已更改。 Guest帐号已停用。 2、检测操作 进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用 户和组”： 缺省帐户－>属性－> 更改名称

系统安全配置技术规范-Windows

系统安全配置技术规范- W i n d o w s -标准化文件发布号：（9456-EUATWK-MWUB-WUNN-INNUL-DDQTY-KII

系统安全配置技术规范—Windows

212211文档说明（一）变更信息 （二）文档审核人

目录 1. 适用范围 ..................................................................................................... 错误!未定义书签。 2. 帐号管理与授权 ......................................................................................... 错误!未定义书签。 【基本】删除或锁定可能无用的帐户 ................................................. 错误!未定义书签。 【基本】按照用户角色分配不同权限的帐号 ..................................... 错误!未定义书签。 【基本】口令策略设置不符合复杂度要求 ......................................... 错误!未定义书签。 【基本】设定不能重复使用口令......................................................... 错误!未定义书签。 不使用系统默认用户名 .................................................................... 错误!未定义书签。 口令生存期不得长于90天 .............................................................. 错误!未定义书签。 设定连续认证失败次数 .................................................................... 错误!未定义书签。 远端系统强制关机的权限设置 ........................................................ 错误!未定义书签。 关闭系统的权限设置 ........................................................................ 错误!未定义书签。 取得文件或其它对象的所有权设置 ................................................ 错误!未定义书签。 将从本地登录设置为指定授权用户 ................................................ 错误!未定义书签。 将从网络访问设置为指定授权用户 ................................................ 错误!未定义书签。 3. 日志配置要求 ............................................................................................. 错误!未定义书签。 【基本】审核策略设置中成功失败都要审核 ..................................... 错误!未定义书签。 【基本】设置日志查看器大小............................................................. 错误!未定义书签。 4. IP协议安全要求 ......................................................................................... 错误!未定义书签。 开启TCP/IP筛选................................................................................ 错误!未定义书签。 启用防火墙 ........................................................................................ 错误!未定义书签。 启用SYN攻击保护............................................................................ 错误!未定义书签。 5. 服务配置要求 ............................................................................................. 错误!未定义书签。 【基本】启用NTP服务 ........................................................................ 错误!未定义书签。 【基本】关闭不必要的服务................................................................. 错误!未定义书签。 【基本】关闭不必要的启动项............................................................. 错误!未定义书签。 【基本】关闭自动播放功能................................................................. 错误!未定义书签。 【基本】审核HOST文件的可疑条目 .................................................. 错误!未定义书签。 【基本】存在未知或无用的应用程序 ................................................. 错误!未定义书签。 【基本】关闭默认共享......................................................................... 错误!未定义书签。 【基本】非EVERYONE的授权共享 ......................................................... 错误!未定义书签。 【基本】SNMP C OMMUNITY S TRING设置................................................. 错误!未定义书签。 【基本】删除可匿名访问共享 ........................................................ 错误!未定义书签。 关闭远程注册表 ................................................................................ 错误!未定义书签。 对于远程登陆的帐号，设置不活动断开时间为1小时................. 错误!未定义书签。 IIS服务补丁更新 ............................................................................... 错误!未定义书签。 6. 其它配置要求 ............................................................................................. 错误!未定义书签。 【基本】安装防病毒软件..................................................................... 错误!未定义书签。 【基本】配置WSUS补丁更新服务器 ................................................. 错误!未定义书签。 【基本】S ERVICE P ACK补丁更新 ............................................................. 错误!未定义书签。 【基本】H OTFIX补丁更新...................................................................... 错误!未定义书签。 设置带密码的屏幕保护 .................................................................... 错误!未定义书签。

操作系统安全配置管理办法

行业资料：________ 操作系统安全配置管理办法 单位：______________________ 部门：______________________ 日期：______年_____月_____日 第1 页共8 页

操作系统安全配置管理办法 1范围 1.1为了指导、规范海南电网公司信息通信分公司信息系统的操作系统安全配置方法和日常系统操作管理，提高重要信息系统的安全运行维护水平，规范化操作，确保信息系统安全稳定可靠运行，特制定本管理办法。 1.2本办法适用公司信息大区所有信息系统操作系统安全配置管理。主要操作系统包括：AIx系统、Windows系统、Linux系统及HPUNIx 系统等。 2规范性引用文件 下列文件对于本规范的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本规范。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本规范。 --中华人民共和国计算机信息系统安全保护条例 --中华人民共和国国家安全法 --中华人民共和国保守国家秘密法 --ISO27001标准/ISO27002指南 --公通字[xx]43号信息安全等级保护管理办法 --GB/T21028-xx信息安全技术服务器安全技术要求 --GB/T20272-xx信息安全技术操作系统安全技术要求 --GB/T20269-xx信息安全技术信息系统安全管理要求 --GB/T22239-xx信息安全技术信息系统安全等级保护基本要求 --GB/T22240-xx信息安全技术信息系统安全等级保护定级指南 第 2 页共 8 页

3支持文件 《IT主流设备安全基线技术规范》（Q/CSG11804-xx） 4操作系统配置管理责任 4.1操作系统安全配置管理的主要责任人员是系统管理员，负责对所管辖的服务器操作系统进行安全配置。 4.2对于终端计算机操作系统的安全配置，应由终端管理员负责进行配置，或者在终端管理员指导下进行配置。 4.3系统管理员和终端管理员应定期对所管辖的服务器操作系统的配置、终端计算机操作系统的配置进行安全检查或抽查。 4.4系统管理员和终端管理员负责定期对所管辖的服务器和终端计算机操作系统安全配置的变更管理，变更应填写配置变更申请表。 4.5系统管理员和终端管理员负责定期对所管辖的服务器和终端计算机操作系统安全配置方法的修订和完善，由信息安全管理员对操作系统安全配置修订进行规范化和文档化,并经审核批准后统一发布。 5操作系统安全配置方法 5.1操作系统的安全配置规范应该根据不同的操作系统类型，不同的应用环境及不同的安全等级，结合信息系统和终端安全特性，制定合适的操作系统安全配置，以采取合适的安全控制措施。 5.2根据应用系统实际情况，在总体安全要求的前提下，操作系统的安全配置应满足《IT主流设备安全基线技术规范》（Q/CSG11804-xx）文件中对AIx系统、Windows系统、Linux系统及HPUNIx等最低安全配置要求的基础上可进行适当调节。 5.3操作系统安全配置方法应该根据技术发展和信息系统实际发展情况不断修订和完善。 第 3 页共 8 页

操作系统的安全策略基本配置原则通用版

管理制度编号：YTO-FS-PD674 操作系统的安全策略基本配置原则通 用版 In Order T o Standardize The Management Of Daily Behavior, The Activities And T asks Are Controlled By The Determined Terms, So As T o Achieve The Effect Of Safe Production And Reduce Hidden Dangers. 标准/ 权威/ 规范/ 实用 Authoritative And Practical Standards

操作系统的安全策略基本配置原则 通用版 使用提示：本管理制度文件可用于工作中为规范日常行为与作业运行过程的管理，通过对确定的条款对活动和任务实施控制,使活动和任务在受控状态，从而达到安全生产和减少隐患的效果。文件下载后可定制修改，请根据实际需要进行调整和使用。 安全配置方案中级篇主要介绍操作系统的安全策略配置,包括十条基本配置原则: (1)操作系统安全策略,(2)关闭不必要的服务(3)关闭不必要的端口, (4)开启审核策略(5)开启密码策略, (6)开启帐户策略,(7)备份敏感文件,(8)不显示上次登陆名,(9)禁止建立空连接(10)下载最新的补丁 1 操作系统安全策略 利用Windows 2000的安全配置工具来配置安全策略,微软提供了一套的基于管理控制台的安全配置和分析工具,可以配置服务器的安全策略.在管理工具中可以找到"本地安全策略".可以配置四类安全策略:帐户策略,本地策略,公钥策略和IP安全策略.在默认的情况下,这些策略都是没有开启的. 2 关闭不必要的服务 Windows 2000的Terminal Services(终端服务)和IIS(Internet 信息服务)等都可能给系统带来安全漏洞.为了

GBT 29315-2012 中小学、幼儿园安全技术防范系统要求

中小学、幼儿园安全技术防范系统要求 1 范围 本标准规定了中小学校和幼儿园安全技术防范系统基本要求、重点部位和区域及其防护要求、系统技术要求、保障措施等。 本标准适用于各类中小学、幼儿园(以下统称学校)，其他未成年人集中教育培训机构或场所参照执行。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 7401 彩色电视图像质量主观评价方法 GB/T 15408-2011 安全防范系统供电技术要求 GB 50348 安全防范工程技术规范 GB 50394 入侵报警系统工程设计规范 GB 50395 视频安防监控系统工程设计规范 GB 50396 出入口控制系统工程设计规范 GA/T 644 电子巡查系统技术要求 GA/T 678 联网型可视对讲系统技术要求 3 术语和定义 GB 50348、GB 50394、GB 50395、GB 50396中界定的术语和定义适用于本文件。 4 基本要求 4.1 学校安全技术防范系统建设，应符合国家现行相关法律、法规的规定。 4.2 安全技术防范系统建设应统筹规划，坚持人防、物防、技防相结合的原则，以保障学生和教职员工的人身安全为重点。 4.3 学校安全技术防范系统中使用的产品应符合国家现行相关标准的要求，经检验或认证合格，并防止造成对人员的伤害。 4.4 学校安全技术防范系统应留有联网接口。 5 防护要求

5.1 重点部位和区域 5.1.1 下列部位和区域确定为学校安全技术防范系统的重点部位和区域： a)学校大门外一定区域； b)学校周界； c)学校大门口； d)门卫室（传达室）； e)室外人员集中活动区域； f)教学区域主要通道和出入口； g)学生宿舍楼（区）主要出入口和值班室； h)食堂操作间和储藏室及其出入口、就餐区域； i)易燃易爆等危险品储存室、实验室； j)贵重物品存放处； k)水电气热等设备间； l)安防监控室。 注：学校大门外一定区域是指学生上下学时段，校门外人员密集集中的区域。 5.2 防护要求 5.2.1 学校大门外一定区域应设置视频监控装置，监视及回放图像应能清晰显示监视区域内学生出入校园、人员活动和治安秩序情况。 5.2.2 学校周界应设置实体屏障，宜设置周界入侵报警装置。 5.2.3 学校大门口应设置视频监控装置，监视及回放图像应能清楚辨别进出人员的体貌特征和进出车辆的车型及车牌号。 5.2.4 学校大门口宜配置隔离装置，用于在学生上学、放学的人流高峰时段，大门内外一定区域内通过隔离装置设置临时隔离区，作为学生接送区。 5.2.5 学校大门口宜设置对学生、教职员工、访客等人员进行身份识别的出入口控制通道装置。 5.2.6 幼儿园大门口宜安装访客可视对讲装置。 5.2.7 学校门卫室（传达室）应设置紧急报警装置。 5.2.8 室外人员集中活动区域（操场等）宜设置视频监控装置，监视及回放图像应能清晰显示监视区域内人员活动情况。 5.2.9 教学区域内学生集中出入的主要通道和出入口宜设置视频监控装置。

各种操作系统安全配置方案

操作系统安全配置方案 内容提要 Windows 的安全配置。 操作系统的安全将决定网络的安全，从保护级别上分成安全初级篇、中级篇和高级篇，共36 条基本配置原则。 安全配置初级篇讲述常规的操作系统安全配置，中级篇介绍操作系统的安全策略配置，高级篇介绍操作系统安全信息通信配置。 操作系统概述 目前服务器常用的操作系统有三类： Unix Linux Windows NT/2000/2003 Server 。 这些操作系统都是符合C2 级安全级别的操作系统。但是都存在不少漏洞，如果对这些漏洞不了解，不采取相应的措施，就会使操作系统完全暴露给入侵者。 UNIX 系统 UNIX 操作系统是由美国贝尔实验室开发的一种多用户、多任务的通用操作系统。它从一个实验室的产品发展成为当前使用普遍、影响深远的主流操作系统。 UNIX 诞生于20 世纪60 年代末期，贝尔实验室的研究人员于1969 年开始在GE645 计算机上实现一种分时操作系统的雏形，后来该系统被移植到了DEC 的PDP-7 小型机上。 1970 年给系统正式取名为Unix 操作系统。到1973 年，Unix 系统的绝大部分源代码都用C 语言重新编写过，大大提高了Unix 系统的可移植性，也为提高系统软件的开发效率创造了条件。 主要特色 UNIX 操作系统经过20 多年的发展后，已经成为一种成熟的主流操作系统，并在发展过程中逐步形成了一些新的特色，其中主要特色包括5 个方面。 （1 ）可靠性高 （2 ）极强的伸缩性 （3 ）网络功能强 （4 ）强大的数据库支持功能 （5 ）开放性好 Linux 系统 Linux 是一套可以免费使用和自由传播的类Unix 操作系统，主要用于基于Intel x86 系列CPU 的计算机上。这个系统是由全世界各地的成千上万的程序员设计和实现的。其目的是建立不受任何商品化软件的版权制约的、全世界都能自由使用的Unix 兼容产品。 Linux 最早开始于一位名叫Linus Torvalds 的计算机业余爱好者，当时他是芬兰赫尔辛基大学的学生。 目的是想设计一个代替Minix （是由一位名叫Andrew Tannebaum 的计算机教授编写的一个操作系统示教程序）的操作系统。这个操作系统可用于386 、486 或奔腾处理器的个人计算机上，并且具有Unix 操作系统的全部功能。 Linux 是一个免费的操作系统，用户可以免费获得其源代码，并能够随意修改。 它是在共用许可证GPL(General Public License) 保护下的自由软件，也有好几种版本，如Red Hat Linux 、Slackware ，以及国内的Xteam Linux 、红旗Linux 等等。Linux 的

系统安全配置技术规范_Juniper防火墙

系统安全配置技术规—Juniper防火墙

文档说明（一）变更信息 （二）文档审核人

目录 1. 适用围 (4) 2. 帐号管理与授权 (4) 2.1 【基本】删除与工作无关的帐号 (4) 2.2 【基本】建立用户帐号分类 (4) 2.3 【基本】配置登录超时时间 (5) 2.4 【基本】允许登录的帐号 (6) 2.5 【基本】失败登陆次数限制 (6) 2.6 【基本】口令设置符合复杂度要求 (6) 2.7 【基本】禁止ROOT远程登录 (7) 3. 日志配置要求 (8) 3.1 【基本】设置日志服务器 (8) 4. IP协议安全要求 (8) 4.1 【基本】禁用T ELNET方式访问系统 (8) 4.2 【基本】启用SSH方式访问系统 (9) 4.3 配置SSH安全机制 (9) 4.4 【基本】修改SNMP服务的共同体字符串 (10) 5. 服务配置要求 (10) 5.1 【基本】配置NTP服务 (10) 5.2 【基本】关闭DHCP服务 (11) 5.3 【基本】关闭FINGER服务 (11) 6. 其它安全要求 (12) 6.1 【基本】禁用A UXILIARY端口 (12) 6.2 【基本】配置设备名称 (12)

1.适用围 如无特殊说明，本规所有配置项适用于Juniper防火墙 JUNOS 8.x / 9.x / 10.x 版本。其中有“基本”字样的配置项，均为本公司对此类系统的基本安全配置要求；未涉及“基本”字样的配置项，请各系统管理员视实际需求酌情遵从。 2.帐号管理与授权 2.1【基本】删除与工作无关的帐号 2.2【基本】建立用户帐号分类

信息系统安全整体解决设计方案

《安全系统整体解决方案设计》

第一章企业网络的现状描述 (3) 1.1企业网络的现状描述 (3) 第二章企业网络的漏洞分析 (4) 2.1物理安全 (4) 2.2主机安全 (4) 2.3外部安全 (4) 2.4内部安全 (5) 2.5内部网络之间、内外网络之间的连接安全 (5) 第三章企业网络安全整体解决方案设计 (5) 3.1企业网络的设计目标 (5) 3.2企业网络的设计原则 (6) 3.3物理安全解决方案 (6) 3.4主机安全解决方案 (7) 3.5网络安全解决方案 (7) 第四章方案的验证及调试 (8) 第五章总结 (9) 参考资料 ...................................................... 错误！未定义书签。

企业网络整体解决方案设计 第一章企业网络的现状描述 1.1企业网络的现状描述 网络拓扑图 以Internet发展为代表的全球性信息化浪潮日益深刻，信息网络技术的应用正日益普及和广泛，应用层次正在深入，应用领域从传统的、小型业务系统逐渐向大型、关键业务系统扩展,以往一直保持独立的大型机和中-高端开放式系统（Unix和NT）部分迅速融合成为一个异构企业部分。 以往安全系统的设计是采用被动防护模式，针对系统出现的各种情况采取相应的防护措施，当新的应用系统被采纳以后、或者发现了新的系统漏洞，使系统在实际运行中遭受攻击，系统管理员再根据情况采取相应的补救措施。这种以应用处理为核心的安全防护方案使系统管理人员忙于处理不同系统产生的各种故障。人力资源浪费很大，而且往往是在系统破坏造

成以后才进行处理，防护效果不理想，也很难对网络的整体防护做出规划和评估。 安全的漏洞往往存在于系统中最薄弱的环节，邮件系统、网关无一不直接威胁着企业网络的正常运行;中小企业需要防止网络系统遭到非法入侵、未经授权的存取或破坏可能造成的数据丢失、系统崩溃等问题，而这些都不是单一的防病毒软件外加服务器就能够解决的。因此无论是网络安全的现状，还是中小企业自身都向广大安全厂商提出了更高的要求。 第二章企业网络的漏洞分析 2.1 物理安全 网络的物理安全的风险是多种多样的。 网络的物理安全主要是指地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获。以及高可用性的硬件、双机多冗余的设计、机房环境及报警系统、安全意识等。它是整个网络系统安全的前提，在这个企业区局域网内，由于网络的物理跨度不大，只要制定健全的安全管理制度，做好备份，并且加强网络设备和机房的管理，防止非法进入计算机控制室和各种盗窃，破坏活动的发生，这些风险是可以避免的。 2.2 主机安全 对于中国来说，恐怕没有绝对安全的操作系统可以选择，无论是Microsoft的Windows NT或者其他任何商用UNIX操作系统，其开发厂商必然有其Back-Door。我们可以这样讲：没有完全安全的操作系统。但是，我们可以对现有的操作平台进行安全配置、对操作和访问权限进行严格控制，提高系统的安全性。因此，不但要选用尽可能可靠的操作系统和硬件平台。而且，必须加强登录过程的认证，特别是在到达服务器主机之前的认证，确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。 与日常生活当中一样，企业主机也存在着各种各样的安全问题。使用者的使用权限不同，企业主机所付与的管理权限也不一样，同一台主机对不同的人有着不同的使用范围。同时，企业主机也会受到来自病毒，黑客等的袭击，企业主机对此也必须做好预防。在安装应用程序的时候，还得注意它的合法权限，以防止它所携带的一些无用的插件或者木马病毒来影响主机的运行和正常工作，甚至盗取企业机密。 2.3外部安全 拒绝服务攻击。值得注意的是，当前运行商受到的拒绝服务攻击的威胁正在变得越来越紧迫。对拒绝服务攻击的解决方案也越来越受到国际上先进电信提供商的关注。对大规模拒绝服务攻击能够阻止、减轻、躲避的能力是标志着一个电信企业可以向客户承诺更为健壮、具有更高可用性的服务，也是真个企业的网络安全水平进入一个新境界的重要标志。 外部入侵。这里是通常所说的黑客威胁。从前面几年时间的网络安全管理经验和渗透测试结果来看，当前大多数电信网络设备和服务都存在着被入侵的痕迹，甚至各种后门。这些是对网络自主运行的控制权的巨大威胁，使得客户在重要和关键应用场合没有信心，损失业务，甚至造成灾难性后果。