【正文】 服務(wù)） 12 是否禁用了不必要的服務(wù) 否 禁用不必要服務(wù)（可以禁用 HTTP,IP 直接廣播，其它的服務(wù)要視情況而定） 13 是否限制遠(yuǎn)程終 端會(huì)話 是 限制遠(yuǎn)程終端會(huì)話（通過(guò) ACL 實(shí)施了特定 IP 登陸） 14 策略安全 是否建立準(zhǔn)入、準(zhǔn)出地址過(guò)濾策略 是 設(shè)置 ACL 或在防火墻上實(shí)現(xiàn)該功能（實(shí)施了 ACL 限制遠(yuǎn)程登陸） 15 是否制定數(shù)據(jù)包過(guò)濾策略 否 可以在防火墻上實(shí)現(xiàn)該功能（需要了解數(shù)據(jù)包的類型等） 16 是否配置了強(qiáng)加密和密碼加密 否 設(shè)置強(qiáng)加密和密碼加密（可以 enable secret 實(shí)施密碼加密） 17 是否應(yīng)用Controlplane police預(yù)防 DDOS 攻擊 否 可以在防火墻上實(shí)現(xiàn)該功能 (內(nèi)網(wǎng)內(nèi)無(wú)硬件防火墻，邊界處才 有防火墻 ) 18 是否有完整的系統(tǒng)日志記錄功能，包括AAA 、 SNMP Trap Syslog、本地日志緩存 否 使用部分日志功能（接受 SYSLOG 日志）（實(shí)施網(wǎng)管平臺(tái)后可以將網(wǎng)絡(luò)設(shè)備的日志轉(zhuǎn)移到網(wǎng)管服務(wù)器上） 19 是否實(shí)施了配置管理，必要時(shí)可將路由配置恢復(fù)到原先狀態(tài) 是 無(wú) 20 OSPF 協(xié)議使用LOOPBACK 是否做ROUTEID 的標(biāo)識(shí) 否 無(wú)（也可以使用物理口做ROUTEID，即現(xiàn)在用的情景） 21 接入層和匯聚層之間是否采用靜態(tài)路由 是 無(wú) 22 是否存在黑洞路由即孤立的路由 否 無(wú) 23 其它 設(shè)備特權(quán)用戶的權(quán)限分離，例如將管理與審計(jì)的權(quán)限分配給不同的網(wǎng)絡(luò)設(shè)備用戶。 操作系統(tǒng)安全加固 （ 紅色代表可以實(shí)施， 藍(lán)色代表了解后再 討論確定 ） 操作系統(tǒng)加固 編號(hào) 機(jī)器名 內(nèi)部 IP 地址 域名服務(wù)器 IP 操作系統(tǒng) Windows 2020 Server 網(wǎng)關(guān) IP CPU 內(nèi)存 檢查日期 檢查人 編號(hào) 檢查內(nèi)容 檢查結(jié)果 加固建議 補(bǔ)丁安裝情況 1 操作系統(tǒng)是否已經(jīng)安裝相關(guān)的補(bǔ)丁 是 無(wú) 2 操作系統(tǒng)是否已經(jīng)安裝了全部 的HOTFIX 是 無(wú) 3 應(yīng)用程序是否及時(shí)進(jìn)行補(bǔ)丁的更新，包括 Office 和 IE 等 是 無(wú) 賬戶策略 4 密碼是否符合復(fù)雜性要求 否 開(kāi)啟密碼復(fù)雜性要求 5 密碼長(zhǎng)度是否符合要求 否 啟用密碼最小長(zhǎng)度，最小 8 位 6 是否設(shè)置了密碼最長(zhǎng)使用期限 否 啟用密碼最長(zhǎng)使用期限（不小于30 天） 7 是否設(shè)置了帳戶鎖定閥值 否 開(kāi)啟帳戶鎖定，一般 5 次 8 是否設(shè)定了帳戶鎖定時(shí)間 否 啟用帳戶鎖定時(shí)間 9 是否設(shè)置了復(fù)位帳戶鎖定計(jì)數(shù)器 否 啟用帳戶鎖定復(fù)位時(shí)間 10 是否將審核策略更改為 成功和失敗 否 審核策略更改的成功和失敗事件 11 是否將審核登錄事件更改為 成功和失敗 否 審核對(duì)登錄事件的成功和失敗事件 12 是否將審核對(duì)象訪問(wèn)設(shè)置為 失 敗 否 審核對(duì)象訪問(wèn)的失敗事件 安全 設(shè)置 13 當(dāng)?shù)卿洉r(shí)間用完時(shí)自動(dòng)注銷用戶 （啟用） 是 無(wú) 14 在掛起會(huì)話之前所需的空閑時(shí)間 （小于等于 30 分鐘） 是 無(wú) 15 發(fā)送未加密的密碼到第三方 SMB 服務(wù)器 :（禁用） 是 無(wú) 16 允許對(duì)所有驅(qū)動(dòng)器和文件夾進(jìn)行軟盤(pán)復(fù)制和訪問(wèn) （禁用） 是 無(wú) 17 故障恢復(fù)控制臺(tái) :允許自動(dòng)系統(tǒng)管理級(jí)登錄 （禁用） 是 無(wú) 18 清除虛擬內(nèi)存頁(yè)面文件 （啟用） 否 建議啟用清除虛擬內(nèi)存頁(yè)面文件 該項(xiàng)影響 ：系統(tǒng)在關(guān)機(jī)時(shí)會(huì)清除虛擬內(nèi)存頁(yè)面文件 19 允許系統(tǒng)在未登錄前關(guān)機(jī) （禁用） 是 無(wú) 20 交互式登錄：不顯示上次的用戶名（啟用） 否 建議在登錄時(shí)不顯示上次的用戶名 注冊(cè)表安全 21 抑制 Dr. Watson Crash Dump: HKLM\Software\Microsoft\DrWatson\ CreateCrashDump (REG_DWORD) 0 否 建議設(shè)置 CreateCrashDump 鍵值為 0 該項(xiàng)影響 ：系統(tǒng)崩 潰時(shí)不會(huì)生成Dump 文件 22 禁止在任何驅(qū)動(dòng)器上自動(dòng)運(yùn)行任何程序： HKLM\Software\ Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun (REG_DWORD) 255 否 建議創(chuàng)建并設(shè)置NoDriveTypeAutoRun 鍵值為 255 該項(xiàng)影響 ：在驅(qū)動(dòng)器上無(wú)法自動(dòng)運(yùn)行任何程序 23 用星號(hào)掩藏任何的口令輸入：HKLM\Software\Microsoft\ Windows\CurrentVersion\Policies\Network\HideSharePwds (REG_DWORD) 1 否 建議創(chuàng)建并設(shè)置 HideSharePwds鍵值為 1 24 禁止自動(dòng)執(zhí)行系統(tǒng)調(diào)試器： HKLM\Software\ Microsoft\ Windows NT\CurrentVersion\ AeDebug\Auto (REG_DWORD) 0 否 建議創(chuàng)建并設(shè)置 AeDebug\Auto鍵值為 0 該項(xiàng)影響 ：無(wú)系統(tǒng)調(diào)試功能 25 禁止自動(dòng)登錄：HKLM\Software\Microsoft\Windows NT\ CurrentVersion\Winlogon \AutoAdminLogon (REG_DWORD) 0 否 建議創(chuàng)建并設(shè)置AutoAdminLogon 鍵值為 0 該項(xiàng)影響 ：開(kāi)機(jī)不會(huì)自動(dòng)登錄到系統(tǒng)，需要用戶名密碼的認(rèn)證 26 禁止在藍(lán)屏后自動(dòng)啟動(dòng)機(jī)器： HKLM\System\ CurrentControlSet\Control\CrashControl\AutoReboot (REG_DWORD) 0 否 建議設(shè)置CrashControl\AutoReboot鍵值為 0 該項(xiàng)影響 ：系統(tǒng)藍(lán)屏后自動(dòng)啟動(dòng)機(jī)器 27 禁止 CD 自動(dòng)運(yùn)行 : HKLM\System\CurrentControlSet\Services\CDrom\ Autorun (REG_DWORD) 0 否 建議設(shè)置 CDrom\ Autorun 鍵值為 0 該項(xiàng)影響 ： CD 無(wú)自動(dòng)運(yùn)行功能 tt28 刪除服務(wù)器上的管理員共享 : HKLM\System\CurrentControlSet\ Services\LanmanServer\Parameters\AutoShareServer (REG_DWORD) 0 否 建議創(chuàng)建并設(shè)置 AutoShareServer鍵值為 0 該項(xiàng)影響 ：默認(rèn)的管理共享關(guān)閉 29 源路由欺騙保護(hù) : HKLM\System\CurrentControlSet\ Services\Tcpip\Parameters\DisableIPSourceRouting (REG_DWORD) 2 否 建議創(chuàng)建并設(shè)置DisableIPSourceRouting 鍵值為 2 該項(xiàng)影響 ：防止源路由欺騙攻擊 30 幫助防止碎片包攻擊 : HKLM\System\CurrentControlSet\ Services\Tcpip\Parameters\EnablePMTUDiscovery (REG_DWORD) 1 否 建議創(chuàng)建并設(shè)置EnablePMTUDiscovery 鍵值為 1 該項(xiàng)影響 ：防止碎片包攻擊 31 管理 keepalive 時(shí)間 : HKLM\System\CurrentControlSet\Services\Tcpip\ Parameters\KeepAliveTime (REG_DWORD) 300000 否 建議創(chuàng)建并設(shè)置 KeepAliveTime鍵值為 300000 該項(xiàng)影響 ：