某世界500強(qiáng)公司的服務(wù)器操作系統(tǒng)安全配置標(biāo)準(zhǔn)(參考版)
2025-07-17 22:26本頁面
【正文】 其他信息。 由公司信息安全工作組討論通過，發(fā)布執(zhí)行。 對(duì)于發(fā)現(xiàn)的病毒則要有相關(guān)信息提示自動(dòng)的發(fā)送到相關(guān)管理人員處。 配置每天定時(shí)自動(dòng)檢查更新病毒定義文件。 下面是一些特別要求（基于目前Symantec AntiVirus防病毒軟件環(huán)境）。 遠(yuǎn)程管理軟件只接受一個(gè)小范圍IP地址的連接；注意：基于以上的安全要求，要禁止運(yùn)行Windows的Telnet服務(wù)。 屏幕保護(hù)設(shè)置設(shè)置在10分鐘內(nèi)主機(jī)沒有偵測到任何活動(dòng)（鼠標(biāo)或鍵盤操作），系統(tǒng)將自動(dòng)啟動(dòng)屏幕保護(hù)，并需要鍵入用戶密碼才能關(guān)閉。 確保所有的磁盤卷使用NTFS文件系統(tǒng)NTFS文件系統(tǒng)具有更好的安全性, 提供了強(qiáng)大的訪問控制機(jī)制。 其它配置安全9 建議設(shè)置日志大小為10M字節(jié)，配置為不改寫事件。 n 如果安裝了Microsoft Software Update Services (SUS)程序，可以使用SUS集中部署指定范圍（指定域或IP地址范圍）的主機(jī)的修補(bǔ)程序。 x86n 是它所面向的處理器體系結(jié)構(gòu)。n Q292435 是知識(shí)庫文章編號(hào)，您可在其中查找有關(guān)該即時(shí)修復(fù)程序的詳細(xì)信息。 部署修補(bǔ)程序可以使用手工執(zhí)行修補(bǔ)程序的方法安裝，修補(bǔ)程序一般是一個(gè)可執(zhí)行文件，其名稱表示了修補(bǔ)的信息。如果已經(jīng)部署了 Microsoft Systems Management Server (SMS)，則其軟件部署功能可用于將修補(bǔ)程序部署到環(huán)境中具有 SMS 客戶端的所有計(jì)算機(jī)，并確認(rèn)每臺(tái)計(jì)算機(jī)所安裝的補(bǔ)丁程序的當(dāng)前版本和狀態(tài)。 Administrators：完全控制System：完全控制Everyone：讀取和執(zhí)行、列出文件夾內(nèi)容、讀取其中%SystemRoot% 定義了 Windows 系統(tǒng)文件所在的路徑和文件夾名，%SystemDrive% 定義了包含 %systemroot% 的驅(qū)動(dòng)器。 Administrators：完全控制Creator/Owner：完全控制System：完全控制%systemdrive%\Inetpub Administrators：完全控制System：完全控制Authenticated Users：讀取和執(zhí)行、列出文件夾內(nèi)容%SystemRoot%\Repair%SystemRoot%\Security%SystemRoot%\Temp%SystemRoot%\system32\Config%SystemRoot%\system32\Logfiles 應(yīng)用的權(quán)限%systemdrive%\ 目錄保護(hù)受保護(hù)的目錄如下表所示：保護(hù)的目錄 文件/目錄控制6n 分布式鏈接跟蹤服務(wù)器服務(wù)此服務(wù)用來跟蹤域中的所有 NTFS 卷上的文件，由運(yùn)行著“分布式鏈接跟蹤客戶機(jī)”服務(wù)的計(jì)算機(jī)與之聯(lián)系。 如果在具體環(huán)境中使用 SMTP 進(jìn)行復(fù)制，則將需要啟用此服務(wù)。這些外接程序 DLL 加載到“站間消息傳遞服務(wù)”中。n 站間消息傳遞服務(wù)此服務(wù)用于站點(diǎn)間基于郵件的復(fù)制。 簡單郵件傳輸協(xié)議 (SMTP)n可以使用 RPC 或 SMTP 來進(jìn)行站點(diǎn)間復(fù)制。 允許域控制器提供 RPC 名稱服務(wù)此外，在域控制器上還有一些服務(wù)可能會(huì)在具體環(huán)境中需要： 自動(dòng) 允許客戶端使用 NTLM 身份驗(yàn)證登錄RPC 定位器 自動(dòng) 允許用戶使用 Kerberos v5 登錄到網(wǎng)絡(luò)NT LM 安全支持提供程序 自動(dòng) 域控制器間的文件復(fù)制所需Kerberos 密鑰發(fā)行中心 自動(dòng) 集成了 Active Directory 的 DNS 所需文件復(fù)制 自動(dòng) Active Directory Sysvol 共享所需DNS 服務(wù)器 自動(dòng) 包括在域控制器基準(zhǔn)策略中的理由分布式文件系統(tǒng) 啟動(dòng)類型 域控制器域控制器的服務(wù)推薦配置是在上一節(jié)成員服務(wù)器配置的基礎(chǔ)上，增加如下服務(wù)：服務(wù)信使服務(wù)將發(fā)送由報(bào)警服務(wù)觸發(fā)的警報(bào)消息。 其他許多應(yīng)用程序和工具也使用 WMI。 如果需要管理代理，那么有可能會(huì)需要啟動(dòng) SNMP 服務(wù)。 SNMPn 服務(wù)在許多情況下，管理應(yīng)用程序都需要在每個(gè)服務(wù)器上安裝一個(gè)代理。 加入域時(shí)所需除上述必須的服務(wù)以外，還有一些服務(wù)可能會(huì)在具體的環(huán)境中需要： 自動(dòng) 需要它來保證 Kerberos 身份驗(yàn)證有一致的功能工作站 自動(dòng) 使用“性能日志和警報(bào)”實(shí)現(xiàn)性能警報(bào)時(shí)所需Windows 時(shí)間服務(wù) 手動(dòng) 在組策略中進(jìn)行軟件分發(fā)所需（可用來分發(fā)修補(bǔ)程序）Windows 管理規(guī)范驅(qū)動(dòng)程序 自動(dòng) 在事件日志中記錄條目所需TCP/IP NetBIOS Helper 服務(wù) 自動(dòng) hfnetchk 實(shí)用工具所需（參見附注）系統(tǒng)事件通知 自動(dòng) 存儲(chǔ)本地安全賬戶的賬戶信息服務(wù)器 自動(dòng) hfnetchk 實(shí)用工具所需（參見附注）安全賬戶管理器 自動(dòng) Windows 2000 Server 中的內(nèi)部過程所需遠(yuǎn)程注冊服務(wù) 自動(dòng) 需要用它保護(hù)敏感數(shù)據(jù)，如私鑰遠(yuǎn)程過程調(diào)用 (RPC) 自動(dòng) Windows 2000 Server 標(biāo)識(shí)和使用系統(tǒng)硬件時(shí)所需受保護(hù)的存儲(chǔ)區(qū) 自動(dòng) 收集計(jì)算機(jī)的性能數(shù)據(jù)，向日志中寫入或觸發(fā)警報(bào)即插即用 手動(dòng) 網(wǎng)絡(luò)通訊所需性能日志和警報(bào) 手動(dòng) 加入域時(shí)所需網(wǎng)絡(luò)連接 自動(dòng) 需要它以執(zhí)行磁盤管理Netlogon 手動(dòng) 需要它來確保動(dòng)態(tài)磁盤信息保持最新邏輯磁盤管理器管理服務(wù) 自動(dòng) 允許在事件日志中查看事件日志消息邏輯磁盤管理器 自動(dòng) 允許解析 DNS 名稱事件日志 自動(dòng) 用來維護(hù) NTFS 卷上的鏈接DNS 客戶端 自動(dòng) 更新動(dòng)態(tài) DNS 中的記錄所需分布式鏈接跟蹤客戶端 自動(dòng) 允許組件服務(wù)的管理DHCP 客戶端 手動(dòng) 包括在成員服務(wù)器基準(zhǔn)策略中的理由COM+ 事件服務(wù) 啟動(dòng)類型服務(wù)這些服務(wù)中有一些在許多環(huán)境中都不需要運(yùn)行，再者，因?yàn)槿魏畏?wù)都是一個(gè)潛在的受攻擊點(diǎn)，所以應(yīng)禁用不必要的服務(wù)。 附加的注冊表安全配置針對(duì)Windows 2000 Server and Server 2003安全設(shè)置，可是用注冊表編輯器Registry Editor ()來實(shí)現(xiàn)如下設(shè)置刪除下列項(xiàng)（該值在Server 2003上不存在）注冊表項(xiàng): HKLM\System\CurrentControlSet\Services\SNMP\Parameters\ValidCommunities\項(xiàng): public:REG_DWORD:0x4功能：刪除Public SNMP通信字段名（如不需要使用SNMP功能，否則建議保留）。 0xFF DWORD 值（十六進(jìn)制）NoDriveTypeAutoRun 格式下面的注冊表項(xiàng)作為 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\的一個(gè)子項(xiàng)添加：項(xiàng)這樣，程序的安裝文件和音頻媒體上的聲音就可以立即啟動(dòng)。 下面的配置可以確保，如果使用了消息保密但未協(xié)商 128 位加密，則連接將失敗。 Windows 2000 Server Service Pack 2 以上提供了一個(gè)注冊表設(shè)置以禁用 LM 散列的存儲(chǔ)。相比之下，LM 散列運(yùn)算的能力比 NTLM 弱，因而易在猛烈攻擊下被攻破。 禁用 Lmhash 創(chuàng)建Windows 2000 Server 服務(wù)器可以驗(yàn)證運(yùn)行任何以前 Windows 版本的計(jì)算機(jī)的身份。 1 DWORD 值（十進(jìn)制）NtfsDisable8dot3NameCreat
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1