某世界500強公司的服務器操作系統(tǒng)安全配置標準-文庫吧資料
2024-07-27 22:26本頁面
【正文】 ion 格式下面的注冊表項作為 HKLM\System\CurrentControlSet\Control\FileSystem\ 的子項添加：項如果您不再使用 16 位應用程序，則可以將此功能關閉。 禁用 格式文件名的自動生成為與 16 位應用程序的向后兼容，Windows 2000 Server 支持 文件名格式。 5 DWORD 0TCPMaxPortsExhausted DWORD 1PerformRouterDiscovery DWORD 3NoNameReleaseOnDemand DWORD 2TcpMaxDataRetransmissions DWORD 2TcpMaxConnectResponseRetransmissions DWORD 300,000DisableIPSourceRouting DWORD 0KeepAliveTime DWORD 0EnablePMTUDiscovery DWORD 2EnableDeadGWDetect DWORD 1SynAttackProtect DWORD 0EnableSecurityFilters DWORD 值（十進制）EnableICMPRedirect 格式下面的注冊表項作為 HKLM\System\CurrentControlSet\Services\Tcpip|Parameters\ 的子項添加：項 針對網(wǎng)絡攻擊的安全考慮事項有些拒絕服務攻擊可能會給 Windows 2000 Server 服務器上的 TCP/IP 協(xié)議棧造成威脅。 禁止匿名訪問注冊表只允許系統(tǒng)管理員擁有遠程訪問注冊表的權限。 普通用戶沒有相應權限。HKLM\System\CurrentControlSet\Services\Eventlog\DNS 適用于MS DNS服務運行環(huán)境中保護DNS日志保存目錄和配置被未授權的進行瀏覽 Read*HKLM\System\CurrentControlSet\Services\Eventlog\Security保護安全日志保存目錄和配置被未授權的進行瀏覽。 Read*HKLM\System\CurrentControlSet\Control\SecurePipeServers值: Winreg限制遠程注冊表訪問權限 訪問授權HKCR or HKLM\Software\Classes\ 保護對于文件擴展名鏈接和COM類注冊信息的未授權修改注冊表資源名稱 在實現(xiàn)了 SMB 后，為對服務器間的每一個數(shù)據(jù)包進行簽名和驗證，性能最多會降低 15%。服務器消息塊 (SMB) 簽名既可驗證用戶身份，又可驗證托管數(shù)據(jù)的服務器的身份。 根據(jù)頁面交換文件的大小不同，系統(tǒng)可能需要幾分鐘的時間才能完全關閉。這有助于 Windows 2000 Server 處理多任務功能。 對于登錄過程，NTLMv2 引入了一個安全的通道來保護身份驗證過程。 操作系統(tǒng)不能使用 Kerberos 進行身份驗證，所以，在默認情況下，在 Windows 2000 域中它們使用 NTLM 協(xié)議進行網(wǎng)絡身份驗證。 LAN Managern 身份驗證級別 Microsoft Windows 9x 和 Windows NTamp。這樣做的效果是將 Everyone（所有人）組從匿名用戶令牌中刪除。這使得攻擊者無需用一個用戶賬戶進行身份驗證就可以查看遠程服務器上的這些賬戶和共享名。 允許安裝但發(fā)出警告在上面的推薦配置中，下面幾項由于直接影響了域中各服務器間通訊的方式，可能會對服務器性能有影響。 禁止安裝未簽名非驅(qū)動程序的安裝操作 啟用未簽名驅(qū)動程序的安裝操作 鎖定工作站增強全局系統(tǒng)對象的默認權限（例如 Symbolic Links） 啟用（見第二條附注）智能卡移除操作 禁用如果無法記錄安全審計則立即關閉系統(tǒng) 僅發(fā)送 NTLMv2 響應，拒絕 LM amp。 啟用LAN Manager 身份驗證級別 禁用登錄屏幕上不要顯示上次登錄的用戶名 啟用禁用按 CTRL+ALT+DEL 進行登錄的設置 啟用對服務器通訊進行數(shù)字簽名 (如果可能) 啟用對服務器通訊使用數(shù)字簽名（始終） 啟用對客戶端通訊使用數(shù)字簽名 (如果可能) 啟用對客戶端通訊使用數(shù)字簽名 （始終） 啟用在系統(tǒng)關機時清除虛擬內(nèi)存頁面交換文件 未定義（見附注）當?shù)卿洉r間過期就自動注銷用戶（本地） 禁用登錄時間過期就自動注銷用戶 禁用對備份和還原權限的使用進行審計 15 分鐘對全局系統(tǒng)對象的訪問進行審計 管理員在斷開會話之前所需的空閑時間 禁用允許彈出可移動 NTFS 媒體 禁用允許在未登錄前系統(tǒng)關機 沒有顯式匿名權限就無法訪問允許服務器操作員計劃任務 (僅用于域控制器) 設置對匿名連接的附加限制 安全選項策略域策略中的安全選項應根據(jù)以下設置按照具體需要修改：選項 必須只能是Guest組的成員。IWAM_{system} 必須只能是Guest組的成員。 Windows Server 2003IUSR_{system} 此帳戶是為了“Terminal Services’ Internet Connector License”使用而存在的，故帳戶必須禁用，不會對于正常的Terminal Services的功能有影響。 Windows 2000 ServerWindows Server 2003TSInternetUser 對于系統(tǒng)管理員建議建立一個相關擁有Administrator組權限的新用戶，平時使用此帳戶登陸，只有在有特殊需要時才使用重命名后的Administrator進行系統(tǒng)登陸。 此帳戶必須在安裝后立即重命名并修改相關密碼；2. 1. 適用系統(tǒng)Administrator 建議安全配置策略帳戶名 下表列出了一個默認賬戶鎖定策略的設置以及針對您的環(huán)境推薦的最低設置。 復雜性要求當組策略的“密碼必須符合復雜性要求”設置啟用后，它要求密碼必須為 6 個字符長（但我們建議您將此值設置為 8 個字符）。 禁用 禁用 啟用為域中所有用戶使用可還原的加密來儲存密碼 禁用 8 個字符密碼必須符合復雜性要求 0 個字符 0 天最短密碼長度 0 天 42 天密碼最短期限 42 天 記住 4 個密碼密碼最長期限 記住 1 個密碼 推薦最低設置強制執(zhí)行密碼歷史記錄 默認設置策略 密碼策略默認情況下，將對域中的所有服務器強制執(zhí)行一個標準密碼策略。 適用版本W(wǎng)indows 2000 Server。2任何變更草案將由中國公司信息系統(tǒng)管理部門進行審核批準。 檢查和維護根據(jù)中國公司經(jīng)營活動的需要，每年檢查和評估本標準，并做出適當更新。 本標準一經(jīng)頒布，即為生效。 本規(guī)范適用的范圍包括：支持中國公司運行的Windows 2000 Server, Windows 2003服務器系統(tǒng)。 概述本文檔規(guī)定了中國公司企業(yè)范圍內(nèi)安裝有Windows操作系統(tǒng)的主機應當遵循的操作系統(tǒng)安全性設置標準，本文檔旨在指導系統(tǒng)管理人員進行Windows操作系統(tǒng)的安全配置。 181 其他信息 18 文檔信息 18 附則 1811 防病毒管理 1810 遠程管理訪問要求 17 屏幕保護設置 17 系統(tǒng)啟動設置 17 確保所有的磁盤卷使用NTFS文件系統(tǒng) 17 其它配置安全 169 系統(tǒng)審計日志 168 部署修補程序 16 確定修補程序當前版本狀態(tài) 16 服務器操作系統(tǒng)補丁管理 127 文件保護 11 目錄保護 11 文件/目錄控制 106 域控制器 9
規(guī)章制度相關推薦
鄂ICP備17016276號-1