【网络攻防课实验】四：Windows安全策略与安全模板

---

实验前言

（实验步骤及说明大多直接摘抄自指导书）

• 安全模板是一种ASCII文本文件，它定义了本地权限、安全配置、本地组成员、服务、文件和目录授权、注册表授权等方面的信息。

  创建好安全模板之后，我们只要一个命令就可以将它定义的信息应用/部署到系统，所有它定义的安全配置都立即生效——原本需要数小时修补注册表、倒腾管理控制台“计算机管理”单元以及其他管理工具才能完成的工作，现在只需数秒就可以搞定。

第一次提出安全模板这个概念的是NT 4.0 SP 4。

实验目的

1、理解安全模板的功能；

2、学习安全模板的创建；

预备知识

本实验要求实验者具备如下的相关知识：

安全模板
安全模板是一种ASCII文本文件，它定义了本地权限、安全配置、本地组成员、服务、文件和目录授权、注册表授权等方面的信息。创建好安全模板之后，我们只要一个命令就可以将它定义的信息应用/部署到系统，所有它定义的安全配置都立即生效——原本需要数小时修补注册表、倒腾管理控制台“计算机管理”单元以及其他管理工具才能完成的工作，现在只需数秒就可以搞定。第一次提出安全模板这个概念的是NT 4.0 SP 4。安全模板是每一个管理员都必须了解的重要工具。安全模板不会让您修改不能通过其他方式修改的安全选项，它只是提供了一种快速批量修改安全选项的办法。凡是可以利用安全模板设置的安全选项，同样可以使用Windows的GUI工具手工修改，但后者耗费的时间肯定多得多。

安全策略
大多数人都忽略了Windows系统本身的功能，认为Windows弱不禁风。其实只要设置好Windows本身的安全策略功能，Windows就是非常强大的安全防护软件。

选择“控制面板”>>“管理工具”>>“本地安全策略”,打开安全策略。假如要设置软件限制策略，在“软件限制策略”上右键“新建策略”后会出现下级菜单，选择“其它规则”菜单选项。如下：

实验环境

• Windows实验机一台；

实验内容

1、安全模板之用武之地

• 大多数人都认为Windows弱不禁风，他们忽略了Windows系统本身的功能。其实只要设置好，Windows就是非常强大的安全防护软件。

  依托Windows系统本身的安全机制来抵御病毒的入侵，显然这种方法要可靠的多。

  本实验的主角就是Windows里自带的安全策略功能。打开安全策略很简单，直接双击“控制面板”->“管理工具”里的“本地安全策略”即可，这里重点讲其中的安全模板。

安全模板可以批量修改五类和安全有关的设置：

1）管理组

模板能够调整本地的组成员。

或许您也在为这样的问题烦恼：授予用户哪些权限才合适？有的公司让每一位用户都拥有本地管理员权限，有些则授予Power Users权限，还有的只授予Users权限。

如果限制了用户的权限，可以肯定的是，某些时候您不得不放宽限制，至少是临时性地放宽。例如，假设设置一个工作站时只允许本地的Administrator帐户成为本地Administrators组的成员，后来有一个维护人员为了方便“临时”地将普通用户帐户提升为Administrators组的成员，本来他打算稍后恢复原来的设置，但后来却忘记了。如果我们定义了一个“只有Administrator才能加入本地Administrators组”的安全模板，只要重新应用一下这个模板就可以防止其他用户进入Administrators组。

当然，模板不是随时监视安全设置选项确实已被采纳的守护神，确保安全设置策略已被执行的最好办法是定期重新应用整个模板，或者创建一个组策略来应用模板（组策略大约每隔90分钟重新应用自己的设置信息）。凡是安全模板能够做到的事情，组策略同样都能够做到，但如果使用组策略的话就要有一个Active Directory（AD）域，而模板却没有这方面的要求。

2）调整NTFS权限

安全模板能够调整NTFS权限