windows安全配置

环境：本文我们以Windows Server 2012 R2为例，进行加固

Windows 不论什么版本，进行安全配置均包含以下两个常用维度

1、账户策略

①密码策略

强制密码历史，建议设置为24个

密码最长使用期限，建议设置60天

密码最短使用期限，建议设置为1天或更多

重点理解选项--密码最短使用期限

解释：密码最短使用期限，表示用户更改密码后，多少天内能再次更改密码此项设置主要是配合强

制密码历史使用。如果没有设置密码最短使用期限用户则可以循环选择密码，直到获得期望的旧密

码。

密码长度最小值，建议设置为14

密码必需符合复杂性要求，建议设置为启用

用可还原的加密码来存储密码，建议设置为禁用

②账户锁定策略

账户锁定阈值，建议设置为10次或更少

账户锁定时间，建议设置为15分钟或更多

重置账户锁定计数器，建议设置为15分钟或更多

2、本地策略

①审计策略

②用户权限策略

③安全选项

3、防火墙策略

①域配置文件

②私有网络配置文件

4、高级审计策略

①账户登录

②账户管理

③详细跟踪

④登录/注销

⑤对象访问

⑥策略更改

通常在Windows安全配置中有两类对象

一类是Windows Server，如win server 2012、win server 2016、winserver2019等

一类是Windows Client，如win7、win8、win 10等

在Windows安全配置中，如果组织有条件，对WindowsClient的安全配置 我们可以借助微软的活动

目录来实现自动化。

而对Windows Server 通常为保障服务器稳定运行，我们倾向于的是手动配置。

Windows安全配置方法

通常我们使用组策略对windows进行安全配置

组策略中的安全配置与注册表也可以对应，但注册表可读性较差。组策略有详细的说明，所以我们

通常使用组策略

在windows客户端系统中，HOME版本是没有组策略的的功能。

窗运行打开组策略的方法是

右键开始-->运行-->gpedit.msc

WIN+R -->gpedit.msc

用户权限分配

可在控制面板中搜索组策略或者在计算机配置—Windows 设置—安全设置—本地策略

①作为受信任的呼叫方访问凭据管理器，建议设置为空。默认为空

②域控设置

安全设置—本地策略—用户权限分配

作为受信任的呼叫方访问凭据管理器，建议设置为空。

默认为空从网络访问此计算机，建议设置为Administrator,AuthenticatedUSerS,ENTERPRISE

DOMAIN CONTROLLERS(域控设置)
以操作系统方式执行，建议设置为空，默认为空

将工作站添加到域，建议设置为Administrators为进程调整内存配额，建议设置为Administrators，

LOCALSERVICENETWORK SERVICE

允许本地登录，建议设置为Administrators

允许通过远程桌面服务登录，建议设置为Administrators，Remote

备份文件和目录，建议设置为Administrators

更改系统时间，建议设置为Administrators，LOCALSERVICE

更改时区，建议设置为Administrators，LOCAL SERVICE

创建页面文件，建议设置为Administrators

创建一个信息对象，建议设置为空

创建全局对象，建议设置为Administrators，LOCALSERVICE,NETWORKSERVICE,SERVICE

创建永久共享对象，建议设置为空

创建符号链接，建议设置为Administrators

设置账户：

设置审核：

设置设备：

设置交互式登录：

设置Microsoft网络客户端：

设置Microsoft网络服务器：

设置网络访问：

设置网络安全：

设置用户账户控制：

高级防火墙配置：

设置改机审核策略配置

        

1、账户策略

2、本地策略

3、防火墙策略

4、高级审计策略

Windows安全配置方法

---