【Windows基线检查】

---

前言

企业在发布服务器到公网前都应该对服务器进行安全测试，包括漏洞扫描，基线检查，业务流程测试等等，本期介绍Windows基线检查的部分内容和一些操作系统策略设置方法。

---

一、目的

旨在为即将发布到公网的Windows服务器提供一套基线检查清单，以确保服务器配置符合安全要求，保障网络安全。

---

二、要求

2.1用户访问和身份验证

要求	操作方法
使用复杂的密码策略，并强制密码定期（至少90天）更改。应包含大小写字母，数字和特殊字符（如！@#￥&*），避免使用连续字符（如abcd）或重复字符（如1111），密码长度应不小于8个字符。对于应用系统，在系统开发时就应写入该规则	运行“gpedit.msc”在计算机配置->Windows设置->安全设置->账户策略->密码策略，中启用“密码必须符合复杂性要求”、“密码长度最小值”设置为8个字符、“密码最长使用期限”设置为90天。
应对Administrator账户重命名，并禁用Guest（来宾）账户。	打开控制面板->计算机管理->本地用户和组->单击Administrator账户->重命名 、打开控制面板->计算机管理->本地用户和组->单机Guest账户->属性->勾选“账户已禁用”
应配置当用户连续认证失败次数为5次时，锁定账户30分钟。	运行“gpedit.msc”在计算机配置->Windows设置->安全设置->账户策略->账户锁定策略，中“账户锁定阈值”设置为5次无效登录、“账户锁定时间”设置为30分钟、“重置账户锁定计数器”设置为30分钟之后。
操作系统用户的鉴别信息在分配给其他用户前提前释放。	运行“gpedit.msc”在计算机配置->Windows设置->安全设置->本地策略->安全选项，中检查系统是否启用“不显示上次登录”、“登录时不显示用户名”、“允许自动管理登录”。“不显示上次登录”设置为启用；“登录时不显示用户名”设置为启用；“允许自动管理登录”设置为禁用

2.2应用系统身份验证
（1）应用系统在系统开发时应写入复杂的密码策略，强制使用强密码并定期（至少90天）修改密码。
（2）禁止用户身份验证信息明文传输，应采用数据加密的方式传输数据。
（3）应设置当用户连续认证失败次数为5次时，锁定账户30分钟。

2.3安全防护软件
（1）服务器必须安装天擎、火绒、360等杀毒软件，发布前应进行全盘杀毒、清空隔离区文件。
（2）防病毒软件设置自动更新病毒库。

2.4操作系统安全配置

要求	操作步骤
所有Windows补丁更新至最新版本，且自动更新补丁。
禁用或限制远程桌面协议 (RDP) 访问权限，仅允许授权用户使用。实施虚拟专用网络 (VPN) 或其他安全通道来保护远程访问连接。	打开系统设置->系统->远程桌面->”启用远程桌面“为关->用户账户（可选择允许远程登录的账户）->高级设置->选择“仅允许运行使用网络级别身份验证的远程桌面”
设置远程登陆账户的登录超时时间为30分钟，应禁止匿名访问共享。	运行“gpedit.msc”在计算机配置/用户配置->管理模板->windows组件->远程桌面服务->远程桌面会话主机->会话时间限制，中启用“设置活动但空闲的远程桌面服务会话的时间限制”并设置空闲会话限制为30分钟。
启用系统Windows防火墙，并配置仅打开需要开放的端口和访问ACL。	打开“控制面板”->windows防火墙->高级设置->入站规则->检查现有规则，可禁用不必要端口的入站规则->右侧新建规则(限制端口开放)
应关闭Windows自动播放功能。	运行“gpedit.msc”在计算机配置/用户配置->管理模板->windows组件->自动播放策略，中启用“关闭自动播放”并设置关闭自动播放为所有驱动器。
禁止保存账号密码（包括但不限于：控制面板保存、网页文件、网页缓存等各类文件）	打开“控制面板”->用户账户->管理你的凭据-删除已保存的web凭据和windows凭据

2.5文件和目录权限

要求	操作步骤
为每个用户和用户组分配适当的权限，并避免过度授权。	按照实际需求由管理员分配账号和权限
限制对系统文件和目录的访问权限，仅授予管理员所需的最低权限。	按照实际需求由管理员分配账号和权限
Web等应用应设置站点文件访问权限，避免目录遍历。	打开服务器管理器->web服务器->网站->目录浏览->禁用
站点配置文件仅限管理员查阅、修改。	右键配置文件->属性->安全->编辑->仅保留管理员具有访问该文件的权限
关闭windows本地默认共享。	右键计算机->管理->服务->右侧server服务->禁用
禁止文件共享协议。	右键计算机->管理->服务->右侧server服务->禁用

2.6开放端口限制
应严格限制开放的端口及服务，仅开放必要的端口。包括但不限于以下风险端口，不应对外开放。内部远程使用ssh（22）、远程桌面的端口（3389）更换其他端口。

风险端口清单	协议
20/21	ftp
22	ssh
23	telnet
25	smtp
53	dns
135/139/445	rpc,文件共享
3389	远程桌面
1433	sqlserver
3306	mysql
5900	虚拟网络（vnc）
137/138	udp netbios
161/162	snmp
1900	upnp
2049	网络文件系统（nfs）
5060/5061	会话初始协议（sip）
6666/6667	实时聊天协议（irc）

2.7安全审计和日志
启用日志安全审计功能，监控并记录关键事件和活动，日志至少保存180天。
建议：
（1）windows查看安全审计配置，运行“gpedit.msc”在计算机配置->Windows设置->安全设置->本地策略->审核策略，建议至少配置为：

审核帐号登录事件 （成功，失败）
审核帐号管理 （成功，失败）
审核目录服务访问 （没有定义）
审核登录事件 （成功，失败）
审核对象访问 （成功,失败）
审核策略更改 （成功）
审核特权使用 （成功，失败）
审核过程跟踪 （成功，失败）
审核系统事件 （成功）

（2）确保日志文件的保留和定期备份，以便后续调查和审计。

2.8应用程序和服务安全
（1）定期更新和维护服务器上的应用程序和服务，确保最新的安全补丁和更新已安装。
（2）禁用或移除不需要的服务和功能，以减少攻击面。
（3）Web页面等文件，不得有内部IP、内部域名、账号、账号/密码、邮箱等信息。确需公开邮箱的，必须在申请单补充说明需求。

2.9网络结构安全
（1）实施网络隔离措施，将服务器放置在DMZ区域，与内网隔离。
（2）应配置系统DNS指向企业内部DNS服务器。
（3）应用系统应将应用服务和数据库、文件服务器分开，仅限应用服务器发布外网，且不得存放数据库、内部文件等资料。

2.10加密和数据保护
（1）一般不得在发布服务器存放内部文件，确需上传内部文件的，必须启用文件和文件夹的加密，以保护敏感数据的机密性。
（2）定期备份关键数据，并将备份存储在安全的离线或加密介质上。

2.11漏洞扫描
使用Nessus和AWVS等漏扫工具对服务器进行漏洞扫描，确认没有高危漏洞。

---

总结

列出了Windows基线检查包含的部分内容，还有待更新。