-1
-1
组策略设置系列之
安全选
项” (doc 16 页)
组策略设置系列篇之“安全选项” 设置,选项 组策略的“安全选项”部分启用或禁用数字数据 签名、Administrator和Guest帐户名、软盘驱 动器和CD-ROM驱动器的访问、驱动程序安 装操作和登录提示的计算机安全设置。
安全选项设置 您可以在组策略对象编辑器的下列位置配置安 全选项设置:计算机配置'Windows设置\安全设 置\ 本地策略\安全选项 帐户:管理员帐户状态
此策略设置启用或禁用Administrator帐户的 正常操作条件。如果以安全模式启动计算机, Administrator帐户总是处于启用状态,而与如 何配置此策略设置无关。
“帐户:管理员帐户状态”设置的可能值为:? 已启用
己禁用 没有定义
漏洞:在某些组织中,维持定期更改本地帐户的 密码这项常规计划可能会是很大的管理挑战。因 此,您可能需要禁用内置的Administrator帐 户,而不是依赖常规密码更改来保护其免受攻 击。需要禁用此内置帐户的另一个原因就是,无 论经过多少次登录失败它都不会被锁定,这使得 它成为强力攻击(尝试猜测密码)的主要目标。
另外,此帐户还有一个众所周知的安全标识符
(SID),而且第三方工具允许使用SID而非帐户 名来进行身份验证。此功能意味着,即使您重命 名Administrator帐户,攻击者也可能使用该
S1D登录来发起强力攻击。
对策:将“帐户:管理员帐户状态”设置配置为 “已禁用”,以便在正常的系统启动中不能再使 用内置的 Administrator帐户。
潜在影响:如果禁用Administrator帐户,在某 些情况下可能会造成维护问题。例如,在域环境 中,如果成员计算机和域控制器间的安全通道因 任何原因而失败,而且没有其他本地 Administrator帐户,则您必须以安全模式重新 启动才能修复这个中断安全通道的问题。
如果当前的Administrator密码不满足密码要 求,则Administrator帐户被禁用之后,无法重 新启用。女口果出现这种情况,Administrators组 的另一个成员必须使用“本地用户和组”工具来 为该Administrator帐户设置密码。
帐户:来宾帐户状态
此策略设置确定是启用还是禁用来宾帐户。
“帐户:来宾帐户状态”设置的可能值为:? 已启用 已禁用
没有定义
漏洞:默认Guest帐户允许未经身份验证的网 络用户以没有密码的Guest身份登录。这些未 经授权的用户能够通过网络访问Guest帐户可 访问的任何资源。此功能意味着任何具有允许
Guest帐户、Guests组或Everyone组进行访 问的权限的网络共享资源,都可以通过网络对其 进行访问,这可能导致数据暴露或损坏。
对策:将“帐户:来宾帐户状态”设置配置为“已 禁用”,以便内置的Guest帐户不再可用。
潜在影响:所有的网络用户都将必须先进行身份 验证,才能访问共享资源。如果禁用Guest帐 户,并且“网络访问:共享和安全模式”选项设 置为“仅来宾”,则那些由Microsoft网络服务 器(SMB服务)执行的网络登录将失败。对于 大多数组织来说,此策略设置的影响应该会很 小,因为它是 Microsoft Windows? 2000、
Windows XP 和 Windows Server? 2003 中的 默认设置。 帐户:使用空白密码的本地帐户只允许进行控制 台登录
此策略设置确定是否允许使用空白密码的本地 帐户通过网络服务(如终端服务、Telnet和文件 传输协议(FTP))进行远程交互式登录。如果启 用此策略设置,则本地帐户必须有一个非空密 码,才能从远程客户端执行交互式或网络登录。
“帐户:使用空白密码的本地帐户只允许进行控 制台登录”设置的可能值为: 已启用 已禁用 没有定义
注意:此策略设置不影响在控制台上以物理方式 执行的交互式登录,也不影响使用域帐户的登 录。
警告:使用远程交互式登录的第三方应用程序有 可能跳过此策略设置。 漏洞:空白密码会对计算机安全造成严重威胁, 应当通过组织的策略和适当的技术措施来禁止。 实际上,Windows Server 2003 Active Directory?目录服务域的默认设置需要至少包 含七个字符的复杂密码。但是,如果能够创建新 帐户的用户跳过基于域的密码策略,则他们可以 创建具有空白密码的帐户。例如,某个用户可以 构建一个独立的计算机,创建一个或多个具有空 白密码的帐户,然后将该计算机加入到域中。具 有空白密码的本地帐户仍将正常工作。任何人如 果知道其中一个未受保护的帐户的名称,都可以 用它来登录。
对策:启用“帐户:使用空白密码的本地帐户只 允许进行控制台登录”设置。
潜在影响:无。这