【等保测评】windows模拟测评

Cityミ slaves

已于 2024-07-30 16:49:00 修改

阅读量606

点赞数 15

分类专栏：等保测评文章标签： windows 网络安全计算机网络安全架构安全系统安全 web安全

于 2024-07-30 16:44:31 首次发布

本文链接：https://blog.csdn.net/weixin_54799594/article/details/140800523

版权

等保测评专栏收录该内容

30 篇文章 5 订阅

订阅专栏

一、身份鉴别

a)应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。

1.cmd输入命令netplwiz （登录用户身份鉴别）

2.cmd输入命令lusrmgr （唯一性）

3.cmd输入gprdit.msc计算机配置->windows设置->安全设置->密码策略（密码复杂度、定期更换）

结果记录：Windows部分符合：经核查，Windows服务器采用用户名和口令方式进行身份鉴别，身份标识SID唯一，不存在空口令账户；已配置口复杂度令策略（口令必须符合复杂性要求策略为己启用，口令最小长度未0个字符，口令最长使用期限策略为43天；强制口令历史策略为0个记住的口令）;当前使用口令包含大写字母、小写字母、数字、特殊字符4种，长度11位。

b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

1.cmd输入gpgdit.msc计算机配置->windows设置->安全设置->账户策略

2.打开控制面板->外观->显示->屏幕保护程序设置

结果记录：Windows部分符合：经核查，Windows服务器未配配置账户锁定策略，未启用屏幕保护程序（屏幕保护程序无）；不具有登录失败处理功能，未启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。

c)当进行远程管理时，应采取必要措施、防止鉴别信息在网络传输过程中被窃听；

1.计算机配置→管理模板→windows组件→远程桌面服务→远程桌面会话主机→安全，查看“设置客户端连接加密级别”;

结果记录：Windows部分符合：经核查，Windows服务器未启用Telnet服务，启用远程桌面服务，采用远程桌面协议RDP，但未设置客户端连接加密级别，未配置连接要求使用指定的安全层，未配置远程连接用户进行身份鉴别，不能防止鉴别信息在网络传输过程中被窃听。

d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

结果记录：经核查，服务器仅采用用户名和口令进行身份鉴别，未采用两种或两种以上组合的鉴别技术对用户进行身份鉴别。

二、访问控制

a)应对登录的用户分配账户和权限；

lusrmgr.msc：控制面板→管理工具→计算机管理→本地用户和组

结果记录：Windows部分符合：经核查，Windows服务器仅使用超级管理员账户Administrator（隶属于Administrators组）进行管理，该账户具有最大权限，未限制默认账户Administrator的访问权限，Guest账户已禁用。

b)应重命名或删除默认账户，修改默认账户的默认口令；

lusrmgr.msc：控制面板→管理工具→计算机管理→本地用户和组

结果记录：Windows符合：经核查，Windows服务器已禁用默认账户Guest，未重命名或禁用默认账户Administrator，但已配置默认账户Administrator的口令为复杂口令。

c)应及时删除或停用多余的、过期的账户，避免共享账户的存在；

lusrmgr.msc：控制面板→管理工具→计算机管理→本地用户和组

结果记录：Windows部分符合：经核查，Windows服务器中，仅存在超级管理员账户Administrator，未发现多余、过期的账户，存在共享账户的情况。

d)应授予管理用户所需的最小权限，实现管理用户的权限分离；

1.lusrmgr.msc：控制面板→管理工具→计算机管理→本地用户和组

2.本地安全策略（secpol.msc）--->安全设置--->本地策略--->用户权限分配

结果记录：经核查，Windows服务器设置超级管理员账户Administrator（隶属于Administrators组），未设置系统管理员账户、审计管理员账户、安全管理员账户，未实现管理用户的权限分离。

d)应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；

结果记录：Windows不符合：经核查，Windows服务器仅使用超级管理员账户Administrator（隶属于Administrators组）进行管理，该账户具有最大权限，无访问控制策略。

e)访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；

结果记录：Windows符合：经核查，Windows服务器由超级管理员账户Administrator（隶属于Administrators组）依据具体业务需求配置用户对文件的访问规则，关键系统文件夹权限设置合理，访问控制的粒度达到主体为用户级，客体为文件级。

f)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。

结果记录：经核查，服务器无强制访问控制（MAC）措施，未对重要主体和客体设置安全标记，未实现通过安全标记控制主体对客体的访问。

三、安全审计

a)应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；

本地安全策略（secpol.msc）--->安全设置--->本地策略--->审核策略

结果记录：Windows部分符合：经核查，Windows服务器开启部分本地审核策略，部分审核策略（审核策略更改、审核登录事件、审核对象访问）配置失败审核，但未开启成功事件审核，其他审核策略均未开启。

b)审计记录应包括事件的日期和时间，用户、事件类型，事件是否成功及其他与审计相关的信息；

eventvwr.msc（事件查看器）->windows日志->应用程序/安全/系统

结果记录：Windows符合：经核查，Windows服务器审计记录包括事件的日期和时间、来源、事件ID、任务类别、级别、用户等信息。

c)应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；

结果记录：Windows部分符合：经核查，Windows服务器日志文件所在目录（C:\\Windows\\System32\\winevt\\Logs）只有Administrators组、Event Log Readers组具备“写入”和“完全控制”权限，日志保存时间未达到6个月，但是该系统未新建系统；系统重要日志文件未定期备份，无法对审计记录进行保护。

d)应对审计进程进行保护，防止未经授权的中断。

secpol.msc（本地安全策略）->安全设置->本地策略->用户权限分配，“管理审核和安全日志”查看是否只有系统审计员或系统审计员所在的用户组。

结果记录：经核查，Windows服务器审计进程（Windows Event Log）权限配置合理，无法终止审计进程。

四、入侵防范

a)应遵循最小安装的原则仅安装需要的组件和应用程序；

1.控制面板->程序->程序和功能

2.dcomcnfg->计算机->我的电脑（查看多余组件）

结果记录：通用操作系统符合：经核查，系统遵循最小安装原则，未安装不必要的组件和应用程序。

b)应关闭不需要的系统服务、默认共享和高危端口；

1.cmd输入services.msc查看（Alerter、Remote Registry、Messenger、Task Schedulerd、Print Spooler）服务是否开启。

2.netstat -an（查看开放端口）

3.net share(查看默认共享)

4.firewall.cpl ->高级设置->入站规则

结果记录：经核查，Windows服务器启用RDS（Remote Desktop Service）服务用于远程管理，未关闭Print Spooler（打印机）服务、DHCP Client（DHCP客户端）、IP Heiper（IPv6转换）服务、Server（网络共享）服务、Workstation（SMB协议）服务、TCP/IP NetBIOS Heiper服务；未关闭默认共享；未配置IP安全策略或Windows防火墙入站规则阻断TCP 135、139、445、UDP 137、138等高危端口的连接。

c)应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制；

firewall.cpl->高级设置->入站规则