安全基线/安全加固第二期,本期以Windows系统为例,主要以2012及2016的版本为主,2012以前的版本由于安全性问题,日常使用率较少,所以这里并未进行编写。安全基线合集发布不一定按这顺序,全看缘分,欢迎转发收藏。
此外,加固前请对系统业务运行的服务、端口等信息进行摸查及评估,并在测试机先行测试,加固不规范,老板扔炸弹。
《Redis-安全加固/安全基线》
《MongoDB-安全加固/安全基线》
《Oracle-安全加固/安全基线》
《MySQL-安全加固/安全基线》
《Sql-Server-安全加固/安全基线》
《IIS-安全加固/安全基线》
《Tomcat-安全加固/安全基线》
《Nginx-安全加固/安全基线》
《Centos6.x-安全加固/安全基线》
《Centos7.x-安全加固/安全基线》
《Windows-安全加固/安全基线》
01
—
开启密码复杂度
运行“gpedit.msc”在计算机配置->Windows设置->安全设置->账户策略-密码策略:将密码必须符合复杂性要求配置为:已启用
系统密码复杂性说明:
不能包含用户的账户名,不能包含用户姓名中超过两个连续字符的部分
至少有六个字符长
包含以下四类字符中的三类字符:
英文大写字母(A 到 Z)
英文小写字母(a 到 z)
10 个基本数字(0 到 9)
非字母字符(例如 !、$、#、%)
在更改或创建密码时执行复杂性要求。
02
—
密码长度最小值
运行“gpedit.msc”在计算机配置->Windows设置->安全设置->账户策略-密码策略:将密码长度最小值配置为:8个字符
03
—
密码最短使用天数
运行“gpedit.msc”在计算机配置->Windows设置->安全设置->账户策略-密码策略:将密码最短使用期限为:1天
04
—
密码最长使用期限
运行“gpedit.msc”在计算机配置->Windows设置->安全设置->账户策略-密码策略:将密码最长使用期限配置为:90天
05
—
强制密码历史
运行“gpedit.msc”在计算机配置->Windows设置->安全设置->账户策略-密码策略:将强制密码历史配置为:5个记住的密码
06
—
禁用可还原加密
运行“gpedit.msc”在计算机配置->Windows设置->安全设置->账户策略-密码策略:将用可还原的加密来存储密码配置为:已禁用
07
—
账户锁定策略
运行“gpedit.msc”在计算机配置->Windows设置->安全设置->账户锁定策略:将账户锁定时间配置为:30分钟,将账户锁定阈值设置为:5次无效登录,将重置账户锁定计数器配置为:5分钟之后
08
—
屏幕保护策略
Server2012以下系统,运行“control /name Microsoft.Display”选择更改屏幕保护程序:勾选“在恢复时显示登录屏幕”并配置等待3分钟。
Server2016-右键选择个性化->锁屏界面->屏幕保护程序设置-勾选“在恢复时显示登录屏幕”并配置等待3分钟。
09
—
是否存在多余管理员账号
服务器管理-工具-计算机管理-本地用户和组-组-administrators中查看是否存在多余用户
10
—
是否存在隐藏账号
服务器管理-工具-计算机管理-本地用户和组-用户-查看是否存在后缀带$的用户(用 net user 是看不出来隐藏用户的)
11
—
停用Guest用户
服务器管理-工具-计算机管理-本地用户和组-用户-查看并禁用Guest用户
12
—
修改默认管理员名称
使用默认用户容易遭到爆破,更改默认管理员名称增加爆破难度
13
—
不允许匿名枚举SAM账号与共享的匿名枚举;
运行“gpedit.msc”在计算机配置->Windows设置->安全设置->本地策略->安全选项,将“网络访问:不允许SAM账户和共享的匿名枚举”配置为:已启用
14
—
禁用自动播放功能
运行“gpedit.msc”在计算机配置->管理模板->Windows组件->自动播放策略->启用“关闭自动播放
15
—
默认共享和高危端口
删除默认磁盘共享C 、 I P C 、IPC 、IPC、admin$,配置防火墙入站规则阻止危险端口135、139、445访问
16
—
禁用Everyone用于匿名用户
运行“gpedit.msc”在本地计算机策略\计算机配置\Windows设置\安全设置\本地策略\安全选项\网络访问: 将 Everyone 权限应用于匿名用户`策略配置为:已禁用
17
—
防病毒软件安装
检查是否安装有杀毒软件(火绒、360等)
检查病毒库版本
18
—
日志存放模式设置
事件查看器-Windows日志,安全日志、应用日志、系统日志三个类型,选择属性,选择-日志满时将其存档,不覆盖事件
19
—
配置审核策略
运行“gpedit.msc”在计算机配置->Windows设置->安全设置->本地策略->审核策略:将开启如下策略:
审核策略更改:成功,失败
审核登录事件:成功,失败
审核对象访问:成功,失败
审核进程跟踪:成功,失败
审核特权使用:成功,失败
审核系统事件:成功,失败
审核账户登录事件:成功,失败
审核帐户管理:成功,失败
20
—
不显示上次登录名
运行“gpedit.msc”在计算机配置->Windows设置->安全设置->本地策略->安全选项,启用“不显示上次登录用户名”选项
21
—
关机前清除虚拟内存页面
运行“gpedit.msc”在计算机配置->Windows设置->安全设置->本地策略->安全选项,启用“关机清除虚拟内存页面文件”
22
—
关闭不需要的系统服务
关闭多余服务,如Print spooler、蓝牙相关、Fax及其他未提供业务使用的服务(关闭前请确认服务是否在使用)
23
—
开启防火墙
检查防火墙状态是否开启(需确认业务端口开放情况,先放开了端口,再开启)
24
—
操作系统补丁更新
及时更新微软推送的系统补丁,每月更新、专项漏洞修复更新
25
—
修改默认的RDP端口
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]
重启Remote Desktop Services 服务
26
—
禁用多余的任务计划程序
关闭多余的计划任务,记录异常的任务计划程序,打开“运行” taskschd.msc进行查看
最后
从时代发展的角度看,网络安全的知识是学不完的,而且以后要学的会更多,同学们要摆正心态,既然选择入门网络安全,就不能仅仅只是入门程度而已,能力越强机会才越多。
因为入门学习阶段知识点比较杂,所以我讲得比较笼统,大家如果有不懂的地方可以找我咨询,我保证知无不言言无不尽,需要相关资料也可以找我要,我的网盘里一大堆资料都在吃灰呢。
干货主要有:
①1000+CTF历届题库(主流和经典的应该都有了)
②CTF技术文档(最全中文版)
③项目源码(四五十个有趣且经典的练手项目及源码)
④ CTF大赛、web安全、渗透测试方面的视频(适合小白学习)
⑤ 网络安全学习路线图(告别不入流的学习)
⑥ CTF/渗透测试工具镜像文件大全
⑦ 2023密码学/隐身术/PWN技术手册大全
如果你对网络安全入门感兴趣,那么你需要的话可以点击这里👉网络安全重磅福利:入门&进阶全套282G学习资源包免费分享!
扫码领取