【网络安全知识】Windows系统安全加固安全加固分析、概念及账户管理和认证权限

Windows系统安全加固分析
最小化方式安装
为了提高系统的安全性，采用最小化方式安装是最可靠的，只安装网络服务所必需的组件。如果以后有新的服务需求，再安装相应的服务组件，并及时进行安全设置。
系统加固工作
对Windows系统安全性方面进行加固，系统加固工作主要包括账户和认证安全配置、日志安全配置、网络安全配置、文件权限配置，服务安全配置以及其它安全选项配置等内容，从而使得操作系统变得更加安全可靠，为以后的工作提供一个良好的环境平台。
Windows系统安全概念
操作系统的安全防护研究通常包括以下几个方面的内容。
(1) 操作系统本身提供的安全功能和安全服务。目前的操作系统本身往往要提供一定的访问控制、认证与授权等方面的安全服务。
(2) 针对各种常用的操作系统，进行相关配置，使之能正确对付和防御各种入侵。
(3) 保证操作系统本身所提供的网络服务能得到安全配置。
只有授权过的用户或代表该用户运行的进程才能读、写、创建或删除信息。
账户管理和认证授权
账户与口令的使用通常是许多系统预设的防护措施。事实上，有许多用户的密码和口令是很容易被猜中的，或者使用系统预设的密码、甚至不设密码。
用户应该要避免使用不当的密码、系统预设密码或是使用空白密码，也可以配置本地安全策略要求密码符合安全性要求。
认证授权就是系统验证用户的凭据，如用户名/用户 ID和密码，以验证用户的身份。另一方面，授权是在系统成功验证用户的身份后，最终授予用户访问系统资源（如信息，文件，数据库，资金，位置，几乎任何内容）的权限。
管理账户
重命名Administrator，禁用GUEST
描述：
Administrator账户是微软操作系统的默认系统管理员账户，且此账户不能被停用，非法入侵者可以暴力猜测这个账户的密码。
Guest账户，即所谓的来宾用户。通过来宾帐户，其他计算机用户可以临时访问您的计算机，执行关闭系统、查看系统日志等危害性功能。
实施目的：
管理员帐号容易被猜解；Guest账号容易被非法利用。对于管理员帐号，要求更改缺省帐户名称，禁用guest（来宾）帐号，提高系统安全性。
实施步骤：
进入“控制面板->管理工具->本地安全策略”，在“本地策略->安全选项”，找到: “账户：
重命名管理员账户”，右键重命名；
“账户：来宾用户状态：”，右键”已禁用”。

在这里插入图片描述
系统更改判断依据
进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用户和组”，记录当前用户状态，查看已更改。

在这里插入图片描述
系统不显示上次登录的账户名
描述：
默认情况下，登录对话框中会显示上次登录的账户名。
这使得非法入侵者可以很容易地得到系统的一些账户名，进而做密码猜测，从而给系统带来一定的安全隐患。
实施目的：
可以设置登录时不显示上次登录的账户名，来解决这一问题。
实施步骤：
进入“控制面板->管理工具->本地安全策略”，在“本地策略->安全选项”，找到: “交互式登录：不显示最后的用户名”->右键“已启用”。

清理系统无效帐户
描述：
如果不清理无效帐户，则系统将面临默认账号被非法利用的风险。
实施目的：
删除或锁定与设备运行、维护等与工作无关的账号，提高系统帐户安全。
实施步骤：
进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用户和组”，删除或锁定与设备运行、维护等与工作无关的账号。
系统状态：
进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用户和组”，根据系统的要求和实际业务情况查看判断是否已删除或锁定与设备运行、维护等与工作无关的账号。
按照用户类型分配账号
描述：
账号混淆，权限不明确，存在用户越权使用的可能。
实施目的：按照用户分配帐户。根据业务要求，设定不同的用户和用户组。
例如，管理员用户，数据库用户，审计用户，来宾用户等。
实施步骤：
进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用户和组”。
结合要求和实际业务情况判断符合要求，根据系统的要求，设定不同的账户和账户组，管理员用户，数据库用户，审计用户，来宾用户。
系统状态：
进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用户和组”，根据系统的要求和实际业务情况查看账户和账户组，管理员用户，数据库用户，审计用户，来宾用户等。
配置密码策略
描述：
增加系统密码被暴力破解的成功率。
实施目的：
设置密码策略，减少密码安全风险；
防止系统弱口令的存在，减少安全隐患。
对于采用静态口令认证技术的设备，口令长度至少6位，且密码规则至少应采用字母（大小写穿插）加数字加标点符号（包括通配符）的方式。
实施步骤：
进入“控制面板->管理工具->本地安全策略”，在“帐户策略->密码策略”, “密码必须符合复杂性要求”选择“已启动”,设置自身密码策略。
对于采用静态口令认证技术的设备，帐户口令的留存期不应长于90天，其它推荐口令设置如下:

在这里插入图片描述
配置账户锁定策略
描述：
增加系统密码被暴力破解的成功率。
实施目的：
对于采用静态口令认证技术的设备，应配置当用户连续认证失败次数超过n次后，锁定该用户使用的帐户。
设置有效的账户锁定策略有助于防止攻击者猜出系统账户的密码。
实施步骤：
进入“控制面板->管理工具->本地安全策略”，在“帐户策略->账户锁定策略”中，配置 ”帐户锁定阈值” 不大于10次。

在这里插入图片描述
授权
远端系统强制关机设置
描述：
该策略设置允许用户从网络上的远程位置关闭计算机。
任何被分配此用户权限的人都可能增加系统被管理员以外的用户非法关闭的风险，导致拒绝服务(DoS)的发生，这将使计算机无法为用户请求提供服务。
实施目的：
防止远程用户非法关机，在本地安全设置中从远端系统强制关机只指派给Administrators组。
实施步骤：
进入“控制面板->管理工具->本地安全策略”，在“本地策略->用户权利指派”。
“从远端系统强制关机”设置为“只指派给Administrators 组”