查看系統版本

Windows Server 2008 r2 Enterprise

用途

Vpn服務器

查看主機名

查看網絡配置

操作目的

預防木馬及病毒等危害程序

檢查方法

檢查系統殺軟服務是否啟動。

加固方法

安裝殺毒軟件；開啟實時監控；設置合適的監控級別；為殺軟設置密碼。

是否實施

備注

操作目的

安裝系統補丁，修補漏洞

檢查方法

使用漏掃工具掃描。

加固方法

使用工具自動化打補丁。

是否實施

備注

操作目的

減少系統無用賬號，降低風險

檢查方法

“Win+R”鍵調出“運行”->compmgmt.msc（計算機管理）->本地用戶和組，查看是否有不用的賬號，系統賬號所屬組是否正確以及guest賬號是否鎖定

加固方法

使用“net user 用戶名 /del”命令刪除賬號

使用“net user 用戶名 /active:no”命令鎖定賬號

是否實施

備注

檢查注冊表，預防影子賬號。

操作目的

增強口令的復雜度及鎖定策略等，降低被暴力破解的可能性

檢查方法

“Win+R”鍵調出“運行”->secpol.msc （本地安全策略）->安全設置

加固方法

1，賬戶策略->密碼策略

密碼必須符合復雜性要求：啟用

密碼長度最小值：8個字符

密碼最短使用期限：0天

密碼最長使用期限：90天

強制密碼歷史：1個記住密碼

用可還原的加密來存儲密碼：已禁用

2，賬戶設置->賬戶鎖定策略

帳戶鎖定時間：30分鐘

帳戶鎖定閥值：5次無效登錄

重置帳戶鎖定計數器：30分鐘

3，本地策略->安全選項

交互式登錄：不顯示最后的用戶名：啟用

是否實施

備注

“Win+R”鍵調出“運行”->gpupdate /force立即生效

操作目的

關閉不需要的服務，減小風險

檢查方法

“Win+R”鍵調出“運行”->services.msc

加固方法

以下服務改為手動

COM+ Event System

DHCP Client

Diagnostic Policy Service

Distributed Transaction Coordinator

DNS Client

Distributed Link Tracking Client

Remote Registry

Print Spooler

Server（不使用文件共享可以關閉）

Shell Hardware Detection

TCP/IP NetBIOS Helper

Windows Update

是否實施

備注

停用服務需謹慎，特別是遠程計算機

操作目的

關閉默認共享

檢查方法

“Win+R”鍵調出“運行”->cmd.exe->net share，查看共享

加固方法

關閉C$，D$等默認共享

“Win+R”鍵調出“運行”->regedit->找到HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/lanmanserver/parameters ，新建AutoShareServer（REG_DWORD），鍵值為0

是否實施

備注

操作目的

網絡訪問限制

檢查方法

“Win+R”鍵調出“運行”->secpol.msc ->安全設置->本地策略->安全選項

加固方法

網絡訪問: 不允許 SAM 帳戶的匿名枚舉：已啟用

網絡訪問: 不允許 SAM 帳戶和共享的匿名枚舉：已啟用

網絡訪問: 將 Everyone權限應用于匿名用戶：已禁用

帳戶: 使用空密碼的本地帳戶只允許進行控制臺登錄：已啟用

是否實施

備注

“Win+R”鍵調出“運行”->gpupdate /force立即生效

操作目的

增強文件系統安全性

檢查方法

查看每個系統驅動器是否使用NTFS文件系統

加固方法

建議使用NTFS文件系統，轉換命令：convert <驅動器盤符>: /fs:ntfs

是否實施

備注

操作目的

增強Everyone權限

檢查方法

鼠標右鍵系統驅動器（磁盤）->“屬性”->“安全”，查看每個系統驅動器根目錄是否設置為Everyone有所有權限

加固方法

刪除Everyone的權限或者取消Everyone的寫權限

是否實施

備注

操作目的

限制部分命令的權限

檢查方法

使用cacls命令或資源管理器查看以下文件權限

加固方法

建議對以下命令做限制，只允許system、Administrator組訪問

%systemroot%/system32/cmd.exe

%systemroot%/system32/regsvr32.exe

%systemroot%/system32/tftp.exe

%systemroot%/system32/ftp.exe

%systemroot%/system32/telnet.exe

%systemroot%/system32/net.exe

%systemroot%/system32/net1.exe

%systemroot%/system32/cscript.exe

%systemroot%/system32/wscript.exe

%systemroot%/system32/regedit.exe

%systemroot%/system32/regedt32.exe

%systemroot%/system32/cacls.exe

%systemroot%/system32/command.com

%systemroot%/system32/at.exe

是否實施

備注

可能會影響業務系統正常運行

操作目的

增大日志量大小，避免由于日志文件容量過小導致日志記錄不全

檢查方法

“Win+R”鍵調出“運行”->eventvwr.msc ->“windows日志”->查看“應用程序”“安全”“系統”的屬性

加固方法

建議設置：

日志上限大小：20480 KB

是否實施

備注

操作目的

對系統事件進行審核，在日后出現故障時用于排查故障

檢查方法

“Win+R”鍵調出“運行”->secpol.msc ->安全設置->本地策略->審核策略

加固方法

建議設置：

審核策略更改：成功

審核登錄事件：成功，失敗

審核對象訪問：成功

審核進程跟蹤：成功，失敗

審核目錄服務訪問：成功，失敗

審核系統事件：成功，失敗

審核帳戶登錄事件：成功，失敗

審核帳戶管理：成功，失敗

是否實施

備注

“Win+R”鍵調出“運行”->gpupdate /force立即生效