系统加固之Windows操作系统加固

https://mp.weixin.qq.com/s/KZVon_aU5sUqQFBVhXzWNg

windows常见目录：

system32	存放系统配置文件
Syswow64	windows操作系统的子系统
Config/SAM	存放windows账号和密码
etc/hosts	DNS解析文件
Program files/Program files(x86)	64位系统安装在windows操作系统的子系统，32位下会安装在x86下
perflogs	日志目录

windows常用系统命令：

命令	说明
ver	查看系统版本
hostname	查看主机名
ipconfig /all	查看网络配置
net user /localgroup/share/config	查看用户/用户组/共享/当前运行可配置服务
at	建立或查看系统作业
netstat	查看开放端口
secpol.msc	查看和修改本地安全设置
services.msc	查看和修改服务
eventvwr.msc	查看日志
regedit	打开注册表
whoami	查看当前操作用户的用户名

window常见端口：

端口	说明
80/8080/8081	http协议代理服务器常用端口号
443	https协议代理服务器常用端口号
21	FTP协议代理服务器常用端口号
23	Telnet协议代理服务器常用端口号
22	ssh（安全登陆）、scp(文件传输）
1521	Oracle数据库
1433	MS SQL SERVER数据库
1080	QQ
3306	Mysql数据库
25	SMTP

net命令的使用：

创建（空密码）账号abc	net user abc /add
查看账号abc详细信息	net user abc
删除账号abc	net user abc /del
创建普通账号abc，密码为123	net user abc 123 /add
把abc用户加入管理员组	net localgroup administrators abc /add
把abc用户退出管理员组	net localgroup administrators /del
启用【停用】abc账号	net user abc /active:yes[no]
新建【删除】组admin	net localgroup admin /add[del]
查看本地开启的共享	net share
查看开启那些端口	netstat

windows系统加固

账号及安全策略

账号安全是计算机系统安全的第一关，如果计算机系统账号被盗用，那么计算机将非常危险，入侵者可以任意控制计算机系统，如果计算机中存在着重要的机密文件，或者银行卡号和密码，那么损失会非常严。

账号密码策略：

账号锁定策略：

禁用Guest账号权限

“我的电脑 “右击 ”管理 “打开 —配置 —本地用户和组 —用户 —Guest Guest—右键 —属性 — 常规 —选择 “账户已禁用 ”。

net user guest /active:no

Administrator 账号、组重命名

Administrator账号、组重命名，可增加账号安全性

wmic useraccount where name=\'Administrator\' call Rename admin

日志及审核策略

对重要事件进行审核记录，方便日后出现问题时查找根源。

审核策略：

审核策略更改	成功，失败
审核登录事件	成功，失败
审核对象访问	失败
审核进程跟踪	成功，失败
审核目录服务	失败
审核特权使用	失败
审核系统事件	成功，失败
审核账户登陆事件	成功，失败
审核帐户管理	成功，失败

调整事件日志的大小及覆盖策略

日志安全设置

设置方法：“开始” —“运行”输入 eventvwr.msc

增大日志小，避免由于文件容量过小导致重要记录遗漏

日志类型	日志大小	覆盖策略
应用程序	80000KB	覆盖早于 30 天的日志
安全日志	80000 KB	覆盖早于 30 天的日志
系统日志	80000 KB	覆盖早于 30 天的日志

在一个完整的信息系统里面，日志系统是一个非常重要的功能组成部分。它可以记录下系统所产生的所有行为，并按照某种规范表达出来。我们可以使用日志系统所记录的信息为系统进行排错，优化的性能，或者根据这些信息调整系统的行为。在安全领域，日志系统的重要地位尤甚，可以说是安全审计方面最主要的工具之一。

安全选项策略设置

Microsoft网络服务器：登录时间过期后断开与客户端的连接（启用）

目的：可以避免用户在不适合的时间登录到系统，或者用户登录到系统后忘记退出登录

Microsoft网络服务器：暂停会话前所需的空闲时间数量（小于等于15分钟）

目的：设置暂停会话前所需2的空闲时间为15分钟

Microsoft网络服务器：将为加密的密码发送到第三方SMB服务器

目的：禁止发送未加密的密码到第三方SMB服务器

恢复控制台：允许软盘复制并访问所有驱动器和所有文件夹

目的：禁止他访问驱动器上的所有文件和目录，仅允许访问每个卷的根目录%systemroot%目录及子目录，即使是这样它还现在不允许拷贝驱动器上的文件到软盘上

恢复控制台：允许自动管理登录

目的：可能会导致任何可以重启系统的人绕过账号口令限制和其它安全设置而访问系统

关机：清除虚拟内存页面文件（启用）

目的：某些第三方的程序可能把一些没有加密的密码存在内存中，页面文件中也可能含有另外一些敏感的资料。关机的时候清除页面文件，防止造成意外的信息泄露。

关机：允许系统在未登录的情况下关闭（禁用）

目的：在未登录前不能关闭计算机

交互式登录：不显示最后的用户名（启用）

目的：登录时不显示最后的用户，防止暴力用户名

交互式登录：无须按Ctrl+Alt+Del（禁用）

目的：登录时需要按Ctrl+Alt+Del

交互式登录：之前登录到缓存的次数（域控制器不可用时）

目的：登录时不显示上次的用户名，防止暴露用户名

网络访问：不允许SAM账户和共享的匿名枚举（启用）

目的：禁止使用匿名用户空连接枚举系统敏感信息

网络访问：不允许存储网络身份验证的密码和凭证（启用）

网络访问：本地账号的恭喜和安全模型：仅来宾--本地账号已来宾身份验证

网络访问：可匿名访问的共享（全部删除）

网络访问：可匿名访问的命名管道（全部删除）

网络访问：可远程访问的注册表路径（全部删除）

网络访问：可远程访问的注册表路径和子路径

审核：如果无法记录安全审核则立即关闭系统（启用）

审核：对全局系统对象的访问进行审核（启用）

用户权限策略设置

“拒绝通过远程桌面服务登录”中加入Guests、User组

“允许通过远程桌面服务登录”中只加入Administrators组

“拒绝本地登录”中添加web和guest用户

"从网络访问此计算机”中删除PowerUser和BackupOperators

NTFS安全

文件系统又被称作文件管理系统，它是指操作系统中负责管理和存储文件的软件机构。文件系统由与文件管理有关的软件、被管理的文件以及实施文件管理所需的数据结构这三部分构成。

从系统角度来看，文件系统是对文件存储器空间进行组织和分配，负责文件的存储并对存入的文件进行保护和检索的系统。具体地说，它负责为用户建立文件，存入、读出、修改、转储文件，控制文件的存取，当用户不再使用时撤销文件等。

Windows权限的继承性、累加性、优先性、交叉性和四项基本原则

Windows NT以后的文件，及文件夹共享设置有以下特性:继承性、累加性、优先性、交叉性。

●继承性: 下级的目录在没有经过重新设置之前，是拥有上一级目录权限设置的。

●累加性:是说如一个组GROUP1中有两个用户USER1、 USER2，他们同时对某文件或目录的访问权限分别为“读取”和“写入”，那么组GROUP1对该文件或目录的访问权限就为USER1和USER2的访问权限之和。

.●优先性:权限的这--特性又包含两种子特性，其一是文件的访问权限优先目录的权限，也就是说文件权限可以越过目录的权限，不顾上一级文件夹的设置。另- -特性就是“拒绝”权限优先其它权限，也就是说“拒绝”权限可以越过其它所有其它权限，一旦选择了“拒绝”权限，则箕它权限也就不能取任何作用，相当于没有设置。

●交叉性:指当同一文件夹在为某一用户设置了共享权限的同时又为用户设置了该文件夹的访问权限，且所设权限不一致时，它的取舍原则是取两个权限的交集，也即最严格、最小的那种权限。如目录A为用户USER1设置的共享权限为“只读”,，同时目录A为用户USER1设置的访问权限为“完全控制”，那用户USER1的最终访问权限为“只读”。

权限设置