王健宇's BLOG

详解本地安全策略的设置

2010-5-25 王健宇 service

打开“管理 工具 ”/“本地安全策略”，展现以下五个目录：1. 帐户策略 2.本地策略 3.公钥策略 4.软件 限制策略 5.IP 安全策略，在本地计算机。

   各下属子目录：

   账户策略： 包括密码 策略和密码锁定策略；本地策略：包括审核策略，用户权利指派，安全策略；公钥策略：包括正在加密系统 文件 ；软件限制策略：无子目录只有编辑框； IP安全策略在本地计算机：无子目录只有编辑框。



1.设置账户策略

    账户策略之中包括密码策略、账户锁定策略和Kerberos策略的安全设置，密码策略为密码复杂程度和密码规则的修改提供了一种标准的手段，以便满足高安全性环境中对密码的要求。账户锁定策略可以跟踪失败的登录尝试，并且在必要时可以锁定相应账户。Kerberos策略用于域用户的账户，它们决定了与Kerberos相关的设置，诸如票据的期限和强制实施。

   (1)密码策略

   在这里可以配置5种与密码特征相关的设置，分别是"强制密码历史"、"密码最长使用期限"、"密码最短使用期限"、"密码长度最小值"和"密码必须符合复杂性要求"。
  
    ①强制密码历史：确定互不相同的新密码的个数，在重新使用旧密码之前，用户必须使用过这么多的密码，此设置值可介于0和24之间；

    ②密码最长使用期限：确定在要求用户更改密码之前用户可以使用该密码的天数。其值介于0和999之间；如果该值设置为0，则密码永不过期；

    ③密码最短使用期限：确定用户可以更改新密码之前这些新密码必须保留的天数。此设置被设计为与"强制密码历史"设置一起使用，这样用户就不能很快地重置有次数要求的密码并更改回旧密码。该设置值可以介于0和999之间；如果设置为0，用户可以立即更改新密码。建议 将该值设为2天；

    ④密码长度最小值：确定密码最少可有多少个字符。该设置值介于0和14个字符之间。如果设置为0，则允许用户使用空白密码。建议将该值设置为8个字符；

    ⑤密码必须符合复杂性要求：该项启用后，将对所有的新密码进行检查，确保它们满足复杂密码的基本要求。如果启用该设置，则用户密码必须符合特定要求，如至少有6个字符、密码不得包含三个或三个以上来自用户账户名中的字符等。


     (2)账户锁定策略

     在这里可以设置在指定的时间内一个用户账户允许的登录尝试次数，以及登录失败后，该账户的锁定时间。

     ①账户锁定时间：这里的设置决定了一个账户在解除锁定并允许用户重新登录之前所必须经过的时间，即被锁定的用户不能进行登录操作的时间，该时间的单位为分钟，如果将时间设置为0，将会永远锁定该账户，直到管理员解除账户的锁定；

     ②账户锁定阀值：确定尝试登录失败多少次后锁定用户账户。除非管理员进行了重新设置或该账户的锁定期已满，才能重新使用账户。尝试登录失败的次数可设置为1到999之间的值，如果设置为0，则始终不锁定该账户。


2.设置本地策略

     本地策略包括审核策略、用户权限分配和安全选项三项安全设置，其中，审核策略确定了是否将安全事件记录到计算机上的安全日志中；用户权利指派确定了哪些用户或组具有登录计算机的权利或特权；安全选项确定启用或禁用计算机的安全设置。

     (1)审核策略

     审核被启用后，系统就会在审核日志中收集审核对象所发生的一切事件，如应用程序 、系统以及安全的相关信息，因此审核对于保证域的安全是非常重要的。审核策略下的各项值可分为成功、失败和不审核三种，默认是不审核，若要启用审核，可在某项上双击鼠标，就会弹出"属性"窗口，首先选中"在模板中定义这些策略设置"，然后按需求选择"成功"或"失败"即可。审核策略包括审核账户登录事件、审核策略更改、审核账户管理、审核登录事件、审核系统事件等，下面分别进行介绍。

     ①审核策略更改：主要用于确定是否对用户权限分配策略、审核策略或信任策略作出更改的每一个事件进行审核。建议设置为"成功"和"失败"；

     ②审核登录事件：用于确定是否审核用户登录到该计算机、从该计算机注销或建立与该计算机的网络 连接的每一个实例 。如果设定为审核成功，则可用来确定哪个用户成功登录到哪台计算机；如果设为审核失败，则可以用来检测 入侵 ，但攻击 者生成的庞大的登录失败日志，会造成拒绝服务(DoS)状态。建议设置为"成功"；

     ③审核对象访问：确定是否审核用户访问某个对象，例如文件、文件夹、注册表 项、打印机等，它们都指定了自己的系统访问控制列表(SACL)的事件。建议设置为"失败"；

     ④审核过程跟踪：确定是否审核事件的详细跟踪信息，如程序激活、进程退出、间接对象访问等。如果你怀疑系统被攻击，可启用该项，但启用后会生成大量事件，正常情况下建议将其设置为"无审核"；

     ⑤审核目录服务访问：确定是否审核用户访问那些指定有自己的系统访问控制列表(SACL)的ActiveDirectory对象的事件。启用后会在域控制器的安全日志中生成大量审核项，因此仅在确实要使用所创建的信息时才应启用。建议设置为"无审核"；

     ⑥审核特权使用：该项用于确定是否对用户行使用户权限的每个实例进行审核，但除跳过遍历检查、调试程序、创建标记对象、替换进程级别标记、生成安全审核、备份文件和目录、还原文件和目录等权限。建议设置为"不审核"；

     ⑦审核系统事件：用于确定当用户重新启动或关闭计算机时，或者对系统安全或安全日志有影响的事件发生时，是否予以审核。这些事件信息是非常重要的，所以建议设置为"成功"和"失败"；

     ⑧审核账户登录事件：该设置用于确定当用户登录到其他计算机(该计算机用于验证其他计算机中的账户)或从中注销时，是否进行审核。建议设置为"成功"和"失败"；

     ⑨审核账户管理：用于确定是否对计算机上的每个账户管理事件，如重命名、禁用或启用用户账户、创建、修改或删除用户账户或管理事件进行审核。建议设置为"成功"和"失败"。


     (2)用户权利指派：用户权利指派主要是确定哪些用户或组被允许做哪些事情。具体设置方法是：

     ①双击某项策略，在弹出"属性"窗口中，首先选中"在模板中定义这些策略设置"；
     
     ②点击"添加用户或组"按钮就会出现"选择用户或组"窗口，先点击"对象类型"选择对象的类型，再点击"位置"选择查找的位置，最后在"输入对象名称来选择"下的空白栏中输入用户或组的名称，输完后可点击"检查名称"按钮来检查名称是否正确；
  
     ③最后点击"确定"按钮即可将输入的对象添加到用户列表中。

   (3)安全选项

      在这里可以启用或禁用计算机的安全设置，如数据的数字签名、Administrator和Guest账户的名称、软盘驱动器和CD-ROM驱动器访问、驱动程序安装行为和登录提示等。下面介绍几个适合于一般用户使用的设置。

      ①防止用户安装打印机驱动程序。对于要打印到网络打印机的计算机，网络打印机的驱动程序必须安装在本地打印机上。该安全设置确定了允许哪些人安装作为添加网络打印机一部分的打印机驱动程序。使用该设置可防止未授权的用户下载和安装不可信的打印机驱动程序。

      双击"设备：防止用户安装打印机驱动程序"，会弹出属性窗口，首先选中"在模板中定义这个策略设置"项，然后将"已启用"选中，最后点击"确定"按钮。这样则只有管理员和超级用户才可以安装作为添加网络打印机一部分的打印机驱动程序；

      ②无提示安装未经签名的驱动程序。当试图安装未经Windows 硬件质量实验室(WHQL)颁发的设备驱动程序时，系统默认会弹出警告窗口，然后让用户选择是否安装，这样很麻烦，你可以将其设置为无提示就直接安装。
   
     [双击"设备：未签名驱动程序的安装操作"项，在出现的属性窗口中，选中"在模板中定义这个策略设置"项，然后点击后面的下拉按钮，选择"默认安装"，最后点击"确定"按钮即可；

      ③登录时显示消息文字。指定用户登录时显示的文本消息。利用这个警告消息设置，可以警告用户不得以任何方式滥用公司信息或者警告用户其操作可能会受到审核，从而更好地保护系统数据。

     双击"交互式登录：用户试图登录时消息文字"，进入属性窗口，先将"在模板中定义这个策略设置"选中，然后在下面的空白输入框中输入消息文字，最多可以输入512个字符，最后点击"确定"按钮。这样，用户在登录到控制台之前就会看到这个警告消息对话框。

3.公钥策略

  子目录为“正在加密文件系统”。属性是：“（是否）允许用户用加密文件系统来加密文件”；所有任务中有：“添加数据恢复代理”和“不添加数据恢复代理”。

4.软件限制策略

  右键菜单中有“新建软件限制策略”。若点击，则会产生：“安全级别”和“其它规则”两目录（及其相应的编辑项）和“强制”“指派类型”“受信任的出版商”三个编辑项。

5.IP安全策略，在本地计算机:

    常用此来添加策略，屏蔽木马 病毒 端口 。

  其默认策略有三项：“安全服务器 ，客户端，服务器”三个选项。