Windows 操作系统安全配置实践(安全基线)

使用"net user 用户名 /del"命令删除账号
使用"net user 用户名 /active:no" 命令锁定账号
使用"net user 新用户名 密码 /add" 命令添加账号

用户名                 WeiyiGeek
全名
注释
用户的注释
国家/地区代码          000 (系统默认值)
帐户启用               Yes
帐户到期               从不

上次设置密码           2020/4/17 10:38:56
密码到期               从不
密码可更改             2020/4/17 10:38:56
需要密码               No
用户可以更改密码       Yes

允许的工作站           All
登录脚本
用户配置文件
主目录
上次登录               2021/5/23 9:10:30

可允许的登录小时数     All

本地组成员             *Administrators       *docker-users
全局组成员             *None
命令成功完成。

1.帐户：重命名来宾帐户：更改guest帐号为guester
2.帐户：重命名系统管理员帐户：更改Administrator帐号为WeiyiGeek(自定义即可)

# 1.账户设置->密码策略 ->
* 密码必须符合复杂性要求：启用
* 密码长度最小值：8个字符 (建议12位以上)
* 密码最短使用期限：2天
* 密码最长使用期限：90天
* 强制密码历史：1个记住密码
* 用可还原的加密来存储密码：已禁用

# 2.账户设置->账户锁定策略 ->> 应启用登录失败处理功能，可采取结束会话、限制登录间隔、限制非法登录次数和自动退出等措施
* 重置帐户锁定计数器：30 分钟
* 帐户锁定时间：30 分钟
* 帐户锁定阀值：6 次无效登录

# - 1.密码策略为：密码至少包含以下四种类别的字符中的2种：
英语大写字母 A, B, C, … Z
英语小写字母 a, b, c, … z
西方阿拉伯数字 0, 1, 2, … 9
非字母数字字符，如标点符号，@, #, $, %, &, *等

# - 2.密码策略用于 secedit 命令导入的系统策略配置文件使用(参考)
[+]确保强制密码历史值为5或更高
PasswordHistorySize=5
[+]确保密码最长使用期限值为90天或更少，但不为0
MaximumPasswordAge=90
[+]确保密码最短使用期限值为1或更多
MinimumPasswordAge=1
[+]确保密码必须符合复杂性要求值为enabled
PasswordComplexity=1
[+]确保用可还原的加密来存储密码值为Disabled
ClearTextPassword=0
[+]确保密码长度最小值值为8或更高建议12位以上
MinimumPasswordLength=8
1.2 账户锁定策略
[+]确保账户锁定时间值为15分钟或更长
LockoutDuration=15
[+]确保账户锁定阈值值为5或更少，但不为0
LockoutBadCount=6
[+]确保重置账户锁定计数器值为15分钟或更多，但值要小于Account lockout duration的值
ResetLockoutCount=15

1.配置“允许本地登录”右击“属性”请根据系统和业务的需要添加用户或组本地登录此计算机

2.拒绝从本地登录的用户,安装了服务的时候建立的用户即不需要进行登录系统如： IUSR_MACHINENAME， IWAN_MACHINENAME

3.设置"从网络访问此计算机" 的账户都为授权账户，删除线Everyone用户

4.“从远端系统强制关机”设置为“只指派给Administrators 组”

5.“关闭系统”设置为“只指派给Administrators 组”修改为需要

6.“取得文件或其它对象的所有权”设置为“只指派给Administrators 组”

7.帐户:使用空密码的本地帐户只允许进行控制台登录: 已启用

# - 1.用户权限分配策略用于 secedit 命令导入的系统策略配置文件使用(参考)
[+]确保作为受信任的呼叫方访问凭据管理器值为空，没有设置任何用户
SeTrustedCredManAccessPrivilege
[+]确保以操作系统方式执行值为空，没有设置任何用户。
SeTcbPrivilege
[+]确保将工作站添加到域值仅为特定的用户或用户组,不能有513，514，515
SeMachineAccountPrivilege
[+]确保创建全局对象值为空
SeCreateGlobalPrivilege
[+]确保拒绝作为批处理作业登录包含Guests
SeDenyBatchLogonRight
[+]确保拒绝以服务身份登录包含Guests
SeDenyServiceLogonRight
[+]确保拒绝本地登录包含Guests
SeDenyInteractiveLogonRight
[+]确保从远程系统强制关机值为administrators本地组和s-1-5-32-549(域控的一个内置组)
SeRemoteShutdownPrivilege
[+]确保修改对象标签值为空
SeRelabelPrivilege
[+]确保同步目录服务数据值为空
SeSyncAgentPrivilege

网络访问:不允许 SAM 帐户的匿名枚举：已启用
网络访问:不允许 SAM 帐户和共享的匿名枚举：已启用(没域时候)
网络访问:将 everyone权限应用于匿名用户： 已禁用
网络访问:不允许储存网络身份验证的凭据: 已启用(没域时候)
网络访问:可匿名访问的共享: 内容全部删除
网络访问:可匿名访问的命名管道: 内容全部删除
网络访问:可远程访问的注册表路径: 内容全部删除
网络访问:可远程访问的注册表路径和子路径: 内容全部删除

网络访问:不允许 SAM 帐户的匿名枚举：已启用
网络访问:不允许 SAM 帐户和共享的匿名枚举：已禁用
网络访问:将 everyone权限应用于匿名用户： 已禁用
网络访问:不允许储存网络身份验证的凭据: 已禁用
网络访问:可匿名访问的共享: 为空
网络访问:可匿名访问的命名管道: 为空

网络访问:可远程访问的注册表路径: 
System\CurrentControlSet\Control\ProductOptions
System\CurrentControlSet\Control\Server Applications
Software\Microsoft\Windows NT\CurrentVersion

网络访问:可远程访问的注册表路径和子路径: 
System\CurrentControlSet\Control\Print\Printers
System\CurrentControlSet\Services\Eventlog
Software\Microsoft\OLAP Server
Software\Microsoft\Windows NT\CurrentVersion\Print
Software\Microsoft\Windows NT\CurrentVersion\Windows
System\CurrentControlSet\Control\ContentIndex

# - 1.账户访问策略用于 secedit 命令导入的系统策略配置文件使用(参考)
[+]确保账户：来宾账户状态值为已禁用
EnableGuestAccount=0
[+]确保账户：限制使用空密码的本地账户只能使用控制台登录值为Enabled
MACHINE\System\CurrentControlSet\Control\Lsa\LimitBlankPasswordUse=4,1
[+]配置账户：重命名系统管理员账户
NewAdministratorName=”NewAdministrator”
[+]配置账户：重命名来宾账户
NewGuestName=”NewGuestName”
[+]确保交互式登录：不显示上次登录用户名值为Enabled
MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\DontDisplayLastUserName=4,1
[+]确保交互式登录：无须按Ctrl+Alt+Del值为Disabled
MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableCAD=4,0
[+]确保交互式登录：计算机不活动限制值为900秒或更少
MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\InactivityTimeoutSecs=4,900
[+]确保Microsoft 网络客户端: 将未加密的密码发送到第三方 SMB 服务器值为Disabled
MACHINE\System\CurrentControlSet\Services\LanmanWorkstation\Parameters\EnablePlainTextPassword=4,0
[+]确保Microsoft网络服务器：暂停会话前所需的空闲时间数量值为15分钟或更少，但不为0
MACHINE\System\CurrentControlSet\Services\LanManServer\Parameters\AutoDisconnect=4,15
[+]确保网络安全：再下一次改变密码时不存储LAN管理器哈希值值为Enabled
MACHINE\System\CurrentControlSet\Control\Lsa\NoLMHash=4,1
[+]确保网络访问：允许匿名SID/名称转换值为Disabled
LSAAnonymousNameLookup = 0
[+]确保网络访问：不允许SAM账户的匿名枚举值为Enabled
MACHINE\System\CurrentControlSet\Control\Lsa\RestrictAnonymousSAM=4,1
[+]确保网络访问：不允许SAM账户和共享的匿名枚举值为Enabled
MACHINE\System\CurrentControlSet\Control\Lsa\RestrictAnonymous=4,1
[+]确保关机：允许系统在未登录前关机值为Disabled
MACHINE\System\CurrentControlSet\Control\Session Manager\Memory Management\ClearPageFileAtShutdown=4,0

进入“控制面板->管理工具->本地安全策略”->“本地策略->用户权限分配
1.拒绝通过远程桌面服务登录：选取禁止登陆的用户(业务账号)

进入“控制面板->管理工具->本地安全策略”->“本地策略-> 安全选项
2.交互式登录: 计算机帐户阈值设置为5次无效登录尝试

建议设置：
审核策略更改：成功，失败
审核对象访问：成功，失败
审核系统事件：成功，失败
审核帐户登录事件：成功，失败
审核帐户管理：成功，失败
审核登录事件：成功，失败
审核过程跟踪：失败
审核目录服务访问：失败
审核特权使用：成功，失败

# - 1.审计策略用于 secedit 命令导入的系统策略配置文件使用(参考)
# + 审核系统事件 成功 失败(2)
AuditSystemEvents = @{value=3;msg="审核系统事件"}
# + 审核登录事件 成功、失败
AuditLogonEvents = @{value=3;msg="审核登录事件"}
# + 审核对象访问 成功、失败
AuditObjectAccess = @{value=3;msg="审核对象访问"}
# + 审核特权使用 失败
AuditPrivilegeUse = @{value=2;msg="审核特权使用"}
# + 审核策略更改 成功、失败
AuditPolicyChange = @{value=3;msg="审核策略更改"}
# + 审核账户管理 成功、失败
AuditAccountManage = @{value=3;msg="审核账户管理"}
# + 审核过程追踪 失败
AuditProcessTracking = @{value=2;msg="审核过程追踪"}
# + 审核目录服务访问 失败
AuditDSAccess = @{value=2;msg="审核目录服务访问"}
# + 审核账户登录事件 成功、失败
AuditAccountLogon = @{value=3;msg="审核账户登录事件"}
# + 检查结果存放的空数组

值的含义：(0)[都不记录] [成功(1)、失败(2)] (3)[成功、失败]

开始-> 管理工具 -> 服务
1.启动“Windows Time服务”，并设置为自启动。

开始->运行->eventvwr.msc ->事件查看器，展开"windows日志"查看"应用程序"、"安全"、"系统"的属性
2.日志大小设置不小于"8192KB"，当前计算机默认设置为20480KB(所以只能大而不能小)
3.最大的日志尺寸时，“按需要改写事件”（达到日志上限大小时：改写久于180天的事件）

4.重新设置日志路径防止一些应用程序清理日志(建议放在指定目录中)
安全日志：%SystemRoot%\System32\Winevt\Security.evtx
系统日志：%SystemRoot%\System32\Winevt\System.evtx

开始->运行->secpol.msc->安全设置->本地策略->用户权限分配->管理审核和安全日志
5.防止日志被普通用户删除将管理审核和安全日志 -> administrators 组删除 

6.禁止用户使用wevtutil命令来清理日志

开始->运行->eventvwr.msc ->事件查看器，展开"windows日志"查看"应用程序"、"安全"、"系统"的属性
更改安全日志路径为：%SystemRoot%\System32\Winevt\Logs\Security.evtx
更改系统日志路径为：%SystemRoot%\System32\Winevt\Logs\System.evtx

1.将下面的批处理进行进行保存在C:\Windows\LOGIN\login.bat 当用户进行远程桌面连接便将进行记录
@echo off
echo 登陆用户: >> login.evts && whoami >> login.evts
echo 登陆时间：%date:~0,10% - %time:~0,8%  >> login.evts
netstat -an -p tcp | findstr "ESTABLISHED" >> login.evts
echo --------------- >> login.evts

2.在用户登录配置文件出加入该路径确定并应用

1.启用屏幕保护程序，设置等待时间为"10分钟"，启用"在恢复时使用密码保护"

开始->运行->secpol.msc （本地安全策略）->安全设置，在"本地策略->安全选项"：
查看"Microsoft网络服务器：暂停会话前所需的空闲时间数量" 是否设置为15分钟

1.配置：“网络安全:在超过登录时间后强制注销”设置为“已启用”录时间后强制注销

2.Microsoft 网络服务器: 登录时间过期后断开与客户端的连接

3.Microsoft网络服务器: 暂停会话前所需的空闲时间数量" 设置为15分钟

PS C:\Users\WeiyiGeek> Get-ItemPropertyValue "Registry::HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" -Name NoDriveTypeAutoRun
221

1.打开"开始→运行"，在对话框中输入"gpedit.msc"命令，在出现"组策略"窗口中依次选择"在计算机配置→管理模板→所有设置"，双击"关闭自动播放"并设置"已启用"

2.配置：进入“开始->控制面板->自动播放”：去掉“所有的媒体和设备使用自动播放”前面的勾号并保存。

3.设置 NoDriveTypeAutoRun 键值为 233
reg add "Registry::HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 233 /f

导致这个问题的原因可能是因为Windows安全.dll文件注册不正确。建议您参考下面的文章中的工具进行系统文件修复，看看问题是否解决：
#Error 0x800B0100 when you try to install Windows Updates or Microsoft Updates（仅英文版）
https://support.microsoft.com/en-us/help/956702/error-0x800b0100-when-you-try-to-install-windows-updates-or-microsoft
​
#使用 DISM 或系统更新准备工具修复 Windows 更新错误
https://support.microsoft.com/zh-cn/help/947821/fix-windows-update-errors-by-using-the-dism-or-system-update-readiness

#策略配置
安全策略->密码与锁定策略策略
密码必须符合复杂性要求	已启用
密码长度最小值	10 个字符
密码最短使用期限	14 天
密码最长使用期限	30 天
强制密码历史	1 个记住的密码
用可还原的加密来储存密码	已禁用
 
帐户锁定时间	15 分钟
帐户锁定阈值	3 次无效登录
重置帐户锁定计数器	15 分钟之后
 
 
本地策略->安全选项
交互式登录：不显示最后的用户名：启用
 
拒绝本地登录 Guest
 
增加日志审计：
审核策略更改：成功
审核登录事件	成功, 失败
审核帐户登录事件	成功, 失败
审核帐户管理	成功, 失败

net user
compmgmt.msc
net user administrator CquE@2018.233
secpol.msc   #本地安全策略
gpupdate /Force #刷新组策略设置(使组策略立即生效)

echo @echo off > login.bat
 
@echo off
Whomai >> login.log
date /t >> login.log & time /t >> login.log
netstat -an -p tcp | findstr "ESTABLISHED" >> login.log
echo " ---------------------------------------------------------------- "  >> login.log
``` 
 
<br>
 
**(5)多余的共享清理**
设置共享进行清理再进行设置注册表
```bash
#查看本机共享
C:\Users\min>net share

#删除共享路径 bat
for /f "tokens=1 delims= " %%i in ('net share') do (net share %%i /del) >nul 2>nul

#从注册表中禁止默认共享
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters]
;#禁止系统缺省的共享目录(Admin$,C$,...,但不包括IPC$)。适用于Win NT/2000/XP/2003。重启系统后生效
"AutoShareWks"=dword:00000000				;#禁止C$、D$、E$一类的共享。如果要允许置为1。
"AutoShareServer"=dword:00000000		;#禁止Asmin$共享。如果要允许，置为1

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
;#禁止匿名访问IPC$。适用于Win NT/2000/XP/2003。如果要允许，置为0
"restrictanonymous"=dword:00000001