windows server 2008 配置本地安全策略
windowsserver2008配置本地安全策略
第六章配置本地安全策略一、账户策略的应用1、以管理员账户Administrator登录到服务器2、单击“开始”→“管理工具”→“本地安全策略”（或者“开始”→“运行”→输入“secpol.msc”）,打开本地安全策略。
3、选择“账户策略”→“密码策略”→设置密码长度最小值为7，启用密码必须符合复杂性要求，密码使用最长期限为30天4、选择“账户策略”→“账户锁定策略”，设置账户锁定阈值为3.5、单击“开始”→“运行”→，输入“gpupdate”，刷新策略。
6、管理员administrator打开“服务器管理器”控制台。
7、展开“配置”→“本地用户和组”→“用户”，右击账户UserA，选择“重设密码”，输入新密码和确认密码“aaa”，单击“确定”按钮，提示密码不符合密码策略的要求。
8、输入旧密码，输入新密码和确认新密码“aaa”，单击“确定”同样提示密码不符合密码策略要求。
9、以账户UserA在计算机上登录，故意输错3次密码，提示账户被锁定10、以administrator登录没有被锁定的提示。
对计算机解锁。
11、以管理员账户登录服务器解锁UserA账户。
12、在“服务器管理器”中，展开“配置”→“本地用户和组”→“用户”，右击账户UserA，选择“属性”→“常规”，可以看到账户以锁定的。
13、清除“账户以锁定”的复选框。
14、以UserA账户登录服务器，输入正确的密码可以正常登陆。
审核策略的应用1、以管理员账户登录到服务器，在D盘创建一个名字为“sss”的文件夹。
2、单击“开始”→“程序”→“管理工具”→“本地安全策略”，打开本地安全策略。
3、选择“本地策略”→“审核策略”→，双击“审核对象访问”策略，选择“成功”和“失败”4、刷新策略。
5、右击文件夹sss，选择“属性”→“安全”→“高级”→“审核”，添加“everyone”6、选择全部审核项目细节（完全控制：成功和失败），单击“确定”按钮。
7、注销“administrator”，以“UserA”登录到服务器访问“sss”文件夹。
Windows2008 Server 常规设置及基本安全策略
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]
"PortNumber"=dword:0002010
2.HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
3.找到右侧的 "PortNumber"，用十进制方式显示，默认为3389，改为(例如)6666端口
4.HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp
勾选下列 角色服务
ASP
CGI（和PHP有关）
ISAPI扩展
ISAPI筛选器
在服务器端包含文件（用于支持SSI shtml）
也可以之后添加
服务器管理器--〉角色--〉web 服务器(IIS)--〉角色服务 点击 添加角色服务
/blog/static/15662855201121893825604/
关闭 445端口
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters
新建 Dword（32位）名称设为SMBDeviceEnabled 值设为“0”
5、共享和发现
右键“网络” 属性 网络和共享中心 共享和发现
Windows2008管理9--配置系统安全
最短密码长度 此安全设置确定用户帐户密码包含的最少字符数。可以将值设置为介于 1 和 14 个字 符之间，或者将字符数设置为 0 以确定不需要密码。 密码最短使用期限 此安全设置确定在用户更改某个密码之前必须使用该密码一段时间(以天为单位)。可以 设置一个介于 1 和 998 天之间的值，或者将天数设置为 0，允许立即更改密码。 密码最短使用期限必须小于密码最长使用期限， 除非将密码最长使用期限设置为 0， 指 明密码永不过期。 如果将密码最长使用期限设置为 0， 则可以将密码最短使用期限设置为介 于 0 和 998 之间的任何值。 如果希望“强制密码历史”有效，则需要将密码最短使用期限设置为大于 0 的值。如 果没有设置密码最短使用期限，用户则可以循环选择密码，直到获得期望的旧密码。默认设 置没有遵从此建议， 以便管理员能够为用户指定密码， 然后要求用户在登录时更改管理员定 义的密码。如果将密码历史设置为 0，用户将不必选择新密码。因此，默认情况下将“强制 密码历史”设置为 1。 密码最长使用期限 此安全设置确定在系统要求用户更改某个密码之前可以使用该密码的期间 ( 以天为单 位)。可以将密码设置为在某些天数(介于 1 到 999 之间)后到期，或者将天数设置为 0，指 定密码永不过期。 如果密码最长使用期限介于 1 和 999 天之间， 密码最短使用期限必须小 于密码最长使用期限。 如果将密码最长使用期限设置为 0， 则可以将密码最短使用期限设置 为介于 0 和 998 天之间的任何值。 注意: 安全最佳操作是将密码设置为 30 到 90 天后过期， 具体取决于您的环境。 这样， 攻击者用来破解用户密码以及访问网络资源的时间将受到限制。 默认值: 42。 强制密码历史
windows2008安全配置以及优化
（1）防止黑客建立IPC$空连接打开注册表编辑器，定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA分支，在右边修改RestrictAnonymous为1.（2）账户问题。
首先以系统管理员身份进入Windows Server 2008系统桌面，从中依次点选"开始"/"运行"命令，打开系统运行文本框，在其中输入"gpedit.msc"字符串命令，单击回车键后，进入对应系统的组策略编辑界面；其次选中组策略编辑界面左侧列表中的"计算机配置"节点选项，再从该节点选项下面依次点选"管理模板"、"Windows组件"、"Windows登录选项"分支选项，从目标分支选项下面找到"在用户登录期间显示有关以前登录的信息"目标组策略选项，并用鼠标双击该选项，进入如图8所示的选项设置界面；(图挂了你自己猜吧) 在该选项设置界面中检查"已启用"选项有没有被选中，倘若看到该选项还没有被选中时，我们应该重新选中它，再单击"确定"按钮保存上面的设置操作，这样的话Windows Server 2008服务器系统自带的显示以前登录信息功能就被成功启用了。
日后，当有危险登录行为发生在Windows Server 2008服务器系统中时，目标危险登录账号信息就会被Windows Server 2008系统自动跟踪记忆下来，网络管理员下次重启服务器系统时，就能非常清楚地看到上次登录系统的所有账号信息，其中来自陌生账号的登录行为可能就是危险登录行为，根据这个危险登录行为网络管理员应该及时采取安全措施进行应对，以便杜绝该现象的再次发生。
（3）加强连接安全保护Windows Server 2008服务器系统自带的防火墙功能比以往进步了不少，为了让本地系统中的所有网络连接安全性及时地得到Windows防火墙的保护，我们需要对该系统环境下的组策略参数进行合适设置，来让Windows Server 2008服务器系统下的所有网络连接都处于Windows防火墙的安全保护之中，下面就是具体的设置步骤：首先以系统管理员身份进入Windows Server 2008系统桌面，从中依次点选"开始"/"运行"命令，打开系统运行文本框，在其中输入"gpedit.msc"字符串命令，单击回车键后，进入对应系统的组策略编辑界面；其次将鼠标定位于组策略编辑界面左侧列表区域中的"计算机配置"节点选项上，再从该节点选项下面依次点选"管理模板"、"网络"、"网络连接"、"Windows防火墙"、"标准配置文件"组策略子项，在目标组策略子项下面，找到"Windows防火墙：保护所有网络连接"选项，并用鼠标双击该选项，进入如图7所示的选项设置界面；（图挂了你自己猜）检查该设置界面中的"已启用"选项是否处于选中状态，要是发现该选项还没有被选中时，我们应该及时将它选中，再单击"确定"按钮保存上述设置操作，那样的话Windows Server 2008系统下的所有网络连接日后都会处于Windows防火墙的安全保护之下了。
Windows Server 2008项目13 使用安全策略和防火墙实现访问安全
网络访问：不允许SAM账户 和共享的匿名枚举 账户：来宾账户状态
说明
正常情况下，只有登录系统后具有权限的用 户才能关机，如果有时需要在未登录前关机， 可将此策略启用 密码为空的用户不能通过网络访问此计算机， 此策略禁用后，密码为空的用户将不会受到 限制。 该安全设置指定用户登录时显示的文本消息。 使用该文本通常作用是用于警告。例如警告 用户登录后哪些操作不被允许等。
2020年5月3日星期日
Windows Server 2008网络组建项目化教程
第2 页
13.2 项目知识准备
13.2.1 安全策略及类型
安全策略(security policy)规定了用户在使用计算机、 运行应用程序和访问网络等方面的行为约束规则。合 理运用和设定安全策略,可以使计算机受到的安全威胁 大大降低。根据影响范围的不同,Windows Server 2008支持以下4种类型的安全策略: ●本地安全策略:实现本地计算机的安全。包括帐户策 略、本地策略、公钥策略、软件限制策略和IP安全策 略。 ●域控制器安全策略:实现域控制器的安全。 ●域安全策略:实现整个域的安全。 ●组策略:实现整个网络的安全。
2020年5月3日星期日
Windows Server 2008网络组建项目化教程
第4 页
13.3 项目实施
任务13-1 帐户策略的设置
1.密码策略设置步骤如下： 步骤1～步骤7
2020年5月3日星期日
Windows Server 2008网络组建项目化教程
第5 页
任务13-1 帐户策略的设置
2.帐户锁定策略的设置
有两种类型的用户权限：
➢ 登录权限控制为谁授予登录计算机的权限以 及他们的登录方式，比如拒绝本地登录、允 许本地登录等；
WindowsServer2008系统安全系统配置大全
Windows 2008服务器安全设置技术实例目录Windows 2008服务器安全设置技术实例 (1)一、服务器安全设置之--硬盘权限篇 (2)二、服务器安全设置之--系统服务篇(设置完毕需要重新启动) (13)三、服务器安全设置之--组件安全设置篇 (18)四、服务器安全设置之--本地安全策略设置（重要） (20)A、策略——>密码策略 (20)B、策略——>锁定策略 (20)D、本地策略——>用户权限分配 (21)E、本地策略——>安全选项 (21)五、服务器安全设置之--本地安全策略-IP安全策略 (22)六、服务器安全设置之--高级安全windows防火墙(掌握好很重要) (23)七、服务器安全设置之--本地安全策略-高级审核策略配置 (24)a. 系统审核策略——>登录 (24)b. 系统审核策略——>管理 (24)c. 系统审核策略——>详细跟踪 (25)d. 系统审核策略——>DS访问 (25)e. 系统审核策略——>登陆/注销 (25)f. 系统审核策略——>对象访问 (25)g. 系统审核策略——>策略更改 (25)h. 系统审核策略——>特权使用 (25)八、服务器安全设置之--远程桌面服务策略 (26)九、服务器安全设置之--组策略配置（掌握好很重要） (26)十、服务器安全设置之--用户安全设置 (28)十一、选配—防御PHP木马攻击的技巧 (30)一、服务器安全设置之--硬盘权限篇这里着重谈需要的权限，也就是最终文件夹或硬盘需要的权限，可以防御各种木马入侵，提权攻击，跨站攻击等。
本实例经过多次试验，安全性能很好，服务器基本没有被木马威胁的担忧了（注：红色背景为主要审查配置对象）。
注：其他应用程序相关权限，除主要的权限访问继承上一级文件夹以外，需对指定的文件夹或文件进行单独的权限设置，规则按最小权限给予。
Windows_Server_2008安全配置
Windows Server 2008安全配置基础一、及时打补丁,不要安装系统的自带的更新,盗版软件是不支持此更新的,可以使用第三方软件进行系统更新,打漏洞补丁二、阻止恶意Ping攻击,严禁外网ping 次服务器我们知道，巧妙地利用Windows系统自带的ping命令，可以快速判断局域网中某台重要计算机的网络连通性;可是，ping命令在给我们带来实用的同时，也容易被一些恶意用户所利用，例如恶意用户要是借助专业工具不停地向重要计算机发送ping命令测试包时，重要计算机系统由于无法对所有测试包进行应答，从而容易出现瘫痪现象。
为了保证Windows Server 2008服务器系统的运行稳定性，我们可以修改该系统的组策略参数，来禁止来自外网的非法ping攻击：首先以特权身份登录进入Windows Server 2008服务器系统，依次点选该系统桌面上的“开始”/“运行”命令，在弹出的系统运行对话框中，输入字符串命令“gpedit.msc”，单击回车键后，进入对应系统的控制台窗口;其次选中该控制台左侧列表中的“计算机配置”节点选项，并从目标节点下面逐一点选“Windows设置”、“安全设置”、“高级安全Windows防火墙”、“高级安全Windows 防火墙——本地组策略对象”选项，再用鼠标选中目标选项下面的“入站规则”项目;接着在对应“入站规则”项目右侧的“操作”列表中，点选“新规则”选项，此时系统屏幕会自动弹出新建入站规则向导对话框，依照向导屏幕的提示，先将“自定义”选项选中，再将“所有程序”项目选中，之后从协议类型列表中选中“ICMPv4”，如图3所示;协议类型列表中选中“ICMPv4”，之后向导屏幕会提示我们选择什么类型的连接条件时，我们可以选中“阻止连接”选项，同时依照实际情况设置好对应入站规则的应用环境，最后为当前创建的入站规则设置一个适当的名称。
完成上面的设置任务后，将Windows Server 2008服务器系统重新启动一下，这么一来Windows Server 2008服务器系统日后就不会轻易受到来自外网的非法ping 测试攻击了。
Windows Server 2008 R2 游戏服务器简单安全设置及使用IP安全策略关闭端口
Windows Server 2008 R2 游戏服务器简单安全设置及使用IP安全策略关闭端口1给administrator用户加密码，开始运行control userpassword2控制面板\用户帐户给administrator设密码control userpasswords2这个运行命令，可以取消输入密码你输入的没有错误，可能是你机子根本没有密码吧，你仔细看会发现你的指针是闪过一下漏斗的。
下面的效果一样的开始--运行，输入“rundll32 netplwiz.dll,UsersRunDll”，按回车键后弹出“用户帐户”窗口，看清楚，这可跟“控制面板”中打开的“用户账户”面板窗口不同哦！然后取消选定“要使用本机，用户必须输入用户名和密码”选项，单击确定，在弹出的对话框中输入你想让电脑每次自动登录的账户和密码即可。
2修改远程访问端口，这个可以在使用的软件上修改修改远程访问服务端口更改远程连接端口方法，可用windows自带的计算器将10进制转为16进制。
更改3389端口为8208，重启生效！Windows Registry Editor Version 5.00[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\Wds\rdpwd\Tds\tcp]"PortNumber"=dword:0002010[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp]"PortNumber"=dword:00002010（1）在开始--运行菜单里,输入regedit,进入注册表编辑,按下面的路径进入修改端口的地方（2）HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp（3）找到右侧的 "PortNumber"，用十进制方式显示，默认为3389，改为(例如)6666端口（4）HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\Wds\rdpwd\Tds\tcp（5）找到右侧的 "PortNumber"，用十进制方式显示，默认为3389，改为同上的端口（6）在控制面板--Windows 防火墙--高级设置--入站规则--新建规则（7）选择端口--协议和端口--TCP/特定本地端口：同上的端口（8）下一步，选择允许连接（9）下一步，选择公用（10）下一步，名称：远程桌面-新(TCP-In)，描述：用于远程桌面服务的入站规则，以允许RDP通信。
WindowsServer2008配置系统安全策略
WindowsServer2008配置系统安全策略下⾯学习Windows Server 2008配置系统安全策略在⼯作组中的计算机本地安全策略有⽤户策略，密码策略，密码过期默认42天服务账户设置成永不过期，帐户锁定策略，本地策略，审核策略，计算机记录哪些安全事件最后在域环境中使⽤组策略配置计算机安全。
1.在⼯作组中的安全策略，打开本地安全策略。
2.打开本地安全策略之后选择密码策略，可以看到有很多的策略，先看第⼀个密码复杂性要求。
3.打开密码必须符合复杂性要求，默认是打开的，我们在设置密码的时候，不能设置纯数字或者纯字母，必须要有数字加⼤⼩写。
4.密码长度最⼩值，这个是设置密码最低⼩于⼏位数，默认是0，这⾥修改为6位，在设置密码的时候必须满⾜6位，包括数字字母⼤⼩写或者特殊符号。
5.密码最短使⽤期限，默认是0天这⾥设置为30天，在30天不会提⽰你修改密码，必须要使⽤30天才能改密码。
6.密码最长使⽤期限，默认是42天，这⾥修改为60天超过60天之后会提⽰让你修改密码。
7.强制密码历史，这个选项是你修改密码时不能⼀样，默认是0，这⾥设置为3次，修改3次密码之后才能修改回第⼀次使⽤的密码。
8.打开账户锁定策略，账户锁定值默认是0次，可以设置5次超过5次就会把这个账户锁定，为了防⽌别⼈⼊侵你的电脑，等待半个⼩时之后就会⾃动解锁，或者联系管理员⾃动解锁。
9.账号锁定时间，默认是30分钟⾃动解锁，也可以⾃⼰修改，这⾥修改为3分钟⾃动解锁。
10.现在lisi这个⽤户输错五次密码，就算输⼊正确的密码，提⽰账户已锁定，⽆法登录。
11.打开服务器管理器，选择本地⽤户和组，可以查看lisi这个⽤户，输错5次密码之后账户已锁定，管理员可以⼿动把这个勾去掉，然后确定就能登⼊了，或者lisi这个⽤户等待3分钟之后账户会⾃动解锁。
12.打开本地策略，选择审核登录事件，默认是⽆审核，这⾥我勾选成功跟失败，然后确定。
13.打开事件查看器，选择安全把⾥⾯的事件先全部删除，然后使⽤lisi远程登录到这台计算机。
2008r2 安全策略写入注册表
2008r2 安全策略写入注册表在Windows Server 2008 R2中，可以通过组策略编辑器（Group Policy Editor）来配置安全策略，并将其写入注册表。
以下是一些步骤，可以帮助您在Windows Server 2008 R2中配置安全策略并写入注册表：1. 打开组策略编辑器：按下Win键，键入“组策略编辑器”，然后选择“组策略编辑器”。
2. 导航到所需的策略：在左侧导航窗格中，展开“计算机配置”或“用户配置”，然后选择“策略”文件夹。
3. 创建或编辑策略：右键单击“策略”文件夹，选择“创建新策略”或“编辑策略”。
4. 配置安全设置：在右侧窗格中，展开“安全设置”文件夹。
5. 配置安全选项：在“安全设置”文件夹中，您可以配置各种安全选项，例如帐户策略、本地策略、审核策略等。
根据您的需求进行必要的配置。
6. 确定策略：完成配置后，右键单击“安全设置”文件夹，选择“应用”以使更改生效。
7. 将策略写入注册表：在组策略编辑器中，展开“计算机配置”或“用户配置”，然后展开“Windows设置”文件夹。
8. 创建或编辑注册表项：右键单击“注册表”文件夹，选择“创建新项”或“编辑项”。
9. 将值添加到注册表：在右侧窗格中，选择要添加的注册表项，然后右键单击该项并选择“新建”>“DWORD值”或“字符串值”，根据需要为其指定名称和值。
10. 应用更改：完成注册表项的配置后，右键单击“注册表”文件夹，选择“应用”以使更改生效。
11. 关闭组策略编辑器：在组策略编辑器窗口中，单击“文件”>“退出”以关闭组策略编辑器。
请注意，在更改注册表之前，请确保您已备份注册表并了解注册表编辑器的使用风险。
错误的更改可能导致系统不稳定或无法正常工作。
建议在进行更改之前仔细阅读相关文档并谨慎操作。
Windows Server 2008 R2 安装与管理第9节组策略与安全设置
32 本地计算机策略实例演练
（2） 用户配置实例演练。 实验1：删除 开始菜单中的关机、重新启动、睡眠和休眠命令
32 本地计算机策略实例演练
（2） 用户配置实例演练。 实验2：删除 IE浏览器Internet选项内的连接标签
32 本地计算机策略实例演练
（2） 用户配置实例演练。 实验3：将控制面板里面的防火墙隐藏起来
组策略与安全设置
本章内容
31 组策略概述 32 本地计算机策略实例演练 3 本地安全策略 34 审核资源的使用
31 组策略概述
运行gpedit.msc命令开始组策略窗口
32 本地计算机策略实例演练
（1） 计算机配置实例演练：关闭“关机提示按钮”
32 本地计算机策略实例练
（1） 计算机配置实例演练。
3 本地安全策略
3 本地安全策略
（1）账户策略的设置。
3 本地安全策略
（2）本地策略。
34 审核资源的使用
Win2008 Server组策略安全设置整理
1. 启用internet进程在运行里输入gpedit.msc->计算机配置->管理模板->windows组件->internet explorer->安全功能->限制文件下载->internet进程->选择已启用，日后Windows Server 2008系统就会自动弹出阻止Internet Explorer进程的非用户初始化的文件下载提示，单击提示对话框中的“确定”按钮，恶意程序就不会通过IE浏览器窗口随意下载保存到本地计算机硬盘中了。
(作用：防止恶意代码直接下载到本机上)2. 对重要文件夹进行安全审核、打开组策略->计算机配置->Windows设置->安全设置->本地策略->审核策略->审核对象访问,右键单击该项目，执行右键菜单中的“属性”命令打开目标组策略项目的属性设置窗口;选中该属性设置窗口中的“成功”和“失败”复选项，再单击“确定”按钮，如此一来访问重要文件夹或其他对象的登录尝试、用户账号、系统关闭、重启系统以及其他一些事件无论成功与失败，都会被Windows Server 2008系统自动记录保存到对应的日志文件中，我们只要及时查看服务器系统的相关日志文件，就能知道重要文件夹以及其他一些对象是否遭受过非法访问或攻击了，一旦发现系统存在安全隐患的话，我们只要根据日志文件中的内容及时采取针对性措施进行安全防范就可以了。
3. 禁止改变本地安全访问级别打开组策略->用户配置->管理模板->Windows组件->InternetExplorer->Internet控制模板->禁用安全页,右键菜单中的“属性”命令打开目标组策略项目的属性设置窗口;选择已启用4. 禁用internet选项打开组策略->用户配置->管理模板->Windows组件->Internet Explorer->浏览器菜单->禁用“Internet选项”组策略的属性设置窗口打开，然后选中其中的“已启用”选项，最后单击“确定”按钮就能使设置生效了。
[计算机]WINDOWS2008serverR2密码策略
![[计算机]WINDOWS2008serverR2密码策略](https://img.taocdn.com/s3/m/019bd8556529647d2628526a.png)
2008R2密码策略强制密码历史描述重新使用旧密码之前，该安全设置确定与某个用户帐户相关的唯一新密码的数量。
该值必须为0 到24 之间的一个数值。
该策略通过确保旧密码不能继续使用，从而使管理员能够增强安全性。
默认值：在域控制器上为24。
在独立服务器上为0。
注意默认情况下，成员计算机遵循它们的域控制器的配置。
要维持密码历史记录的有效性，则在通过启用密码最短使用期限安全策略设置更改密码之后，不允许立即更改密码。
有关密码最短使用期限安全策略设置的相关信息，请参阅密码最短使用期限。
配置此安全设置密码最短使用期限描述该安全策略设置确定用户可以更改密码之前必须使用该密码的时间（单位为天）。
可以设置 1 到998 天之间的某个值，或者通过将天数设置为0，允许立即更改密码。
密码最短使用期限必须小于密码最长使用期限，除非密码最长使用期限设置为0（表明密码永不过期）。
如果密码最长使用期限设置为0，那么密码最短使用期限可设置为0 到998 天之间的任意值。
如果希望强制密码历史有效，请将密码最短有效期限配置为大于0。
如果没有密码最短有效期限，则用户可以重复循环通过密码，直到获得喜欢的旧密码。
默认设置不遵从这种推荐方法，因此管理员可以为用户指定密码，然后要求当用户登录时更改管理员定义的密码。
如果将该密码的历史记录设置为0，则用户不必选择新密码。
因此，默认情况下将密码历史记录设置为1。
默认值：在域控制器上为1。
在独立服务器上为0。
注意默认情况下，成员计算机遵循它们的域控制器的配置。
配置此安全设置可通过打开相应的策略并按以下方式展开控制台树来配置该安全设置：计算机配置\Windows 设置\安全设置\帐户策略\密码策略\密码最长使用期限描述该安全设置确定系统要求用户更改密码之前可以使用该密码的时间（单位为天）。
可将密码的过期天数设置在1 至999 天之间，或将天数设置为0，可指定密码永不过期。
如果密码最长使用期限在 1 至999 天之间，那么密码最短使用期限必须小于密码最长使用期限。
Win2008安全配置与维护-副本
审核对给定文件夹或文件对象
? 如果要审核对给定文件夹或文件对象的访问，可通 过如下方法设置：
? （1）右键文件夹选择“属性” →“安全” →“高 级”→“高级安全设置”对话框 →“审核” →“编辑” →“添加” →选择所要审核的用户、 计算机或组 →“确定”
? （2）系统弹出审核项目的对话框，列出了被选中 对象的可审核的事件，包括“完全控制”或“遍历 文件夹 /运行文件”、“读取属性”、“写入属 性”、“删除”等权限。
?2：是在获取用户的账号后（如电子邮件@前 面的部分）利用一些专门软件强行破解用户 口令。
2、放置特洛伊木马程序
? 特洛伊木马程序常被伪装成工具程序或者游戏等诱 使用户打开带有特洛伊木马程序的邮件附件或从网 上直接下载，一旦用户打开了这些邮件的附件或者 执行了这些程序之后，它们就留在用户的电脑中， 并在自己的计算机系统中隐藏一个可以在 windows 启动时悄悄执行的程序。当您连接到因特网上时， 这个程序就会通知黑客，来报告用户 IP地址以及预 先设定的端口。黑客在收到这些信息后，再利用这 个潜伏在其中的程序，就可以任意地修改您的计算 机的参数设定、复制文件、窥视你整个硬盘中的内 容等，从而达到控制你的计算机的目的 。
? 在国家互联网应急中心监测的政府网站中，２０１０年被 篡改的政府网站比例达到１０．３％，即全国有约十分之一 的政府网站遭遇了黑客篡改。
黑客常用攻击方法
?1、获取口令 ?2、放置特洛伊木马程序 ?3、网络监听 ?4、寻找系统漏洞 ?5、利用帐号进行攻击 ?6、偷取特权
1、获取口令
?1：通过网络监听获得用户口令，监听者往往 能够获得其所在网段的所有用户账号和口令， 对局域网安全威胁巨大。
审核
?开始菜单—>管理工具—>本地安全策略
windows2008 r2的账户锁定策略 -回复
windows2008 r2的账户锁定策略-回复Windows Server 2008 R2是微软公司推出的一款服务器操作系统，它提供了丰富的功能和安全策略，其中之一就是账户锁定策略。
在本文中，我将详细介绍Windows Server 2008 R2的账户锁定策略，包括其原理、配置方法以及相关注意事项。
首先，让我们来了解账户锁定策略的原理。
在Windows Server 2008 R2中，账户锁定策略是一种安全措施，用于保护系统免受恶意攻击。
当一个账户发生多次无效的登录尝试时，系统会根据账户锁定策略的设置来决定是否锁定该账户，从而防止攻击者通过猜测密码或暴力破解的方式登录系统。
接下来，让我们看看如何配置账户锁定策略。
在Windows Server 2008 R2中，可以通过本地安全策略或组策略来配置账户锁定策略。
下面是一步一步的配置方法：1. 使用管理员权限登录Windows Server 2008 R2系统。
2. 打开“开始”菜单，选择“管理工具”，然后点击“本地安全策略”或“组策略管理”。
3. 在左侧导航栏中选择“账户策略”，然后点击“账户锁定策略”。
4. 在右侧窗口中，找到“账户锁定阈值”设置选项。
这个选项决定了当一个账户发生多次无效的登录尝试时，系统会锁定该账户的次数。
5. 可以根据需要将“账户锁定阈值”设置为一个适当的值。
一般来说，推荐将其设置为5或10次无效登录尝试。
6. 可以选择是否启用“账户锁定复位计时器”。
如果启用了复位计时器，那么在账户被锁定一定时间后，系统会自动将其解锁。
否则，管理员需要手动解锁被锁定的账户。
7. 点击“应用”按钮，然后点击“确定”保存配置。
需要注意的是，在配置账户锁定策略时，应该平衡安全和用户友好性。
设置过于严格的账户锁定阈值可能会导致用户频繁被锁定，影响其正常使用系统。
而设置过于宽松的阈值可能增加系统被攻击的风险。
因此，建议在配置时根据实际情况进行调整。
windows2008组策略安全配置
关于windows2008 的组策略设置开始---运行----gpedit.msc---组策略----计算机配置---- Windows设置----安全设置---组策略设置：在用户权利指派下，从通过网络访问此计算机中删除Power Users和Backup Operators;启用不允许匿名访问SAM帐号和共享;启用不允许为网络验证存储凭据或Passport;从文件共享中删除允许匿名登录的DFS$和COMCFG;启用交互登录：不显示上次的用户名;启用在下一次密码变更时不存储LANMAN哈希值;禁止IIS匿名用户在本地登录;3.本地安全策略设置:开始菜单—>管理工具—>本地安全策略A、本地策略——>审核策略审核策略更改成功失败审核登录事件成功失败审核对象访问失败审核过程跟踪无审核审核目录服务访问失败审核特权使用失败审核系统事件成功失败审核账户登录事件成功失败审核账户管理成功失败注：在设置审核登陆事件时选择记失败，这样在事件查看器里的安全日志就会记录登陆失败的信息。
B、本地策略——>用户权限分配关闭系统：只有Administrators组、其它全部删除。
通过终端服务拒绝登陆：加入Guests、User组（备注不要加入User组以后无法远程登录。
）通过终端服务允许登陆：只加入Administrators组，其他全部删除C、本地策略——>安全选项交互式登陆：不显示上次的用户名启用网络访问：不允许SAM帐户和共享的匿名枚举启用网络访问：不允许为网络身份验证储存凭证启用网络访问：可匿名访问的共享全部删除网络访问：可匿名访问的命全部删除网络访问：可远程访问的注册表路径全部删除网络访问：可远程访问的注册表路径和子路径全部删除帐户：重命名来宾帐户重命名一个帐户帐户：重命名系统管理员帐户重命名一个帐户防火墙安全设置：计算机配置----管理模板----网络---网络连接----windows防火墙----标准配置文件---windows防火墙保护所有网络连接---- 启动Tsconfig.msc 右键RDP—TCP 属性安全层SSL （TLS.0）加密级别高（带网络认证安全连接）关于目录权限设置：1.1 除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权，之后再对其下的子目录作单独的目录权限，如果WEB站点目录，你要为其目录权限分配一个与之对应的匿名访问帐号并赋予它有修改权限，如果想使网站更加坚固，可以分配只读权限并对特殊的目录作可写权限。
个人使用Windows Server 2008配置
个人使用Windows Server 2008配置安装完Windows Server 2008后怎么配置电脑1、如何安装Windows Server 2008 ?可以采取两种方式：一是硬盘安装，二是光盘安装。
无论采取哪种方式，都建议遵循从低版本到高版本的安装顺序，即：Windows XP——Windows VISTA——Windows Server 2008 。
否则会相当麻烦的。
2、安装到最后一步提示输入密码，我怎么输了N次都过不去呢?输入错误。
Windows Server 2008要求采取比较复杂的密码方式，如果简单输入12345678或者abcdefgh，那是绝对不行的。
正确输入应当是：8位以上包括英文大小写字母的密码，比如：Windows2008，绝对一次顺利通过。
3、如何关闭UAC?控制面板→用户帐户→打开或关闭用户账户控制→取消使用用户账户控制(UAC)帮助保护您的计算机。
4、如何取消开机按 CTRL+ALT+DEL登陆?控制面板→管理工具→本地安全策略→本地策略→安全选项→交互式登陆：无须按CTRL+ALT+DEL→启用。
5、如何取消关机时出现的关机理由选择项?开始→运行gpedit.msc →计算机配置→管理模板→系统→显示“关闭事件跟踪程序”→禁用。
另外，“密码长度最小值”设置为0。
这样你就可以创建空密码的用户帐户了。
6、如何启用简单密码登陆?开始→运行gpedit.msc →计算机配置→ Windows设置→安全设置→密码策略“密码必须符合复杂性要求”→禁用。
7、如何实现自动登陆?开始→运行→输入“rundll32 netplwiz.dll,UsersRunDll”命令打开帐户窗口，先选中要自动登陆的账户，去选“要使用本机，用户必须输入用户名密码”复选框，输入该帐户的密码即可(前提是要关闭UAC)。
8、如何取消每次开机的默认共享?将下列内容导入注册表，重启即可(前提是要关闭UAC)。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第六章配置本地安全策略
一、账户策略的应用
1、以管理员账户Administrator登录到服务器
2、单击“开始”→“管理工具”→“本地安全策略”（或者“开始”→“运行”→输入“secpol.msc”）,打开本地安全策略。
3、选择“账户策略”→“密码策略”→设置密码长度最小值为7，启用密码必须符合复杂性要求，密码使用最长期限为30天
4、选择“账户策略”→“账户锁定策略”，设置账户锁定阈值为3.
5、单击“开始”→“运行”→，输入“gpupdate”，刷新策略。
6、管理员administrator打开“服务器管理器”控制台。
7、展开“配置”→“本地用户和组”→“用户”，右击账户UserA，选择“重设密码”，输入新密码和确认密码“aaa”，单击“确定”按钮，提示密码不符合密码策略的要求。
8、输入旧密码，输入新密码和确认新密码“aaa”，单击“确定”同样提示密码不符合密码策略要求。
9、以账户UserA在计算机上登录，故意输错3次密码，提示账户被锁定
10、以administrator登录没有被锁定的提示。
对计算机解锁。
11、以管理员账户登录服务器解锁UserA账户。
12、在“服务器管理器”中，展开“配置”→“本地用户和组”→“用户”，右击账户UserA，选择“属性”→“常规”，可以看到账户以锁定的。
13、清除“账户以锁定”的复选框。
14、以UserA账户登录服务器，输入正确的密码可以正常登陆。
审核策略的应用
1、以管理员账户登录到服务器，在D盘创建一个名字为“sss”的文件夹。
2、单击“开始”→“程序”→“管理工具”→“本地安全策略”，打开本地安全策略。
3、选择“本地策略”→“审核策略”→，双击“审核对象访问”策略，选择“成功”和“失
败”
4、刷新策略。
5、右击文件夹sss，选择“属性”→“安全”→“高级”→“审核”，添加“everyone”
6、选择全部审核项目细节（完全控制：成功和失败），单击“确定”按钮。
7、注销“administrator”，以“UserA”登录到服务器访问“sss”文件夹。
8、注销“UserA”，以“administrator”登录服务器，单击“开始”→“管理工具”→“事
件查看器”能看到“UserA”访问“sss”文件夹的记录。