操作系统安全加固分析解析

防护软件
• 安装杀毒软件并保持病毒库更新 – 守则8: 一个过期的病毒扫描器仅仅比根本没有病毒扫描器就好上那么一丁点; • 防火墙 – 对于防火墙，建议建立严格的访问控制策略。
Windows通用安全加固方案
补丁及防护软件 系统服务 安全策略 日志与审核策略 用户与文件系统 安全增强
目
• 理解安全加固 Windows安全加固 • UNIX类安全加固
录
Windows通用安全加固方案

补丁及防护软件 系统服务 安全策略
日志与审核策略
用户与文件系统

安全增强
补丁
• 检查系统补丁安装情况 – 命令行执行systeminfo,查看系统已经安装的补丁列表 • 补丁更新 手动安装：使用IE访问http://update.microsoft.com，按提示安装 必要的activeX控件后，按提示安装补丁 开始 – 控制面板 – 自动更新，在自动更新面板中选中自动（建 议）(U)，然后根据个人需求设置升级时间 内网与安全域环境，可以建立独立的WSUS服务器
操作系统安全加固
张敏 四川讯修信息技术服务有限公司
培训简介
培训目的：
该课程主要介绍系统通用的安全加固方案和方法
培训对象：
面向安全管理人员、安全技术人员、系统维护人员、 共3类人员
培训时间： 60分钟 培训重点：
本教材侧重点为安全技术人员和系统维护人员
安全守则
著名信息安全的十大守则
守则1：如果一个人能说服你同意他在你的电脑上运行他的程序, 那么, 这台电脑就 不再属于你了; 守则2: 如果一个人能够改变你电脑上的操作系统, 那么, 这台电脑就不再属于你了; 守则3: 如果一个人能够不受限制的从物理上接触到你的电脑, 那么, 这台电脑就不 再属于你了; 守则4: 如果你允许一个人能够上传他的程序到你的网站, 那么, 这个网站就不再属 于你了; 守则5: 脆弱的口令能够轻而易举地击败非常牢固的安全系统; 守则6: 一台机器只有在它的管理员可信赖的时候才是安全的; 守则7: 加密过的数据只有在解密密钥安全的时候才是安全的; 守则8: 一个过期的病毒扫描器仅仅比根本没有病毒扫描器就好上那么一丁点; 守则9: 绝对的匿名是不可能实现的, 无论是在真实的生活中还是在WEB上; 守则10: 技术不是万能的。
二、安全加固的目标

目标 我们的目标是降低风险到可以接受
三、安全加固ቤተ መጻሕፍቲ ባይዱ象

对象 所有可能产生脆弱性的应用
四、安全加固的原则

加固原则 业务影响最小化 安全风险难以被彻底消除，因为它是动态的，我们在加 固过程中坚持的最基本原则是业务系统的可用性，对 业务系统影响最小化。 风险发现最大化
详细审查评估报告和漏洞扫描中的任何一个细节，将任

系统服务
• 查看系统服务 执行services.msc,检查启动类型为自动的服务 – – – 最小化服务原则，建议关闭一下服务： Task Scheduler/Remote Registry /SNMP Service/ Print Spooler /Telnet /Computer Browser/Messenger/ Alerter/ DHCP Client 关闭方法：双击需要关闭的服务，将启动类型设置为禁用，点击 停止按钮以停止当前正在运行的服务
加固环节
培训目录
理解安全加固 • Windows安全加固 • UNIX/Linux安全加固
一、安全加固的概念
• 为什么要安全加固
修补系统存在的漏洞弱点 预防系统面临的威胁
• 如何理解 “安全”？
可用性 保密性 完整性
• 如何实现“安全”？
管理 + 技术 = 预期的结果 管理 + 技术 ≠ 预期的结
本地安全策略配置
• 检查本地安全策略配置： 开始 → 运行 → gpedit.msc 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项
Windows通用安全加固方案
SNMP服务
• 修改SNMP的字符串 – 为什么要修改SNMP的字符串？它会泄露什么？
通过 SNMP服务，远程恶意用户可以列举本地的帐号、帐号组、 运行的进程、安装的补丁和软件等敏感信息，禁用或修改；SNMP 配置可以有效防止远程恶意用户的这类行为。 攻击工具: snmputil walk 1.1.1.10 public .1.3.6... ...
Windows通用安全加固方案
补丁及防护软件 系统服务 安全策略 日志与审核策略 用户与文件系统 安全增强

密码策略
• 密码策略 长度 • 7 ≤ Windows 2003 ≤ 127 • 7 ≤ windows2008 ≤ 127 期限 • 定期修改密码 复杂性 • ChinaMobile_NO.1
数字 大小写 特殊字符
密码策略
• 加固要点 – 密码策略: – 开始 → 运行 → gpedit.msc – 计算机配置 → Windows 设置 → 安全设置 → 帐户策略 → 帐 户锁定策略->密码策略”：
– 帐户锁定策略
用户权利指派
• 检查用户权限策略是否设置： 开始 → 运行 → gpedit.msc 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 用户权利 指派
服务与进程
• SNMP Service服务加固方法： – 为修改 SNMP 团体名 – 限制远程主机对 SNMP 的访问
关闭自动播放功能
• 关闭所有驱动器的自动播放功能 点击开始→运行→输入 gpedit.msc，打开组策略编辑器， 浏览到计算机配置→管理模板→系统，在右边窗格中双击“关闭自 动播放”，对话框中选择所有驱动器，确定即可。
何潜在的安全隐患以最大展现，列表，进行确认处理 。
五、安全加固的流程

加固流程
确认加固目标（加固需求和要求） 实施安全检查（手工检查和漏洞扫描检查） 加固前的交流（和业务负责人系统管理员交流）
加固实施过程（测试环境->备用机—>非核心->核心主
机） 加固过程文件与成果输出（加固效果与过程记录文件）