目录
一、Windows安全策略概述
Windows安全策略主要包括本地安全策略和域策略两部分。本地安全策略是针对单个计算机的安全设置，通过本地组策略编辑器进行配置。而域策略则提供集中管理和配置整个域中计算机的安全设置的方式，通过Group Policy Objects（GPOs）进行配置。
二、本地安全策略详解
-
帐户策略
- 密码策略：确定适用于密码的设置，如密码复杂性要求、最小密码长度、密码最长使用期限以及密码历史记录等。这些设置旨在增加密码的安全性，降低被猜解或破解的风险。
- 帐户锁定策略：确定帐户在系统外锁定的条件和时间长度。这有助于防止恶意用户通过暴力破解方式获取帐户访问权限。
- Kerberos策略：适用于域用户帐户，确定与Kerberos相关的设置，如票证生存期和强制要求等。
-
本地策略
- 审核策略：指定计算机上哪些类型的安全事件将被记录到安全日志中，包括成功、失败或两者兼有。这有助于管理员监控和分析系统安全事件，及时发现潜在威胁。
- 用户权限分配：指定设备上具有登录权限或特权的用户或组。这有助于确保只有授权用户才能访问系统资源。
- 安全选项：指定计算机的安全设置，如管理员和来宾帐户名称、对软盘驱动器和CD-ROM驱动器的访问权限、驱动程序的安装等。这些设置可以根据组织的安全需求进行自定义。
-
应用程序和设备驱动安装策略
- 应用程序控制策略：指定哪些用户或组可以根据文件的唯一标识运行组织中的特定应用程序。这有助于防止未经授权的应用程序在系统上运行。
- 设备驱动安装策略：控制哪些设备驱动程序可以在系统上安装。这有助于防止恶意驱动程序对系统造成损害。
-
高级审核策略配置
相对于本地策略下的审核策略设置，高级审核策略配置提供了更细粒度的控制。管理员可以指定哪些安全事件将被记录，并可以定义成功或失败事件的记录规则。这有助于管理员更精确地监控和分析系统安全事件。
三、域策略
在Windows活动目录中，域策略提供集中管理和配置整个域中计算机的安全设置的方式。域策略通过Group Policy Objects（GPOs）进行配置，并可以应用于域中的计算机和用户。域策略可以覆盖部分本地安全策略，以满足组织的安全需求。
四、Windows安全策略的配置和管理
- 使用本地组策略编辑器：管理员可以通过本地组策略编辑器（gpedit.msc）来配置和管理本地安全策略。
- 使用组策略管理工具：在域环境中，管理员可以使用组策略管理工具（如Group Policy Management Console）来配置和管理域策略。
- 安全模板：管理员可以使用安全模板来创建包含要应用的安全策略的文件，然后将该安全模板导入到组策略对象中。这有助于确保策略的一致性和可重复性。
五、Windows安全策略的最佳实践
- 定期更新密码：要求用户定期更新密码，以减少密码被猜测或盗取的风险。
- 启用密码复杂性要求：通过启用密码复杂性要求，强制用户选择更强的密码。
- 限制帐户锁定时间：设置合理的帐户锁定时间和阈值，以防止恶意用户通过暴力破解方式获取帐户访问权限。
- 定期审核安全事件：定期审核安全事件日志，及时发现潜在威胁并采取相应的安全措施。
- 使用强密码策略：确保密码策略符合组织的安全需求，包括密码长度、字符类型和密码历史记录等。
一、账户策略
-
密码策略：
- 密码复杂性要求：密码不能包含用户的账户名，不能包含用户姓名中超过两个连续字符的部分，且至少有六个字符长，并包含以下四类字符中的三类：英文大写字母（A~Z）、英文小写字母（a~z）、10个基本数字（0~9）、非字母字符（例如!、$、#、%）。
- 密码最短使用期限：此安全设置确定在用户更改某个密码之前必须使用该密码一段时间（以天为单位），可以设置一个介于1和998天之间的值，或者将天数设置为0，允许立即更改密码。
- 密码最长使用期限：此安全设置确定在系统要求用户更改某个密码之前可以使用该密码的期间（以天为单位），可以将密码设置为在某些天数（介于1到999之间）后到期，或者将天数设置为0，指定密码永不过期。
- 强制密码历史：此安全设置确定再次使用某个旧密码之前必须与某个用户帐户关联的唯一新密码数，该值必须介于0个和24个密码之间。
- 放宽最小密码长度的原有限制：此设置控制最小密码长度设置是否可以超出原有的限制（14个字符）。
-
账户锁定策略：
- 账户锁定时间：此安全设置确定锁定帐户在自动解锁之前保持锁定的分钟数，可用范围从0到99999分钟。
- 账户锁定阈值：此安全设置确定导致用户帐户被锁定的登录尝试失败的次数，在管理员重置锁定帐户或帐户锁定时间期满之前，无法使用该锁定帐户。
- 重置账户锁定计数器：此安全设置确定在某次登录尝试失败之后将登录尝试失败计数器重置为0次错误登录尝试之前需要的时间，可用范围是1到99999分钟。
二、本地策略
- 审核策略：指定计算机上可控制将安全事件记录到安全日志中的安全设置，并指定要记录哪些类型的安全事件（成功、失败或两者兼有）。对于运行Windows 7和更高版本的设备，建议使用“高级审核策略配置”下的设置。
- 用户权限分配：指定设备上具有登录权限或特权的用户或组。
- 安全选项：指定计算机的安全设置，如管理员和来宾帐户名称、对软盘驱动器和CD-ROM驱动器的访问权限、驱动程序的安装、登录提示等。
三、其他安全策略
- 高级安全Windows防火墙：指定通过使用状态防火墙（使你可以确定哪些流量允许在设备和网络之间传递）来保护你的网络上的设备的设置。
- 网络列表管理器策略：指定可用于配置网络如何在一台或多台设备上列出和显示的许多不同方面的设置。
- 公钥策略：指定用于控制加密文件系统、数据保护和BitLocker驱动器加密的设置以及某些证书路径和服务设置。
- 软件限制策略：指定用于标识软件并控制其在你的本地设备、组织单位、域或站点上运行的能力的设置。
- 应用程序控制策略：指定用于控制哪些用户或组可以根据文件的唯一标识运行你的组织中的特定应用程序的设置。
- 本地计算机上的IP安全策略：指定通过使用加密的安全服务来确保在IP网络上进行专用安全通信的设置。IPsec可建立源IP地址和目标IP地址的信任和安全。