第 3 章windows xp 客戶(hù)端

1、WindowsXP安全指南安全指南第3章：章：WindowsXP客戶(hù)端安全設(shè)置客戶(hù)端安全設(shè)置更新日期：2006年07月17日本頁(yè)內(nèi)容本頁(yè)內(nèi)容概述帳戶(hù)策略設(shè)置本地策略設(shè)置審核策略設(shè)置用戶(hù)權(quán)限分配設(shè)置安全選項(xiàng)設(shè)置事件日志安全設(shè)置受限制的組系統(tǒng)服務(wù)其他注冊(cè)表設(shè)置如何修改安全配置編輯器用戶(hù)界面其他安全設(shè)置保護(hù)文件系統(tǒng)總結(jié)概述概述本章中詳細(xì)介紹通過(guò)MicrosoftWindows2000或WindowsServer?2003ActiveDirec

2、ty目錄服務(wù)域中組策略配置主要安全設(shè)置。實(shí)施規(guī)定的策略設(shè)置可以確保安全地配置組織中運(yùn)行帶有ServicePack2(SP2)的MicrosoftWindowsXPProfessional的桌面計(jì)算機(jī)和便攜式計(jì)算機(jī)。本章并不為WindowsXP中所有可用的策略設(shè)置提供指導(dǎo)，而只為與計(jì)算機(jī)安全直接相關(guān)的策略設(shè)置提供指導(dǎo)。按照第1章“《WindowsXP安全指南》簡(jiǎn)介”所述，本章提供的指導(dǎo)特定于本指南中定義的企業(yè)客戶(hù)端(EC)環(huán)境和專(zhuān)用安全–

3、限制功能(SSLF)環(huán)境。在某些情況下，本章建議對(duì)于便攜式計(jì)算機(jī)和桌面計(jì)算機(jī)使用不同的策略設(shè)置，因?yàn)楸銛y式計(jì)算機(jī)是移動(dòng)的，并不始終通過(guò)組織網(wǎng)絡(luò)連接到環(huán)境中的域控制器。本章還假定便攜式計(jì)算機(jī)用戶(hù)通常在不提供現(xiàn)場(chǎng)技術(shù)支持的不同時(shí)間工作。因此，對(duì)于便攜式客戶(hù)端計(jì)算機(jī)來(lái)說(shuō)，需要連接到域控制器或者控制登錄時(shí)間的策略設(shè)置會(huì)有所不同。如第2章“配置ActiveDirecty域基礎(chǔ)結(jié)構(gòu)”所述，域級(jí)別有時(shí)定義了沒(méi)有為特定環(huán)境指定的策略設(shè)置。本章的某些其他

4、策略設(shè)置是作為“沒(méi)有定義”列出的，這是因?yàn)閷?duì)于該特定環(huán)境，默認(rèn)值足以確保安全。并且，這些組策略對(duì)象(GPO)中的未定義策略設(shè)置便于部署安裝期間需要修改設(shè)置的應(yīng)用程序。例如，企業(yè)管理工具可能需要向托管計(jì)算機(jī)上的本地服務(wù)帳戶(hù)分配特定用戶(hù)權(quán)限。本章中的指導(dǎo)僅僅是一些建議，您應(yīng)該在對(duì)環(huán)境做任何更改之前始終認(rèn)真考慮自己的業(yè)務(wù)需求。下表針對(duì)本章中論述的兩種安全環(huán)境匯總了桌面和便攜式客戶(hù)端計(jì)算機(jī)的審核策略設(shè)置建議。企業(yè)客戶(hù)端環(huán)境被稱(chēng)為EC，專(zhuān)用安全–

5、限制功能環(huán)境被稱(chēng)為SSLF。您應(yīng)該檢查這些建議并根據(jù)組織的需要進(jìn)行調(diào)整。但是，對(duì)于可能生成大量通信的審核設(shè)置應(yīng)該慎重考慮。例如，如果對(duì)“審核特權(quán)使用”啟用成功或失敗審核，則將生成過(guò)多的審核事件，從而無(wú)法查找安全事件日志中其他類(lèi)型的條目。這種配置也可能對(duì)性能產(chǎn)生重大影響。下列小節(jié)提供了每個(gè)設(shè)置的詳細(xì)信息。表3.2審核策略設(shè)置建議審核策略設(shè)置建議設(shè)置設(shè)置EC桌面計(jì)算機(jī)桌面計(jì)算機(jī)EC便攜式計(jì)算機(jī)便攜式計(jì)算機(jī)SSLF桌面計(jì)算機(jī)桌面計(jì)算機(jī)SSLF

6、便攜式計(jì)算機(jī)便攜式計(jì)算機(jī)審核帳戶(hù)登錄事件成功成功成功、失敗成功、失敗審核帳戶(hù)管理成功成功成功、失敗成功、失敗審核目錄服務(wù)訪問(wèn)沒(méi)有定義沒(méi)有定義沒(méi)有定義沒(méi)有定義審核登錄事件成功成功成功、失敗成功、失敗審核對(duì)象訪問(wèn)無(wú)審核無(wú)審核失敗失敗審核策略更改成功成功成功成功審核特權(quán)使用無(wú)審核無(wú)審核失敗失敗審核過(guò)程追蹤無(wú)審核無(wú)審核無(wú)審核無(wú)審核審核系統(tǒng)事件成功成功成功成功審核帳戶(hù)登錄事件審核帳戶(hù)登錄事件如果啟用此策略設(shè)置，則生成用于憑據(jù)驗(yàn)證的事件。這些事件是

7、在對(duì)于憑據(jù)具有權(quán)威性的計(jì)算機(jī)上發(fā)生的。對(duì)于域帳戶(hù)，域控制器具有權(quán)威性；而對(duì)于本地帳戶(hù)，本地計(jì)算機(jī)具有權(quán)威性。在域環(huán)境中，大多數(shù)帳戶(hù)登錄事件在對(duì)于域帳戶(hù)具有權(quán)威性的域控制器的安全日志中發(fā)生。然而，這些事件也可能在組織的其他計(jì)算機(jī)上發(fā)生，具體取決于用于登錄的帳戶(hù)。在本指導(dǎo)中，“審核帳戶(hù)登錄事件”設(shè)置僅針對(duì)EC環(huán)境配置為“成功”；而對(duì)于SSLF環(huán)境則配置為“成功”和“失敗”。審核帳戶(hù)管理審核帳戶(hù)管理此策略設(shè)置用于跟蹤以下企圖：新建用戶(hù)或組、重