CISP学习指南：Windows操作系统安全配置

Windows操作系统安全配置是系统安全加固的重要组成部分，通过配置本地安全策略可以有效提升系统安全性。

一、Windows注册表

1.1 Windows注册表运行命令

启动注册表编辑器：
方法1：运行命令
├── 按Win+R打开运行
├── 输入regedit
└── 按回车
方法2：命令提示符
├── 打开CMD
├── 输入regedit
└── 按回车
方法3：搜索
├── 点击开始菜单
├── 搜索"regedit"
└── 点击运行

1.2 Windows安全中心

Windows安全中心功能：
├── 防火墙状态
│   ├── 监控防火墙开启状态
│   ├── 提供配置入口
│   └── 显示防火墙规则
├── 自动更新
│   ├── 检查系统更新
│   ├── 自动下载补丁
│   └── 安装安全更新
├── 病毒防护
│   ├── 监控杀毒软件状态
│   ├── 检查病毒库更新
│   └── 提供扫描功能
└── 其他安全设置
    ├── Internet选项
    ├── 用户账户控制
    └── 安全警告

二、Linux系统安全

2.1 Linux最高权限用户

root用户安全使用：
├── 日常操作
│   ├── ❌ 不要用root登录
│   ├── ✅ 使用普通用户
│   └── ✅ 需要时使用sudo
├── 远程访问
│   ├── ❌ 禁止root直接SSH登录
│   ├── ✅ 使用普通用户登录
│   └── ✅ 通过sudo提权
├── 密码管理
│   ├── ✅ 设置强密码
│   ├── ✅ 定期更换
│   └── ✅ 使用密钥认证
└── 审计日志
    ├── ✅ 记录root操作
    ├── ✅ 监控异常行为
    └── ✅ 定期审查

sudo命令使用：

# 以root权限执行单个命令
sudo command
# 切换到root用户
sudo su -
# 以root权限编辑文件
sudo vi /etc/config
# 查看sudo权限
sudo -l
# 配置sudo权限
sudo visudo

三、Windows本地安全策略

1.1 本地安全策略概述

Windows操作系统提供了”本地安全策略”功能，用于配置系统的安全设置。

二、安全配置的分类

2.1 操作系统安全配置内容

操作系统安全配置包括四大类：

2.2 配置类型说明

三、Windows安全策略配置实践

3.1 账号策略配置

密码策略配置示例：

密码策略：
├── 密码必须符合复杂性要求：启用
├── 密码长度最小值：12个字符
├── 密码最长使用期限：90天
├── 密码最短使用期限：1天
├── 强制密码历史：记住24个密码
└── 用可还原的加密来存储密码：禁用

账户锁定策略配置示例：

账户锁定策略：
├── 账户锁定阈值：5次无效登录
├── 账户锁定时间：30分钟
└── 重置账户锁定计数器：30分钟

3.2 审核策略配置

审核策略配置示例：

审核策略：
├── 审核账户登录事件：成功和失败
├── 审核账户管理：成功和失败
├── 审核登录事件：成功和失败
├── 审核对象访问：失败
├── 审核策略更改：成功和失败
├── 审核特权使用：失败
├── 审核系统事件：成功和失败
└── 审核目录服务访问：失败

3.3 配置步骤

访问本地安全策略：

1. 按 Win + R 打开运行对话框
2. 输入 secpol.msc 并回车
3. 在本地安全策略窗口中配置相应策略

四、Windows身份鉴别机制

4.1 Windows身份鉴别组件

Windows身份鉴别三大组件：

4.2 LSA（本地安全授权机构）

LSA的主要职责：

LSA（Local Security Authority）职责：
├── 1. 生成SID
│   ├── 为新用户生成唯一SID
│   ├── 为新组生成唯一SID
│   └── 确保SID在系统内唯一
├── 2. 管理安全策略
│   ├── 密码策略
│   ├── 账户锁定策略
│   └── 审核策略
├── 3. 验证用户身份
│   ├── 本地登录验证
│   ├── 远程登录验证
│   └── 生成访问令牌
└── 4. 管理安全事件
    ├── 记录安全日志
    └── 处理安全事件

4.3 SAM（安全账户管理器）

SAM的存储位置和特性：

SAM（Security Accounts Manager）功能：
├── 1. 存储用户信息
│   ├── 用户名
│   ├── 密码哈希
│   ├── SID
│   └── 组成员身份
├── 2. 管理密码更改
│   ├── 验证旧密码
│   ├── 检查密码策略
│   └── 存储新密码哈希
├── 3. 账户管理
│   ├── 创建用户
│   ├── 删除用户
│   └── 修改用户属性
├── 4. 运行权限
│   └── 以SYSTEM权限运行（不是Administrator）
└── 5. 访问控制
    ├── SYSTEM账户：可读可写
    ├── Administrator账户：只读
    └── 普通用户：无法访问

SAM的三个关键表现形式：

4.4 SID（安全标识符）

SID的结构：

S-1-5-21-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-RID
│ │ │  │            │            │            │
│ │ │  │            │            │            └─ RID（相对标识符）
│ │ │  └────────────┴────────────┴──────────── 域/计算机标识符
│ │ └─ 标识符权限
│ └─ 修订级别
└─ 前缀

不包含：

• ❌ 48比特身份特权
• ❌ 用户和组的安全描述
• ❌ 可变的验证值 常见的RID值： | RID | 账户 | 说明 | |-----|------|------| | 500 | Administrator | 管理员账户 | | 501 | Guest | 访客账户 | | 502 | KRBTGT | Kerberos服务账户 | | 512 | Domain Admins | 域管理员组 | | 513 | Domain Users | 域用户组 |

4.5 Windows远程登录鉴别机制演进

Windows远程登录鉴别机制的发展历程：

各阶段特点对比：

Windows远程登录鉴别机制演进：
├── 1. SMB鉴别机制（早期）
│   ├── 明文传输密码
│   ├── 极不安全
│   └── 已废弃
├── 2. LM鉴别机制（LAN Manager）
│   ├── 使用LM哈希
│   ├── 密码分为7字符两段
│   ├── 容易被破解
│   └── Windows Vista后默认禁用
├── 3. NTLM鉴别机制（NT LAN Manager）
│   ├── 使用MD4哈希
│   ├── 安全性有所提升
│   ├── 仍用于兼容性
│   └── 工作组环境使用
└── 4. Kerberos鉴别体系（现代）
    ├── Windows 2000后默认
    ├── 票据认证机制
    ├── 支持相互认证
    ├── 支持单点登录
    └── Active Directory域环境使用

五、总结

Windows操作系统安全配置的核心要点：