第 3 章windows xp 客戶端

1、WindowsXP安全指南安全指南第3章：章：WindowsXP客戶端安全設置客戶端安全設置更新日期：2006年07月17日本頁內(nèi)容本頁內(nèi)容概述帳戶策略設置本地策略設置審核策略設置用戶權(quán)限分配設置安全選項設置事件日志安全設置受限制的組系統(tǒng)服務其他注冊表設置如何修改安全配置編輯器用戶界面其他安全設置保護文件系統(tǒng)總結(jié)概述概述本章中詳細介紹通過MicrosoftWindows2000或WindowsServer?2003ActiveDirec

2、ty目錄服務域中組策略配置主要安全設置。實施規(guī)定的策略設置可以確保安全地配置組織中運行帶有ServicePack2(SP2)的MicrosoftWindowsXPProfessional的桌面計算機和便攜式計算機。本章并不為WindowsXP中所有可用的策略設置提供指導，而只為與計算機安全直接相關(guān)的策略設置提供指導。按照第1章“《WindowsXP安全指南》簡介”所述，本章提供的指導特定于本指南中定義的企業(yè)客戶端(EC)環(huán)境和專用安全–

3、限制功能(SSLF)環(huán)境。在某些情況下，本章建議對于便攜式計算機和桌面計算機使用不同的策略設置，因為便攜式計算機是移動的，并不始終通過組織網(wǎng)絡連接到環(huán)境中的域控制器。本章還假定便攜式計算機用戶通常在不提供現(xiàn)場技術(shù)支持的不同時間工作。因此，對于便攜式客戶端計算機來說，需要連接到域控制器或者控制登錄時間的策略設置會有所不同。如第2章“配置ActiveDirecty域基礎結(jié)構(gòu)”所述，域級別有時定義了沒有為特定環(huán)境指定的策略設置。本章的某些其他

4、策略設置是作為“沒有定義”列出的，這是因為對于該特定環(huán)境，默認值足以確保安全。并且，這些組策略對象(GPO)中的未定義策略設置便于部署安裝期間需要修改設置的應用程序。例如，企業(yè)管理工具可能需要向托管計算機上的本地服務帳戶分配特定用戶權(quán)限。本章中的指導僅僅是一些建議，您應該在對環(huán)境做任何更改之前始終認真考慮自己的業(yè)務需求。下表針對本章中論述的兩種安全環(huán)境匯總了桌面和便攜式客戶端計算機的審核策略設置建議。企業(yè)客戶端環(huán)境被稱為EC，專用安全–

5、限制功能環(huán)境被稱為SSLF。您應該檢查這些建議并根據(jù)組織的需要進行調(diào)整。但是，對于可能生成大量通信的審核設置應該慎重考慮。例如，如果對“審核特權(quán)使用”啟用成功或失敗審核，則將生成過多的審核事件，從而無法查找安全事件日志中其他類型的條目。這種配置也可能對性能產(chǎn)生重大影響。下列小節(jié)提供了每個設置的詳細信息。表3.2審核策略設置建議審核策略設置建議設置設置EC桌面計算機桌面計算機EC便攜式計算機便攜式計算機SSLF桌面計算機桌面計算機SSLF

6、便攜式計算機便攜式計算機審核帳戶登錄事件成功成功成功、失敗成功、失敗審核帳戶管理成功成功成功、失敗成功、失敗審核目錄服務訪問沒有定義沒有定義沒有定義沒有定義審核登錄事件成功成功成功、失敗成功、失敗審核對象訪問無審核無審核失敗失敗審核策略更改成功成功成功成功審核特權(quán)使用無審核無審核失敗失敗審核過程追蹤無審核無審核無審核無審核審核系統(tǒng)事件成功成功成功成功審核帳戶登錄事件審核帳戶登錄事件如果啟用此策略設置，則生成用于憑據(jù)驗證的事件。這些事件是

7、在對于憑據(jù)具有權(quán)威性的計算機上發(fā)生的。對于域帳戶，域控制器具有權(quán)威性；而對于本地帳戶，本地計算機具有權(quán)威性。在域環(huán)境中，大多數(shù)帳戶登錄事件在對于域帳戶具有權(quán)威性的域控制器的安全日志中發(fā)生。然而，這些事件也可能在組織的其他計算機上發(fā)生，具體取決于用于登錄的帳戶。在本指導中，“審核帳戶登錄事件”設置僅針對EC環(huán)境配置為“成功”；而對于SSLF環(huán)境則配置為“成功”和“失敗”。審核帳戶管理審核帳戶管理此策略設置用于跟蹤以下企圖：新建用戶或組、重