1.2.4 Windows Server服务器安全配置

---

一、试题及考试说明

某公司需要网络安全防护人员对公司的Windows Server服务器进行安全配置，要求完成以下目标：

1. 配置账号密码策略：启用“密码必须符合复杂性要求”，“密码长度最小值”为10，“密码最短使用期限”为0天，“密码最长使用期限”为90天，“强制密码历史”为3个，禁用“用可还原的加密来储存密码”；
2. 配置账户锁定策略：设置“账户锁定阈值”为5次，“账户锁定时间”为30分钟，“重置账户锁定计数器”为30分钟之后；
3. 配置本地安全策略：在“本地策略”的“安全选项”中，启用“网络访问：不允许SAM账户和共享的匿名枚举”选项；
4. 配置日志策略：修改windows日志中系统日志存档策略，使得系统日志存满的时候进行存档，不覆盖事件；
5. 配置审核策略：启用本地安全策略的审核策略更改，成功和失败操作都需要审核；启用本地安全策略的审核目录服务访问，仅失败操作需要审核。

---

二、操作步骤

开始 → 运行 → ‘secpol.msc’，打开 “本地安全策略”，在本地安全策略中进行设置

1. 配置账号密码策略：

在“Windows管理工具” → “本地安全策略” → “账户策略” → “密码策略”，设置如下：
(1) “密码必须符合复杂性要求”：启用
(2) “密码长度最小值”：10，
(3) “密码最短使用期限”：0天，
(4) “密码最长使用期限”：90天，
(5) “强制密码历史”：3个，
(6) “用可还原的加密来储存密码”：禁用

2. 配置账户锁定策略：

在“Windows管理工具” → “本地安全策略” → “账户策略” → “账户锁定策略”，设置如下：
(1) “账户锁定阈值”：5次，
(2) “账户锁定时间”：30分钟，
(3) “重置账户锁定计数器”：30分钟之后；

3. 配置本地安全策略：

在“Windows管理工具” → “本地安全策略” → “本地策略” → “安全选项”，设置如下：
启用“网络访问：不允许SAM账户和共享的匿名枚举”选项

4. 配置日志策略：

在“Windows管理工具” → “事件查看器” → “Windows日志”，分别右键“应用程序”、“安全”、“系统”，选择“属性”：
分别勾选“日志满时将其存档，不覆盖事件”

5. 配置审核策略：

在“Windows管理工具” → “本地安全策略” → “本地策略” → “审核策略”，设置如下：
(1) 右键“审核策略更改”，点击“属性”，勾选“成功”和“失败”。
(2) 右键“审核目录服务访问”，点击“属性”，勾选“失败”

---