6.0 KiB
6.0 KiB
三级测评指导书 - 安全计算环境 - 操作系统（Windows2012）
一、身份鉴别
-
应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。
要求 实际 判定 勾选了“要使用本机，用户必须输入用户名和密码” 使用空口令无法登录系统 密码必须符合复杂性要求：已启用 密码长度最小值：8个字符 密码最长使用期限：42天 密码最短使用期限：2天 强制密码历史：5个记住的密码 密码永不过期属性：未勾选“密码永不过期” -
应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。
要求 实际 判定 账户锁定策略已开启 账户锁定时间：30分钟 账户锁定阀值：5次无效登录 复位账户锁定计数器：30分钟之后 启用屏保并勾选“在恢复时显示登录屏幕” -
当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。
要求 实际 判定 已禁用Telnet服务 采取3389远程桌面方式管理 -
应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。
要求 实际 判定 采用动态口令、数字证书、生物技术和设备指纹等两种或两种以上组合的兼备技术对用户进行身份鉴别 其中一种鉴别技术采用了国家认可的密码技术
二、访问控制
-
应对登录的用户分配账户和权限
要求 实际 判定 为登录的用户分配了账户，权限分配与用户权限表一致 禁用了guest账户并限制了administrator账户的权限 -
应重命名或删除默认账户，修改默认账户的默认口令
要求 实际 判定 将系统管理员账户Administrator和来宾账户Guest修改成其他值 已对默认账户采用密码进行保护 -
应及时删除或停用多余的、过期的账户，避免共享账户的存在
要求 实际 判定 不存在多余、过期的账户，管理员用户与账户之间一一对应 多余、过期的账户均已被删除或停用 -
应授予管理用户所需的最小权限，实现管理用户的权限分离
要求 实际 判定 建立了系统管理员、审计管理员、安全管理员等账户 管理员账户分属于不同用户组，且所在用户组权限无交叉 管理账户的权限为完成工作任务所需的最小权限 1
-
应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则
要求 实际 判定 由专门的管理员对访问控制策略进行配置 不同用户组的访问控制规则设置与访问控制策略一致 Windows默认无越权漏洞 -
访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级
要求 实际 判定 Windows默认符合 -
应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问
要求 实际 判定 设置了主机中主体、客体的安全标记 依据强制访问控制策略安全标记的主体对安全标记客体的访问
三、安全审计
- 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计