Windows服務器
控制點
2.
訪問控制
在操作系統中實施訪問控制的目的是為了保證系統資源（操作系統和數據庫管理系統）受控、合法地被使用。用戶只能根據自己的權限來訪問系統資源，不得越權訪問。
a)
安全要求：應對登錄的用戶分配賬戶和權限。
要求解讀：訪問控制是安全防范和保護的主要策略，操作系統訪問控制的主要任務是保證操作系統中的資源不被非法使用和訪問。使用訪問控制的目的是通過限制用戶對特定資源的訪問來保護系統資源。操作系統中的每一個文件或目錄都有訪問權限，這些訪問權限決定了誰能訪問及如何訪問這些文件和目錄。對操作系統中的一些重要文件，需要嚴格控制其訪問權限，從而提高系統的安全性。因此，為了確保系統的安全，需要為登錄的用戶分配賬戶並合理配置賬戶權限。
在Windows操作系統中，不能對“everyone”賬戶開放重要目錄，因為這樣做會帶來嚴重的安全問題，在權限控制方面，尤其要注意文件權限更改對應用系統造成的影響。
檢查方法
訪談系統管理員，了解能夠登錄Windows操作系統的賬戶以及它們擁有的權限。選擇%systemdrive%\windows\system、%systemroot%\system32\config等文件夾，單擊右鍵，在彈出的快捷菜單中選擇“屬性”——>“安全”選項，查看everyone組、users組和administrators組的權限設置。
期望結果
1.各用戶具有最小角色權限且分別登錄。
2.不存在匿名用戶，默認用戶賬號只能由管理員登錄。
b)
安全要求：應重命名或刪除默認賬戶，修改默認賬戶的默認口令。
要求解讀：由於操作系統默認賬戶的某些權限與實際系統的要求可能存在差異而造成安全隱患，所以，應重命名或刪除這些默認賬戶，並修改默認賬戶的默認口令。Windows系統管理員的賬戶名是Administrator。在某些情況下，黑客可以省略猜測用戶名這個步驟，直接破解密碼。因此，允許默認賬戶訪問的危害性是顯而易見的。
檢查方法
在命令行窗口輸入“lusrmgr.msc”，在彈出的“本地用戶和組”窗口查看“本地用戶和組（本地）”——>“用戶”下的相關項目，如下圖所示。
期望結果
1. Windows系統的默認賬戶Administrator已被禁用或重命名。
2.已修改賬戶的默認口令。
3.已禁用guest賬戶。
c)
安全要求：應及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在。
要求解讀：操作系統運行一段時間后，會因業務應用或管理員崗位的調整而出現一些多余的、過期的賬戶，也會出現多個系統管理員或用戶使用同一賬戶登錄的情況，導致無法通過審計追蹤定位自然人。多余的、過期的賬戶可能會被攻擊者利用進行非法操作。因此，應及時清理系統中的賬戶，刪除或停用多余的、過期的賬戶，同時避免共享賬戶的存在。
檢查方法
在命令行窗口輸入lusrmgr.msc命令，在彈出的“本地用戶和組”窗口中查看“本地用戶和組（本地）”——>“用戶”下的相關項目。訪談系統管理員，了解各賬戶的用途，核查賬戶是否屬於多余的、過期的或共享賬戶名的。
期望結果
1.不存在多余的賬戶和測試時使用的過期賬戶。
2.不存在多部門、多人共享賬戶的情況。
d)
安全要求：應授予管理用戶所需的最小權限，實現管理用戶的權限分離。
要求解讀：根據管理用戶的角色對權限進行細致的划分，有利於各崗位精准協調工作。同時，僅授予管理用戶所需的最小權限，可以避免因出現權限漏洞而使一些高級用戶擁有過高的權限。
檢查方法
在命令行窗口輸入secpol.msc命令，在彈出的“本地安全策略”窗口查看“安全設置”—>“本地策略”—>“用戶權限分配”下的相關項目。在詳細信息窗格中可以看到可配置的用戶權限策略。
期望結果
1.設置了系統管理員、安全員、審計員角色，並根據管理用戶的角色分配權限，實現了管理用戶的權限分離。
2.僅授予管理用戶需要的最小權限，角色的權限之間相互制約。
e)
安全要求：應由授權主體配置訪問控制策略，訪問控制策略規定主體對客體的訪問規則。
要求解讀：操作系統的訪問控制策略應由授權主體（如安全管理員）進行配置，非授權主體不得更改訪問控制策略。訪問控制策略規定了操作系統用戶對操作系統資源（例如文件和目錄）具有哪些權限、能進行哪些操作。通過在操作系統中配置訪問控制策略，可以實現對操作系統各用戶權限的限制。
檢查方法
1.詢問系統管理員，了解哪些用戶能夠配置訪問控制策略。
2.查看重點目錄的權限配置，了解是否依據安全策略配置訪問規則。
期望結果
1.由安全管理員授權設置訪問控制策略。
2.配置了主體對客體的訪問控制策略並統一管理。
f)
安全要求：訪問控制的粒度應達到主體為用戶級或進程級，客體為文件、數據庫表級。
要求解讀：此項明確提出了訪問控制粒度方面的要求。重點目錄的訪問控制主體可能為某個用戶或某個進程，應能夠控制用戶或進程對文件、數據庫表等客體的訪問。
檢查方法
選擇%systemdrive%\program files、%systemdrive%\system32等重要的文件夾，以及%systemdrive%\Windows\system32\config、%systemdrive%\Windows\system32\secpol等重要的文件，單擊右鍵，在彈出的快捷菜單中選擇“屬性”——>“安全”選項，查看訪問權限設置。
期望結果
1.用戶權限設置合理。
2.用戶依據訪問控制策略對各類文件和數據庫表級進行訪問。
g)
安全要求：應對重要主體和客體設置安全標記，並控制主體對有安全標記信息資源的訪問。
要求解讀：敏感標記是強制訪問控制的依據，主體和客體都有，存在形式多樣，既可能是整形數字，也可能是字母，總之，它表示主體和客體的安全級別。敏感標記由強認證的安全管理員設置。安全管理員通過對重要信息資源設置敏感標記來決定主體以何種權限對客體進行操作，實現強制訪問控制。
在操作系統能夠對信息資源設置敏感標記的前提下，應嚴格按照安全策略控制用戶對相關資源的操作。
檢查方法
1.查看操作系統功能手冊或相關文檔，確認操作系統是否具備對信息資源設置敏感標記的功能。
2.詢問管理員是否對重要信息資源設置了敏感標記。
3.詢問或查看當前敏感標記策略的相關設置。例如，如何進行敏感標記分類、如何設定訪問權限等。
期望結果
1.若系統中有敏感數據，則已為不同層面的人員分別設置強制訪問控制策略。若系統中沒有敏感數據，則此項不適用。
2.在主體和客體層面分別設置了不同的敏感標記，並由管理員基於這些標記設置訪問控制路徑。
3.系統內核進行了二次開發加固（需要實際查看系統可視化界面）。部署了第三方主機加固系統，可以設置主體和客體的安全標記，並控制主體對客體的訪問路徑。