一、账号管理
按用户类型分配账号
目的：根据系统要求，设定不同账户和组，管理员、数据库 sa、审计用户、来宾用户等
实施方法：
打开本地用户和计算机管理器
1.打开运行，输入lusrmgr.msc
2.根据用户要求将账户加入功能组
用户：右击用户->属性->更改隶属于
组：右击功能组->属性->成员
清理系统无用账户
目的：删除或锁定与设备运行，维护等工作无关的账号，提高系统账号安全性。
net user 用户名 /delete
实施方法：
打开本地用户和计算机管理器
1.打开运行，输入lusrmgr.msc
2.删除或锁着锁定无关账号(删除操作不可逆)
右击账号->删除
右击账号->属性->账户已禁用
禁用来宾账户
目的：减少账户被爆破的可能性，提高系统访问安全性
本地安全策略->安全设置->本地策略->安全选项”
secpol.msc
重命名账户
打开“本地安全策略->安全设置->本地策略->安全选项”
将系统管理员账户重命名
实施方法：
打开本地用户和计算机管理器
1.打开运行，输入lusrmgr.msc
2.为管理员adminstrator账户改名
右击administrator->重命名->属性->全名
配置密码策略
打开“本地安全策略->安全设置->账户策略->密码策略”
实施方法:
打开本地安全策略
1.打开运行，输入secpol.msc
2.找到密码策略
账户策略—密码策略
3.修改黑默认值:
密码必须符合复杂性要求:禁用一启用
密码长度最小值:0->8
密码策略建议:
密码最短使用期限:0天
密码最长使用期限:42-90天
强制密码历史:1-5
用可还原的加密来存储:禁用
启用密码必须符合复杂性要求
根据具体情况设置长度最小值、密码使用时间等
配置帐户锁定策略
打开“本地安全策略->安全设置->账户策略->账户锁定策略”
设置账户锁定阈值，登录失效达到一定次数后锁定
不显示上次登录的用户
打开“本地安全策略->安全设置->本地策略->安全选项”
启用不显示上次登录，登录登出后，不显示用户名称
二、授权管理
远程关机权限设置
目的：防止远程用户非法关闭系统
打开“本地安全策略->安全设置->本地策略->用户权限分配”
将关闭系统权限分配给 Administrators 组（本地关机）
从远程系统强制关机权限只分配给 Administrators 组（远程关机）
授权帐户从网络访问
打开“本地安全策略->安全设置->本地策略->用户权限分配”
配置从网络访问此计算机权限给指定授权用户
授权帐户登录
打开“本地安全策略->安全设置->本地策略->用户权限分配”
取得文件或对象的所有权设置
目的：防止用户非法绕过 NTFS 权限，获取文件内容
实施方法: 打开本地安全策格 1.打开运行,输入secpol.msc 2.找到用户校限分配 本地策路一>用户权限分配 取得文件或其他对象的所有权策略,只保留administrators组
共享文件夹授权访问
打开“控制面板 -> 管理工具 -> 计算机管理”，在”共享文件夹“中，查看每个共享文件夹的共享权限
每个共享文件夹的共享权限仅限于业务需要，不要设置成为 Everyone
三、日志配置
配置日志审核策略
启用审核策略更改，对尝试更改用户权限分配策略、审核策略、帐户策略或信任策略的每一个实例进行审核，成功和失败操作都需要审核。
启用审核登录事件，对用户登录进行记录，成功和失败操作都需要审核。
启用审核对象访问，成功和失败操作都需要审核。
启用审核进程追踪，仅失败操作需要审核。
启用审核目录服务访问，仅需要审核失败操作。
启用审核特权使用，成功和失败操作都需要审核。
启用审核系统事件，成功和失败操作都需要审核。
启用审核账户登录事件，在此计算机每次验证帐户凭据时进行审核，成功和失败操作都需要审核。
启用审核帐户管理，成功和失败操作都要审核。
设置日志文件大小
打开 “控制面板 -> 管理工具 -> 事件查看器”
配置应用日志、系统日志、安全日志属性中的日志大小，以及设置当达到最大的日志尺寸时的相应策略
操作 1：点击应用日志、系统日志、安全日志选项中的属性
设置应用日志文件大小至少为 8192 KB，可根据磁盘空间配置日志文件大小
四、IP 协议安全
防火墙管理
开启防火墙
按下 “win + r”，输入 firewall.cpl，查看防火墙是否启用
配置防火墙出站规则与入站规则
打开“控制面板 > 管理工具 > 高级防火墙配置”，选择入站规则或出站规则，新建规则
.选择创建规则类型，端口、程序等
五、Windows 服务安全
禁用 TCP/IP 上的 NetBIOS
在 “计算机管理 > 服务和应用程序 > 服务” 中禁用 TCP/IP NetBIOS Helper 服务，不需要主机对外共享文件夹时可以禁用
禁用不必要的服务
按下 ”win + r“命令输入 services.msc，打开服务，进行管理
关闭无用自启
减少开机自启动服务和软件，提高性能和安全性
实施方法 打开微软控制台 1.打开运行->msconfig 在启动选项卡中去掉多余的启动项的"✔"
关闭 Windows 自动播放功能
目的：防止从移动存储设备感染自运行病毒
实施方法
打开组策略编辑器
1.打开运行→gpedit.msc
2.找到策略所在
计算机配置一管理模板一所有设置
关闭自动播放一已启用
