windows主机测评指导书.xlsxVIP

安全控制点

3级控制项

测评方法

测评结论（符合）

测评结论（部分符合）

测评结论（不符合）

测评结论（不适用）

备注

身份鉴别

a)应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

1、核查对操作系统进行远程访问或本地登录时，是否需要输入用户名和口令。验证使用错误口令登录是否能够成功；

2、在“开始→控制面板→用户账户”中，核查是否存在用户名重复的账户

3、在“开始→控制面板→用户账户”中，核查所有操作系统用户是否均受到密码保护

4、点击：开始→运行，输入secpol.msc，打开本地安全策略，在“安全设置→账户策略→密码策略”中：

1）核查“密码必须符合复杂性要求”是否设置为“已启用”

2）核查是否设置“密码长度最小值”（建议大于等于8个字符）

3）核查是否设置“强制密码历史”（建议大于等于5个记住的密码）

4）核查是否设置“密码最长使用期限”（建议小于等于90天）

或管理员定期更换口令，在cmd中输入netuser常用用户名，查看上次口令更换时间

5）核查是否设置“密码最短使用期限”（建议大于等于7天）

6）在“安全设置→本地策略→安全选项”中：核查是否设置“交互式登录:提示用户在密码过期之前进行更改”（建议7天）

5、在操作系统“开始→控制面板→管理工具→计算机管理→系统工具→本地用户和组”中，查看常用用户的属性页面，是否未勾选“密码永不过期”选项

注：用户策略与密码策略相冲突时，以用户策略为准

预期结果：执行步骤1），远程访问或本地登录操作系统，需要输入用户名和口令，使用错误口令登录无法成功登录。

执行步骤2），不存在用户名重复的账户。

执行步骤3），所有操作系统用户均受到密码保护。

执行步骤4），“密码必须符合复杂性要求”设置为“已启用”、“密码长度最小值”为8个字符、“强制密码历史”为3个记住的密码、“密码最长使用期限”为90天、“密码最短使用期限”为7天、“交互式登录:提示用户在密码过期之前进行更改”为7天。

执行步骤5），常用用户的属性页面，未勾选“密码永不过期”选项。

通过用户名+口令的方式进行身份鉴别，用户身份标识具有唯一性，无法创建同名账户，未发现空口令账户，配置了口令复杂度策略和有效期策略，口令长度XX位以上，必须包含数字、大小写字母和特殊符号，口令最长有效期为XX天。

通过用户名+口令的方式进行身份鉴别，用户身份标识具有唯一性，无法创建同名账户，未发现空口令账户，但未配置口令复杂度策略和口令有效期策略。

系统不具备身份鉴别措施。

b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

检测步骤：1、在系统中新建测试用户，使用此用户登录时多次输入错误密码，核查登录失败处理功能是否成功启用；

2、点击：开始→运行，输入secpol.msc，打开本地安全策略，在“安全设置→账户策略→账户锁定策略”中：

1）核查是否设置“账户锁定阈值”（建议小于等于10次）；

2）核查是否设置“账户锁定时间”（建议大于等于10分钟）；

3）核查是否设置“复位账户锁定计数器”（建议大于等于10分钟）；

3、点击：开始→运行，输入gpedit.msc，打开本地组策略编辑器，在“计算机配置→管理模板→Windows组件→远程桌面服务→远程桌面会话主机→会话时间限制”中，核查“设置活动但空闲的远程桌面服务会话的时间限制”是否设置为“已启用”，“空闲会话限制”建议小于等于10分钟。

右键个性化设置-锁屏设置-屏幕保护程序，是否勾选“在恢复时显示登陆屏幕”

组策略设置账户锁定策略，账户锁定时间：30分钟；账户锁定阈值：5次无效登录；重置账户锁定计数器：30分钟以后。开启屏幕保护程序，等待时间为5分钟，勾选“在恢复时显示登陆屏幕”，超时锁定当前账号。

部分符合一：

组策略设置账户锁定策略，账户锁定时间：X分钟；账户锁定阈值：X次无效登录；重置账户锁定计数器：X分钟以后，锁定策略不合理。开启屏幕保护程序，等待时间为5分钟，勾选“在恢复时显示登陆屏幕”，超时锁定当前账号。

部分符合二：

组策略设置账户锁定策略，账户锁定时间：30分钟；账户锁定阈值：5次无效登录；重置账户锁定计数器：30分钟以后。组策略启用“设置活动但空闲的远程桌面服务会话的时间限制”。空闲会话时间限制为5分钟，超时退出当前会话。

不符合一：

未配置登录失败处理策略及登录超时时间。

不符合二：

组策略设置账户锁定策略，账户锁定时间：X分钟；账户锁定阈值：X次无效登录；重置账户锁定计数器：X分钟以后，锁定策略不合理。未配置登录超时时间。

不符合三：

组策略设置账户锁定策略，账户锁定时间：X分钟；账户锁定阈值：X次无效登录；重置账户锁定计数器：X分钟以后，锁定策略不