实验1 增强Windows操作系统安全 1.实验目的及要求 1.1实验目的
通过实验掌握 Windows 账户与密码的安全设置、文件系统的保护和加密、安全策略与安全模板的使用、审核和日志的启用、本机漏洞检测软件 MBSA 的使用，建立一个 Windows 操作系统的基本安全框架。 1.2实验要求
根据Windows 操作系统的各项安全性实验要求，详细观察并记录设置前后系统的变化，给出分析报告。 2.实验设备及软件
1 台安装 Windows2000/XP 操作系统的计算机，磁盘格式配置为 NTFS ，预装 MBSA(Microsoft Baseline Security Analyzer) 工具。 3.实验内容
(1)账户与密码的安全设置
(2)文件系统的保护和加密（选做） (3)启用 安全策略与安全模板
(4)用加密软件 EFS 加密硬盘数据（选做） (5)审核与日志查看
(6)利用 MBSA 检查和配置系统安全 （选做）
需要说明的是，下面的实验步骤主要是以 Windows2000/XP 的设置为例进行说明，并且设置均需以管理员（ Administrator ）身份登陆系统。在 Windows XP 操作系统中，相关安全设置会稍有不同，但大同小异。 4.实验步骤
4.1 任务一 账户和密码的安全设置
1 ．删除不再使用的账户，禁用 guest 账户 ⑴ 检查和删除不必要的账户 右键单击“开始”按钮，、打开“资源管理器”，选择“控制面板”中的“用户和密码”项； 在弹出的对话框中中列出了系统的所有账户。确认各账户是否仍在使用，删除其中不用的账户。
⑵ 禁用 guest 账户
为了便于观察实验结果，确保实验用机在实验前可以使用 guest 账户登陆。 打开“控制面板”中的“管理工具”，选中“计算机管理”中“本地用户和组”，打开“用户”，右键单击 guest 账户，在弹出的对话框中选择“属性”，在弹出的对话框中“帐户已停用”一栏前打勾。
确定后，观察 guest 前的图标变化，并再次试用 guest 用户登陆，记录显示的信息。 ２．启用账户策略 ⑴ 设置密码策略
打开“控制面板”中的“管理工具”，在“本地安全策略”中选择“账户策略”；双击“密码策略”，在右窗口中，双击其中每一项，可按照需要改变密码特性的设置。根据你选择的安全策略，尝试对用户的密码进行修改以验证策略是否设置成功，记录下密码策略和观察到的实验结果。
⑵ 设置账户锁定策略
打开“控制面板”中的“管理工具”，在“本地安全策略”中选择“账户策略”。双击“帐户锁定策略”。
在右窗口中双击“账户锁定阀值”，在弹出的对话框中设置账户被锁定之前经过的无效登陆次数（如 3 次），以便防范攻击者利用管理员身份登陆后无限次的猜测账户的密码。 在右窗口中双击“账户锁定时间”，在弹出的对话框中设置账户被锁定的时间（如 20 min ）。 重启计算机，进行无效的登陆（如密码错误），当次数超过 3 次时，记录系统锁定该账户的时间，并与先前对“账户锁定时间”项的设置进行对比。 ３．开机时设置为“不自动显示上次登陆账户” 右键单击“开始”按钮，打开“资源管理器”，选中“控制面板”，打开“管理工具”选项，双击“本地安全策略”项，选择“本地策略”中的“安全选项”，并在弹出的窗口右侧列表中选择“登陆屏幕上不要显示上次登陆的用户名”选项，启用该设置。设置完毕后，重启机器看设置是否生效。 ４．禁止枚举账户名
右键单击“开始”按钮，打开“资源管理器”，选中“控制面板”，打开“管理工具”选项，双击“本地安全策略”项，选择“本地策略”中的“安全选项”， 并在弹出的窗口右侧列表中选择“对匿名连接的额外限制”项，在“本地策略设置”中选择“不允许枚举 SAM 账户和共享”（ 或为“网络访问: 不允许 SAM 帐户和共享的匿名枚举”）。
此外，在“安全选项”中还有多项增强系统安全的选项，请同学们自行查看（如有感兴趣或需要了解的内容，可百度或查看“解释此设置”标签项）。 4.2 任务二 文件系统安全设置
⑴ 打开采用 NTFS 格式(百度查看NTFS与FAT32的区别)的磁盘，选择一个需要设置用户权限的文件夹。这里选择 C 盘下的“桌面”文件夹（可自行选择）。 ⑵ 右键单击该文件夹，选择“属性”，在工具栏中选择“安全”（若无此项则在资源管理器－工具－文件夹选项－查看－去掉“简单文件共享”）。 ⑶ 将“允许来自父系的可能继承权限无限传播给该对象”（可能在高级-权限标签中）之前的勾去掉，以去掉来自父系文件夹的继承权限（如不去掉则无法删除可对父系文件夹操作用户组的操作权限）。
⑷ 选中列表中的 Everyone 组，单击“删除”按钮，删除 Everyone 组的操作权限，由于新建的用户往往都归属于 Everyone 组，而 Everyone 组在缺省情况下对所有系统驱动器都有完全控制权，删除 Everyone 组的操作权限可以对新建用户的权限进行限制，原则上只保留允许访问此文件夹的用户和用户组。
⑸ 选择相应的用户组，在对应的复选框中打勾，设置其余用户组对该文件夹的操作权限。 ⑹ 单击“高级”按钮，在弹出的窗口中，查看各用户组的权限。 ⑺ 注销计算机，用不同的用户登陆，查看 C 盘“桌面”文件夹（可自行选择）的访问权限，将结果记录在实验报告中。
4.3 任务三 启用审核与日志查看 1 ．启用审核策略
(1) 打开“控制面板”中的“管理工具”，选择“本地安全策略”。 (2) 打开“本地策略”中的“审核策略”，在实验报告中记录当前系统的审核策略。 (3) 双击每项策略可以选择是否启用该项策略，例如“审核账户管理”将对每次建立新用户、删除用户等操作进行记录，“审核登陆事件”将对每次用户的登陆进行记录；“审核过程追踪”将对每次启动或者退出的程序或者进程进行记录，根据需要启用相关审核策略，审核策略启用后，审核结果放在各种事件日志中。 2 ．查看事件日志
(1) 打开“控制面板”中的“管理工具”，双击“事件查看器“，在弹出的窗口中查看系统的 3 种日志。
(2) 双击“安全日志”，可查看有效无效、登陆尝试等安全事件的具体记录，例如：查看用户登陆 / 注销的日志。
4.4 任务四 启用安全策略与安全模块 1 ．启用安全模板
开始前，请记录当前系统的账户策略和审核日志状态，以便于同实验后的设置进行比较。 ⑴ 单击“开始”按钮，选择“运行”按钮，在对话框中运行 mmc ，打开系统控制台 ⑵ 单击工具栏上“文件”，在弹出的菜单中选择“添加 / 删除管理单元”，单击“添加”，在弹出的窗口中分别选择“安全模板”、“安全设置和分析”，单击“添加”按钮后，关闭窗口，并单击“确定”按钮。
⑶ 此时系统控制台中根节点下添加了“安全模板”、“安全设置分析”两个文件夹，打开“安全模板”文件夹，可以看到系统中存在的安全模板。右键单击模板名称，选择“设置描述”，可以看到该模板的相关信息。选择“打开”，右侧窗口出现该模板的安全策略，双击每种安全策略可看到其相关配置。 ⑷ 右键单击“安全设置与分析”，选择“打开数据库”。在弹出的对话框中输入预建安全数据库的名称，例如起名为 mycomputer.sdb ，单击“打开”按钮，在弹出的窗口中，根据计算机准备配置成的安全级别，选择一个安全模板将其导入。 ⑸ 右键单击“安全设置与分析”，选择“立即分析计算机”，单击“确定”按钮，系统开始按照上一步中选定的安全模板，对当前系统的安全设置是否符合要求进行分析。将分析结果记录在实验报告中。
⑹ 右键单击“安全设置与分析”，选择“立即配置计算机”，则按照第（ 4 ）步中所选的安全模板的要求对当前系统进行配置。
⑺ 在实验报告中记录实验前系统的缺省配置，接着记录启用安全模板后系统的安全设置，记录下比较和分析的结果。 2 ．建安全模板
⑴ 单击“开始”按钮，选择“运行”按钮，在对话框中运行 mmc ，打开系统控制台。 ⑵ 单击工具栏上“文件”，在弹出的菜单中选择“添加 / 删除管理单元”，单击“添加”，在弹出的窗口中分别选择“安全模板”、“安全设置和分析”，单击“添加”按钮后，关闭窗口，并单击“确定”按钮。
⑶ 此时系统控制台中根节点下添加了“安全模板”、“安全设置分析”两个文件夹，打开“安全模板”文件夹，可以看到系统中存在的安全模板。右键单击模板名称，选择“设置描述”，可以看到该模板的相关信息。选择“打开”，右侧窗口出现该模板的安全策略，双击每中安全策略可看到其相关配置。 ⑷ 右键单击“安全设置与分析”，选择“打开数据库”。在弹出的对话框中输入预建安全数据库的名称，例如起名为 mycomputer.sdb ，单击“打开”按钮，在弹出的窗口中，根据计算机准备配置成的安全级别，选择一个安全模板将其导入。 ⑸ 展开“安全模板”，右键单击模板所在路经 , 选择“新加模板”，在弹出的对话框中添入预加入的模板名称 mytem ，在“安全模板描述“中填入“自设模板”。查看新加模板是否出现在模板列表中。
⑹ 双击 mytem ，在现实的安全策略列表中双击“账户策略”下的“密码策略”，可发现其中任一项均显示“没有定义”，双击预设置的安全策略（如“密码长度最小值”）。 ⑺ 在“在模板中定义这个策略设置”前打勾，在框中填如密码的最小长度为 7 。 ⑻ 依次设定“账户策略”、“本地策略”等项目中的每项安全策略，直至完成安全模板的设
置。
5. 实验结果
记录系统各项安全设置前后的变化，并结合截图进行说明。 6. 实验思考题
(1 )如何检查系统是否允许 guest 账户登陆？ (2)三种日志文件分别记录什么样的事件？ 7．选做（可百度具体操作方法） （1）下载并使用MBSA工具
（2）下载并使用加密软件 EFS 加密硬盘数据 （3）NTFS格式下文件夹的加密与破解 （4）windowsXP开机密码破解 （5）关闭和打开网络服务（端口）（先百度为什么要关闭端口）
实验1增强Windows操作系统安全
