Hỗ trợ hướng dẫn cấu hình bảo mật

Tổng công ty Microsoft

Microsoft cung cấp hướng dẫn cách giúp bảo vệ các hệ điều hành của riêng chúng ta. Chúng tôi đã phát triển ba cấp độ thiết đặt bảo mật sau đây:

• Ứng dụng khách doanh nghiệp (EC)

• Stand-Alone (SA)

• Tính năng bảo mật chuyên biệt – giới hạn (SSLF)

Chúng tôi kiểm tra kỹ hướng dẫn sau đây để sử dụng trong nhiều tình huống khách hàng. Hướng dẫn phù hợp với bất kỳ tổ chức nào muốn giúp bảo mật cho máy tính nền Windows của mình.

Chúng tôi hỗ trợ đầy đủ các hướng dẫn viên do các thử nghiệm mở rộng mà chúng tôi đã thực hiện trong phòng thí nghiệm tương thích ứng dụng của chúng tôi trên những hướng dẫn này. Truy cập các trang web Microsoft sau đây để tải xuống hướng dẫn của chúng tôi:

• Hướng dẫn bảo mật của Windows Vista:
  

  http://technet.microsoft.com/en-us/library/bb629420.aspx

• Đường cơ sở bảo mật Windows XP:

  http://go.microsoft.com/fwlink/?LinkId=14839

• Cơ sở bảo mật của Windows Server 2003:

  http://go.microsoft.com/fwlink/?linkid=14845

• Hướng dẫn về bảo mật của Windows 2000:
  

  http://go.microsoft.com/fwlink/?LinkId=28591

Nếu bạn gặp phải sự cố hoặc có chú thích sau khi thực hiện các hướng dẫn về bảo mật của Microsoft, bạn có thể cung cấp phản hồi bằng cách gửi email đến secwish@microsoft.com.



Hướng dẫn cấu hình bảo mật cho hệ điều hành Windows, cho Internet Explorer và đối với bộ sản suất Office được cung cấp trong trình quản lý tuân thủ bảo mật của Microsoft: http://technet.Microsoft.com/en-US/Library/cc677002.aspx.

Trung tâm bảo mật Internet

CIS đã phát triển các tiêu chuẩn nhằm cung cấp thông tin giúp các tổ chức thực hiện các quyết định thông báo về những lựa chọn bảo mật sẵn có nhất định. CIS đã cung cấp ba cấp độ tiêu chuẩn bảo mật:

• Thừa

• EBM

• Bảo mật cao

Nếu bạn gặp phải sự cố hoặc có chú thích sau khi thực hiện các thiết đặt Benchmark của CIS, hãy liên hệ với CIS bằng cách gửi email đến Win2K-feedback@cisecurity.org.

Ghi chú hướng dẫn của CIS đã thay đổi kể từ khi chúng tôi đã phát hành bài viết này (3 tháng 11, 2004). Hướng dẫn hiện tại của CIS giống với hướng dẫn mà Microsoft cung cấp. Để biết thêm thông tin về hướng dẫn mà Microsoft cung cấp, hãy đọc phần "Microsoft Corporation" trước đó trong bài viết này.

Viện tiêu chuẩn và công nghệ quốc gia

NIST có trách nhiệm tạo hướng dẫn bảo mật cho chính phủ liên bang Hoa Kỳ. NIST đã tạo ra bốn cấp độ của hướng dẫn bảo mật được sử dụng bởi các cơ quan liên bang của Hoa Kỳ, tổ chức riêng tư và tổ chức công cộng:

• Quận

• Thừa

• EBM

• Tính năng bảo mật chuyên biệt – hạn chế

Nếu bạn gặp phải sự cố hoặc có chú thích sau khi thực hiện các mẫu bảo mật NIST, hãy liên hệ với NIST bằng cách gửi email đến itsec@nist.gov.

Ghi chú của NIST hướng dẫn đã thay đổi kể từ lần đầu chúng tôi đã phát hành bài viết này (ngày 3 tháng 11, 2004). Hướng dẫn hiện tại của NIST giống với hướng dẫn mà Microsoft cung cấp. Để biết thêm thông tin về hướng dẫn mà Microsoft cung cấp, hãy đọc phần "Microsoft Corporation" trước đó trong bài viết này.

Cơ quan hệ thống thông tin phòng thủ

HỦY bỏ tạo hướng dẫn đặc biệt để sử dụng trong bộ quốc phòng Hoa Kỳ (DOD). Những người dùng DOD Hoa Kỳ đã gặp phải sự cố hoặc có chú thích sau khi thực hiện hướng dẫn cấu hình không có thể cung cấp phản hồi bằng cách gửi email đến fso_spt@ritchie.disa.mil.

Lưu ý hướng dẫn về không có thay đổi kể từ khi chúng tôi đã phát hành bài viết này (3 tháng 11, 2004). Hướng dẫn hiện tại của không thể tách tương tự hoặc giống hệt với hướng dẫn mà Microsoft cung cấp. Để biết thêm thông tin về hướng dẫn mà Microsoft cung cấp, hãy đọc phần "Microsoft Corporation" trước đó trong bài viết này.

Cơ quan bảo mật quốc gia (NSA)

NSA đã tạo ra hướng dẫn để giúp bảo vệ các máy tính nguy cơ cao trong bộ quốc phòng Hoa Kỳ (DOD). NSA đã phát triển một mức hướng dẫn duy nhất tương ứng với mức độ bảo mật cao được sản xuất bởi các tổ chức khác.

Nếu bạn gặp phải sự cố hoặc có chú thích sau khi thực hiện NSA hướng dẫn bảo mật cho Windows XP, bạn có thể cung cấp phản hồi bằng cách gửi thông điệp email đến XPGuides@nsa.gov. Để cung cấp phản hồi về hướng dẫn về Windows 2000, hãy gửi email đến w2kguides@nsa.gov.

Ghi chú hướng dẫn về NSA đã thay đổi kể từ khi chúng tôi đã phát hành bài viết này (3 tháng 11, 2004). Hướng dẫn hiện tại của NSA tương tự hoặc giống hệt với hướng dẫn mà Microsoft cung cấp. Để biết thêm thông tin về hướng dẫn mà Microsoft cung cấp, hãy đọc phần "Microsoft Corporation" trước đó trong bài viết này.

Sửa đổi của hệ thống tệp và danh sách kiểm soát truy nhập sổ đăng ký

Windows XP và các phiên bản mới hơn của Windows có các quyền được thắt chặt đáng kể trong toàn bộ hệ thống. Do đó, các thay đổi rộng rãi đối với các quyền mặc định không cần thiết. 

Các thay đổi trong danh sách điều khiển Access tùy chỉnh bổ sung (DACL) có thể làm mất hiệu lực tất cả hoặc hầu hết các thử nghiệm tương thích ứng dụng do Microsoft thực hiện. Thông thường, chẳng hạn như các thay đổi này không trải qua kiểm tra kỹ lưỡng mà Microsoft đã thực hiện trên các thiết đặt khác. Các trường hợp hỗ trợ và trải nghiệm trường đã chỉ ra rằng các chỉnh sửa của DACL thay đổi hành vi cơ bản của hệ điều hành, thường xuyên theo những cách không mong đợi. Những thay đổi này ảnh hưởng đến tính tương thích ứng dụng và độ ổn định và giảm tính năng, liên quan đến hiệu suất và khả năng.

Do những thay đổi này, chúng tôi không khuyên bạn nên sửa đổi hệ thống tệp trên các tệp được bao gồm trong hệ điều hành trên hệ thống sản xuất. Chúng tôi khuyên bạn nên đánh giá bất kỳ thay đổi ACL bổ sung nào đối với mối đe dọa đã biết để hiểu mọi lợi thế tiềm ẩn mà những thay đổi đó có thể cho vay vào một cấu hình cụ thể. Vì những lý do này, hướng dẫn của chúng tôi chỉ thực hiện các thay đổi về DACL tối thiểu và chỉ với Windows 2000. Đối với Windows 2000, một số thay đổi nhỏ là bắt buộc. Những thay đổi này được mô tả trong hướng dẫn về độ cứng bảo mật của Windows 2000.

Các thay đổi quyền mở rộng được phát tán trong toàn bộ hệ thống sổ đăng ký và không thể hoàn tác. Các thư mục mới, chẳng hạn như thư mục hồ sơ người dùng không có mặt tại bản cài đặt gốc của hệ điều hành, có thể bị ảnh hưởng. Vì vậy, nếu bạn loại bỏ thiết đặt chính sách nhóm thực hiện thay đổi DACL, hoặc bạn áp dụng mặc định hệ thống, bạn không thể cuộn ngược lại các DACLs gốc. 

Những thay đổi đối với DACL trong% SystemDrive% thư mục có thể làm cho các kịch bản sau đây:

• Thùng rác không còn là các hàm được thiết kế và tệp không thể khôi phục được.

• Việc giảm bảo mật cho phép người quản trị không xem nội dung của thùng rác của người quản trị.

• Các hồ sơ người dùng không hoạt động như mong đợi.

• Việc giảm bảo mật cung cấp cho người dùng tương tác với truy nhập đọc vào một số hoặc tất cả hồ sơ người dùng trên hệ thống.

• Các vấn đề về hiệu suất khi các chỉnh sửa khác của DACL được tải vào đối tượng chính sách nhóm bao gồm thời gian đăng nhập dài hoặc liên tục khởi động lại hệ thống đích.

• Các vấn đề về hiệu năng, bao gồm hệ thống slowdowns, mỗi 16 giờ hoặc để các thiết đặt chính sách nhóm được áp dụng lại.

• Vấn đề về tương thích ứng dụng hoặc ứng dụng gặp sự cố.

Để giúp bạn loại bỏ kết quả tồi tệ nhất của các quyền của tệp và sổ đăng ký, Microsoft sẽ cung cấp các nỗ lực hợp lý thương mại phù hợp với hợp đồng hỗ trợ của bạn. Tuy nhiên, bạn hiện không thể cuộn lại những thay đổi này. Chúng tôi có thể đảm bảo rằng bạn có thể trở về thiết đặt hộp được đề xuất bằng cách định dạng lại ổ đĩa cứng và bằng cách cài đặt lại hệ điều hành.

Ví dụ, các sửa đổi cho bộ phận đăng ký ảnh hưởng đến các phần lớn trong phát ban sổ đăng ký và có thể khiến hệ thống không còn hoạt động như mong đợi. Sửa đổi DACLs trên các khóa đăng ký đơn đặt ra ít hơn một vấn đề cho nhiều hệ thống. Tuy nhiên, chúng tôi khuyên bạn nên xem xét cẩn thận và kiểm tra những thay đổi này trước khi thực hiện chúng. Một lần nữa, chúng tôi chỉ có thể đảm bảo rằng bạn có thể trở về thiết đặt ra khỏi hộp được đề xuất nếu bạn định dạng và cài đặt lại hệ điều hành.

Máy khách Microsoft Network: thông tin đăng nhập kỹ thuật số (luôn luôn)

Khi bạn bật thiết đặt này, khách hàng phải ký lưu lượng truy nhập khối tin nhắn máy chủ (SMB) khi họ liên hệ với máy chủ không yêu cầu SMB đăng nhập. Điều này khiến cho máy khách dễ bị tổn thương đến phiên cướp các cuộc tấn công. Nó cung cấp giá trị đáng kể nhưng không cho phép thay đổi tương tự trên máy chủ để bật máy chủ Microsoft Network: thông tin đăng nhập kỹ thuật số (luôn) hoặc Microsoft Network Client: thông tin đăng nhập kỹ thuật số (nếu máy khách đồng ý), máy khách sẽ không thể liên lạc thành công với máy chủ.

Bảo mật mạng: không lưu trữ giá trị Hash của LAN quản lý trên thay đổi mật khẩu tiếp theo

Khi bạn bật thiết đặt này, giá trị Hash Manager (LM) cho một mật khẩu mới sẽ không được lưu trữ khi thay đổi mật khẩu. Hình nền LM tương đối yếu và dễ bị tấn công so với băm nhỏ hơn của Microsoft Windows NT. Mặc dù thiết đặt này cung cấp bảo mật bổ sung rộng rãi cho một hệ thống bằng cách ngăn chặn nhiều tiện ích thường gặp về mật khẩu, thiết đặt có thể ngăn không cho một số ứng dụng bắt đầu hoặc chạy chính xác.

Mã hóa hệ thống: sử dụng các thuật toán tuân thủ FIPS để mã hóa, băm và ký

Khi bạn bật thiết đặt này, Dịch vụ thông tin Internet (IIS) và Microsoft Internet Explorer chỉ sử dụng giao thức bảo mật tầng Transport (TLS) 1,0. Nếu thiết đặt này được kích hoạt trên một máy chủ đang chạy IIS, chỉ các trình duyệt web hỗ trợ TLS 1,0 có thể kết nối. Nếu thiết đặt này được bật trên máy khách web, thì máy khách chỉ có thể kết nối với các máy chủ hỗ trợ giao thức TLS 1,0. Yêu cầu này có thể ảnh hưởng đến khả năng của máy khách để truy nhập vào các trang web sử dụng lớp socket Secure (SSL). Để biết thêm thông tin, hãy bấm số bài viết sau đây để xem bài viết trong cơ sở kiến thức Microsoft:

811834 Không thể truy nhập vào các site SSL sau khi bạn bật mã thông báo tuân thủ FIPS
ngoài ra, khi bạn bật thiết đặt này trên một máy chủ sử dụng dịch vụ đầu cuối, khách hàng buộc phải sử dụng RDP client 5,2 hoặc các phiên bản mới hơn để kết nối.

Để biết thêm thông tin, hãy bấm số bài viết sau đây để xem bài viết trong cơ sở kiến thức Microsoft:

811833 Hiệu ứng của việc bật mật mã hóa hệ thống: dùng các thuật toán phù hợp với FIPS cho mã hóa, băm và ký "thiết đặt bảo mật trong Windows XP và các phiên bản mới hơn của Windows

Dịch vụ Cập nhật tự động hoặc dịch vụ truyền thông minh nền (bit) bị vô hiệu hóa

Một trong những cột quan trọng của chiến lược bảo mật của Microsoft là đảm bảo rằng các hệ thống được giữ hiện tại trong các bản Cập Nhật. Thành phần chính trong chiến lược này là dịch vụ Cập nhật tự động. Cả Windows Update và Software Update đều sử dụng dịch vụ Cập nhật tự động. Dịch vụ Cập nhật tự động dựa trên dịch vụ truyền thông minh nền (bit). Nếu các dịch vụ này bị vô hiệu hóa, các máy tính sẽ không còn có thể nhận được các bản Cập Nhật từ Windows Update thông qua các bản cập nhật tự động, từ phần mềm dịch vụ Cập Nhật (SUS) hoặc từ một số cài đặt máy chủ quản lý hệ thống Microsoft (SMS). Những dịch vụ này chỉ có thể bị vô hiệu hóa trên các hệ thống có một hệ thống phân phối có hiệu lực mà không dựa vào bit.

Dịch vụ đăng nhập Netđã bị vô hiệu hóa

Nếu bạn vô hiệu hóa dịch vụ NetLogon, một máy trạm không còn có chức năng tin cậy hơn là thành viên miền. Thiết đặt này có thể phù hợp với một số máy tính không tham gia vào tên miền. Tuy nhiên, cần được đánh giá cẩn thận trước khi triển khai.

NoNameReleaseOnDemand

Thiết đặt này ngăn không cho máy chủ từ bỏ tên NetBIOS của nó nếu nó xung đột với một máy tính khác trên mạng. Thiết đặt này là một biện pháp phòng ngừa tốt cho việc từ chối các cuộc tấn công dịch vụ đối với máy chủ tên và các vai trò máy chủ rất quan trọng khác.

Khi bạn bật thiết đặt này trên một máy trạm, các máy trạm từ chối từ bỏ tên NetBIOS của nó ngay cả khi tên xung đột với tên của một hệ thống quan trọng hơn, chẳng hạn như bộ điều khiển tên miền. Tình huống này có thể vô hiệu hóa chức năng tên miền quan trọng. Những nỗ lực hỗ trợ của công nghiệp hỗ trợ của Microsoft nhằm cung cấp hướng dẫn bảo mật nhằm triển khai trong các khu vực bảo mật cao. Tuy nhiên, hướng dẫn này phải được kiểm tra kỹ lưỡng trong môi trường đích. Chúng tôi khuyên bạn nên người quản trị hệ thống yêu cầu thiết đặt bảo mật bổ sung ngoài các thiết đặt mặc định sử dụng hướng dẫn Microsoft-phát hành làm điểm bắt đầu cho các yêu cầu của tổ chức. Để được hỗ trợ hoặc dành cho các câu hỏi về hướng dẫn của bên thứ ba, hãy liên hệ với tổ chức đã ban hành hướng dẫn.