Referencia de datos: oficial CISP

Tabla de contenido

instalación segura
Proteger la seguridad de la cuenta
política de seguridad local
Centro de Seguridad
Seguridad del servicio del sistema
otras configuraciones de seguridad
Adquisición de Seguridad de Software

1. Instalación segura (tome la instalación del sistema de Windows como ejemplo)

Elige la versión correcta

Business Edition: Home Edition, Professional Edition, Professional Workstation Edition, Enterprise Edition
Ediciones especiales: Education Edition, Enterprise Edition LTSC, etc.

fuente de instalación

Canales Oficiales y Espejos Confiables (Hash)

instalar espejo

Microsoft proporciona oficialmente herramientas de creación de imágenes.
No use imágenes de Windows 10 desarrolladas por otros terceros

configuración de partición

Windows 10 viene con la función de retener el reinicio de datos, no es necesario prestar atención a la configuración de la partición

Configuración de la cuenta de inicio de sesión

Cuenta de Microsoft
cuenta local

parche de seguridad

Una vez completada la instalación, realice primero la actualización del parche

2. Proteger la seguridad de la cuenta

Cuenta integrada del sistema

Administrador
Invitado

Cuenta de usuario

Cuenta creada por el usuario durante la instalación

Deshabilitar cuentas integradas predeterminadas

Administrador de usuario de red / activo: no
Usuario de red invitado / activo: no

Cambiar nombre de usuario de cuenta predeterminado

La cuenta integrada predeterminada es el objetivo del ataque.
Opciones disponibles en la política de seguridad local

Establecer contraseñas seguras para todas las cuentas

Qué es una contraseña segura: fácil de recordar para uno mismo, difícil de adivinar para otros

Fácil de recordar por ti mismo: necesitas ser regular
Es difícil que otros adivinen: la ley es desconocida para otros

Ejemplo: Contraseña "segura" insegura

La lucha contra el descifrado de contraseñas se basa en contraseñas seguras, recomendaciones de seguridad:

longitud suficiente
Combinación de letras mayúsculas, minúsculas, números, caracteres especiales

Contraseñas que cumplen con los requisitos "seguros"

Complejidad: las contraseñas deben constar de varios caracteres, incluidas letras mayúsculas, letras minúsculas, números y caracteres especiales, para aumentar la dificultad de descifrar.
Longitud: la longitud de la contraseña debe ser lo suficientemente larga, generalmente se recomiendan al menos 8 caracteres, pero las contraseñas más largas son más seguras.
No es fácil de adivinar: evite usar contraseñas que estén asociadas con información personal (como cumpleaños, nombre, número de teléfono) que otras personas puedan adivinar fácilmente.
Aleatoriedad: elija una combinación aleatoria de caracteres para su contraseña y no use palabras o frases comunes.
Cambio periódico: Cambie la contraseña regularmente, como cada tres meses, para evitar que la contraseña se use durante mucho tiempo.
No duplicidad: evite utilizar la misma contraseña en diferentes cuentas o sistemas, para evitar el riesgo de que una fuga afecte la seguridad de otras cuentas y sistemas.
Use una herramienta de administración de contraseñas: considere usar una herramienta de administración de contraseñas para almacenar y generar contraseñas seguras, mientras se asegura de que la herramienta de administración de contraseñas también esté protegida.

Ejemplos de contraseñas con altos factores de seguridad y reglas de configuración de contraseñas:

Otros métodos de verificación de inicio de sesión

Reconocimiento facial
huella dactilar
PIN (Número de identificación personal)
imagen (gesto)

3. Política de seguridad local

1. Política de seguridad local - Configuración de seguridad

Política de cuenta - Configuración de la política de contraseñas (para evitar contraseñas débiles)

La clave debe cumplir los requerimientos de complejidad
Longitud mínima de la contraseña
Edad mínima de la contraseña
Antigüedad máxima de la contraseña
Hacer cumplir el historial de contraseñas
Almacenar contraseñas con encriptación reversible

Por lo general, habrá un host de dominio en la empresa y el administrador establecerá directamente las políticas de seguridad para las computadoras miembros del dominio en la empresa a través del host de dominio.

Política de cuenta - Política de bloqueo de cuenta

tiempo de bloqueo de cuenta
Umbral de bloqueo de cuenta
Restablecer contador de bloqueo de cuenta

2. Política de seguridad local - Política de auditoría

efecto

Auditar las operaciones de los usuarios y formar un registro de seguridad

Configuración de la política de auditoría

Auditar eventos de inicio de sesión
Acceso a objetos de auditoría
Seguimiento del proceso de auditoría
Acceso al servicio de directorio de auditoría
Uso de privilegios de auditoría
Eventos del sistema de auditoría
Auditar eventos de inicio de sesión de cuenta
Gestión de cuentas de auditoría

3. Políticas locales - Opciones de seguridad

Establezca opciones de seguridad de acuerdo con las necesidades comerciales

Título del mensaje, texto del mensaje cuando el usuario intenta iniciar sesión
Acceso a la red para compartir y modos de seguridad para cuentas locales (clásico y solo para invitados)
Las cuentas locales con contraseñas en blanco solo permiten inicios de sesión en la consola
......

ejemplo

Acceso a la red: no permita la enumeración anónima de cuentas SAM, establezca en Habilitado
Acceso a la red: recursos compartidos a los que se puede acceder de forma anónima, elimine el valor en la configuración de la política
Acceso a la red: canalizaciones con nombre para acceso anónimo, elimine el valor en la configuración de directiva
Acceso a la red: rutas de registro accesibles de forma remota, eliminar valores en la configuración de políticas

Explicación del concepto:

No permitir la enumeración anónima de cuentas SAM : esta es una configuración de seguridad de red diseñada para evitar que usuarios no autorizados obtengan información sobre cuentas SAM (Administrador de cuentas de seguridad) a través de operaciones de enumeración. La seguridad del sistema se puede mejorar desactivando la enumeración anónima de cuentas SAM. En Windows, puede buscar y editar la configuración de la política de seguridad para deshabilitar la enumeración anónima de cuentas SAM.
Recursos compartidos accesibles de forma anónima : se refiere a carpetas o recursos compartidos en la red a los que pueden acceder usuarios anónimos. Para mejorar la seguridad del sistema, generalmente se recomienda prohibir el acceso anónimo a los recursos compartidos para garantizar que solo los usuarios autenticados y autorizados puedan acceder a los recursos compartidos. Puede encontrar y modificar la configuración de uso compartido, deshabilitar el acceso anónimo o limitar el acceso a los recursos compartidos.
Canalizaciones con nombre accesibles de forma anónima : las canalizaciones con nombre son un mecanismo para la comunicación entre procesos. Permitir el acceso anónimo a las canalizaciones con nombre puede representar un riesgo de seguridad porque los usuarios no autenticados pueden explotarlo para realizar operaciones maliciosas. Se recomienda prohibir el acceso anónimo a las canalizaciones con nombre en la red para limitar el acceso a las canalizaciones. Puede buscar y cambiar la configuración de la política de seguridad o el acceso a la canalización en consecuencia.
Ruta de registro accesible de forma remota : el registro es un componente clave que se utiliza para almacenar información de configuración en el sistema operativo Windows, y el acceso remoto a la ruta de registro significa que se puede acceder y modificar la ruta de registro especificada de forma remota en la red. Para mejorar la seguridad del sistema, se recomienda restringir o prohibir el acceso remoto a rutas de registro confidenciales. Puede buscar y editar la configuración de acceso al registro para controlar qué rutas de registro son accesibles de forma remota.

4. Centro de seguridad

Protección contra virus y amenazas

Asegúrese de que la protección contra virus y amenazas esté habilitada
Asegúrese de que la protección contra virus y amenazas esté actualizada
Se recomienda activar la protección contra ransomware (la opción predeterminada no está activada)

Cortafuegos y protección de red

Asegúrese de que el firewall esté habilitado (habilitado de forma predeterminada)

red de dominio
red privada
red pública

ajustes avanzados

Use un firewall para proteger las conexiones entrantes y salientes

Configuración avanzada de firewall y protección de red

reglas de entrada

reglas de salida

Reglas de seguridad de conexión

monitor

cortafuegos
Reglas de seguridad de conexión
asociación de seguridad

reglas de salida, reglas de entrada

Bloquear o permitir la conexión de programas o puertos específicos
Las reglas preestablecidas existen por defecto
Las reglas preestablecidas no son aplicables y también se pueden crear reglas personalizadas

Configurar reglas de entrada

nueva regla
Realizar ajustes de definición de puerto
Ingrese el puerto que desea conectar para abrir
seleccione la regla apropiada
Establecer escenarios de aplicación
definir nombre

Establecer reglas de salida

nueva regla
Realizar ajustes de definición de puerto
puerto de la conexión de entrada
seleccione la regla apropiada
Establecer escenarios de aplicación
definir nombre

Control de aplicaciones y navegador

Comprobar alertas de aplicaciones y archivos (predeterminado)
Pantalla inteligente abierta para Microsoft Edge
Valor predeterminado de aislamiento de navegación
Valor predeterminado de protección contra exploits

5. Seguridad del servicio del sistema

Problemas de seguridad del servicio del sistema

Ejecución automática sin inicio de sesión de usuario (parcialmente "inicio" por defecto)
Ejecutar con mayores privilegios

Desactivar servicios innecesarios

servicio no utilizado

Servicios con Riesgos de Seguridad

Ejemplo: Servicios interactivos
Tarea planificada Programador de tareas
Registro de operaciones remotas Registro remoto
......

6. Otras configuraciones de seguridad

Desactivar el uso compartido administrativo

De forma predeterminada, la partición del sistema y el directorio de instalación de Windows se comparten, lo que representa un riesgo de seguridad.

estrategia de solución

Modificar el registro para desactivar el uso compartido administrativo

Desactivar la reproducción automática

La función de reproducción automática está habilitada de forma predeterminada, diseñada para la comodidad del usuario
Mecanismo de propagación y explotación de virus U Disk

solución

Política de grupo local para desactivar la reproducción automática (gpedit.msc)

4.1 Seguridad de punto final de Windows