安全计算环境-（四）终端设备-1
终端设备
终端安全测评主要涉及五个方面的内容，分别是：身份鉴别、访问控制、入侵防范、恶意代码防范、可信验证。以下以Windows终端为例进行说明。
控制点
1.
身份鉴别
为确保连接终端的安全，必须对终端的每个用户或与之相连的设备进行有效的标识与鉴别。只有通过鉴别的用户，才能被赋予相应的权限，进入终端，并在规定的权限范围内操作。
a)
安全要求：应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。
要求解读：用户的身份标识和鉴别是指用户以一种安全的方式向操作系统提交自己的身份证明，然后由操作系统确认用户的身份是否属实的过程。身份标识应具有唯一性。在用户进入Windows桌面前，系统会弹出一个用户登录界面，要求用户输入用户名和密码，用户通过验证才可以登录操作系统。
检查方法
1.核查是否用户需要输入用户名和密码才能登录。
2.核查Windows默认用户名是否具备唯一性。
3.选择“控制面板”—>“管理工具”—>“计算机管理”—> “本地用户和组”选项，检查有哪些用户，并尝试以空口令登录（应为无法登录）。
4.选择“控制面板”—> “管理工具”—> “本地安全策略”—>“账户策略”—>“密码策略”选项，核查密码策略的配置是否合理。
期望结果
1．用户登录需要输入用户名和密码才能登录。
2．用户需要具备唯一性才能登录。
3．尝试使用空口令登录，未成功。
4．密码策略如下。
-
复杂性要求：已启用。
-
密码长度：不少于8位。
-
密码最长使用时间：不超过90天。
-
密码最短使用时间：不为0。
-
强制密码历史：至少记住5个密码。
b)
安全要求：应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当安全登录连接超时自动退出等相关措施。
要求解读：由于非法用户能够通过反复输入密码达到猜测用户密码的目的，因此，应该限制用户登录过程中连续输入错误密码的次数。如果用户多次输入错误密码，操作系统应自动锁定该用户或在一段时间内禁止该用户登录，从而提高非法用户猜测密码的难度。
Windows操作系统具有登录失败处理功能，可以通过适当配置账户锁定策略来对用户的登录行为进行限制。
检查方法
1．选择“控制面板”—>“管理工具”—>“本地安全策略”—>“账户策略”—>“密码锁定策略”选项，核查密码锁定的策略是否合理。
2．在桌面上单击右键，在弹出的快捷菜单中选择“个性化”—>“屏幕保护程序”选项，查看“等待时间”，以及“在恢复时显示登录屏幕”复选框是否被勾选。
期望结果
1．密码锁定策略如下。
-
账户锁定时间：不为不适用。
-
账户锁定阈值：不为不适用。
2．已启了远程登录连接超时自动退出的功能。
c)
安全要求：当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。
要求解读：为方便管理员进行管理操作，许多操作系统都采用了网络登录的方式。Windows操作系统一般使用远程桌面进行远程管理。《基本要求》规定，对传输的数据需要进行加密处理，目的是保障账户和口令的安全。
检查方法
1.如果采用本地管理或KVM等硬件管理方式，则此要求默认满足。
2.如果采用远程管理，则需采用带有加密管理的远程管理方式。在命令行窗口输入gpedit.msc命令，在弹出的“本地组策略编辑器”窗口查看“本地计算机策略
—>计算机配置—>管理模板—>Windows 组件—>远程桌面服务—>远程桌面会话主机—>安全”中的相关项目。
期望结果
1.本地或KVM默认符合此项。
2.远程运维采用加密的RDP协议。
