中国电力科学研究院信息安全实验室 Windows等级保护测评作业指导书（三三） 控制编号：SGISL/OP-SA29-10 第 7 页 共 22 页 第 2 版 第 0 次修订 发布日期：2010年01月06日

Windows2000、Windows XP、适用版本 Windows 2003 实施风险 无10 系统没有开启不需要的共享，对于开启的共享设置访问权限，允许管符合性判定 理员通过密码访问，判定结果为符合；系统开启不需要的共享，判定结果为不符合。 备注 测评分项3：重要数据的访问控制 首先进入到提供应用服务的文件、目录，对该文件、目录点击“右键\\属性”，打开属性页的“安全”选项卡，对用户“Users、EveryOne”的权限进行记录。 操作步骤 Windows2000、Windows XP、适用版本 Windows 2003 实施风险 无 符合性判定 重要的文件、目录只允许管理员访问通过密码访问，判定结果为符合；对重要的文件、目录的访问没有限制，判定结果为不符合。 备注 2．用户权限检查

中国电力科学研究院信息安全实验室 Windows等级保护测评作业指导书（三三） 控制编号：SGISL/OP-SA29-10 第 8 页 共 22 页 第 2 版 第 0 次修订 发布日期：2010年01月06日

测评项编号 ADT-OS-WIN-08 测评项名称 用户权限检查 测评分项1：用户权限检查 开始\\所有程序\\管理工具\\计算机管理\\系统工具\\本地用户和组\\用户（组）”窗口，对窗口右侧的用户（组）信息栏目进行查看，对存在的关键用户及用户组进行记录,并对其拥有的权限进行查看。 操作步骤 适用版本 实施风险 Windows2000、Windows XP、Windows 2003 无 对应要求 b）应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限。 各帐户根据最小权限分配原则，帐户的权限分配合理，判定结果为符符合性判定 合； 帐户没有最小权限分配原则，判定结果为不符合。 3．用户的权限分离 测评项编号 ADT-OS-WIN-09 对应要求 c）应实现操作系统和数据库系统特权用户的权限分离。 测评项名称 用户的权限分离 测评分项1：用户的权限分离 结合系统管理员的组成情况，判定是否实现了该项要求。对安装了数据库的操作系统，检查操作系统中的数据库管理账号的权限。 操作步骤 适用版本 实施风险 Windows2000、Windows XP、Windows 2003 无 使用的数据库帐户只能登录数据库，不能登录操作系统，判定结果为符合性判定 符合； 数据库帐户可以登录操作系统，判定结果为不符合。 4．账户权限配置

中国电力科学研究院信息安全实验室 Windows等级保护测评作业指导书（三三） 控制编号：SGISL/OP-SA29-10 第 9 页 共 22 页 第 2 版 第 0 次修订 发布日期：2010年01月06日

测评项编号 ADT-OS-WIN-10 测评项名称 账户权限配置 测评分项1：administrator 是否更名 执行以下命令：net user 操作步骤 适用版本 实施风险 任何版本 无 对应要求 d）应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令。 系统不存在administration 帐户，判定结果为符合； 符合性判定 系统存在administration 帐户，且为管理员帐户，判定结果为不符合。 测评分项2：检查系统Guest 帐号 执行以下命令：net user guest 操作步骤 适用版本 实施风险 Windows2000、Windows XP、Windows 2003 无 符合性判定 系统中guest 帐户被禁用，判定结果为符合； 系统存在guest 帐户且没有禁用，判定结果为不符合。 备注 5．系统是否存在多余帐号 测评项编号 ADT-OS-WIN-11 对应要求 e) 应及时删除多余的、过期的帐户，避免共享帐户的存在。 中国电力科学研究院信息安全实验室 Windows等级保护测评作业指导书（三三） 控制编号：SGISL/OP-SA29-10 第 10 页 共 22 页 第 2 版 第 0 次修订 发布日期：2010年01月06日

测评项名称 系统是否存在多余帐号 测评分项1：检查系统是否存在多余帐号 执行以下命令：net user 访谈系统管理员，是否存在无用的多余帐号。 打开“开始\\所有程序\\管理工具\\计算机管理\\系统工具\\本地用户和组\\用户（组）”窗口，对窗口右侧的用户（组）信息栏目进行查看，对存在的关键用户及用户组进行记录,并对其拥有的权限进行查看。此外，对于系统内新建的用户（组）需进行其存在意义的询问，以决定该用户（组）是否具有存在意义。 适用版本 实施风险 任何版本 无 操作步骤 系统不存在无用的帐户，判定结果为符合； 符合性判定 系统中存在无用的帐户，判定结果为不符合。 6．资源敏感标记设置检查 测评项编号 ADT-OS-WIN-12 对应要求 f)应对重要信息资源设置敏感标记。 测评项名称 资源敏感标记设置检查 测评分项1：资源敏感标记设置检查 询问管理员系统是否对重要信息资源设置了敏感标记。 操作步骤 适用版本 实施风险 任何版本 无 对重要信息资源设置了敏感标记，判定结果为符合； 符合性判定 对重要信息资源没有设置敏感标记，判定结果为不符合。 7．有敏感标记的资源访问