组策略设置系列之“安全选项”(doc 16页)

组策略设置系列之“安全选项”内容提要：
设置, 选项
组策略的“安全选项”部分启用或禁用数字数据签名、Administrator 和 Guest 帐户名、软盘驱动器和 CD-ROM 驱动器的访问、驱动程序安装操作和登录提示的计算机安全设置。
安全选项设置
您可以在组策略对象编辑器的下列位置配置安全选项设置：计算机配置\Windows 设置\安全设置\
本地策略\安全选项
帐户：管理员帐户状态
此策略设置启用或禁用 Administrator 帐户的正常操作条件。如果以安全模式启动计算机，Administrator 帐户总是处于启用状态，而与如何配置此策略设置无关。
“帐户：管理员帐户状态”设置的可能值为：    
已启用      
已禁用
没有定义
漏洞：在某些组织中，维持定期更改本地帐户的密码这项常规计划可能会是很大的管理挑战。因此，您可能需要禁用内置的 Administrator 帐户，而不是依赖常规密码更改来保护其免受攻击。需要禁用此内置帐户的另一个原因就是，无论经过多少次登录失败它都不会被锁定，这使得它成为强力攻击（尝试猜测密码）的主要目标。另外，此帐户还有一个众所周知的安全标识符 (SID)，而且第三方工具允许使用 SID 而非帐户名来进行身份验证。此功能意味着，即使您重命名 Administrator 帐户，攻击者也可能使用该 SID 登录来发起强力攻击。

..............................