安全策略

摘要 在企业终端安全治理体系中，系统身份的稳定性、网络通道的透明性与账户凭证的强度构成了身份安全的三项核心支柱。计算机名随意篡改会造成资产台账错乱、网络准入关联失效；恶意滥用网络代理极易构建隐蔽外联通道、绕过流量审计引发数据外泄；弱口令与宽松账户锁定规则则让终端暴露在暴力破解、凭证填充风险之下。本文围绕禁止计算机名修改、全场景网络代理锁定、强制密码基线配置、精细化账户锁定防护四大方向开展技术拆解，依托互成软件终端安全管理系统落地实践，详解NetBIOS名称监测、WinHTTP/IE代理注册表防护、LSA安全策略管控、SAM账户计数器管控等底层实现原理，助力企业搭建“系统身份—网络通道—账户凭证”一体化终端身份安全基线。 一、引言：终端身份安全的三项核心支柱 1.1 系统身份稳定性：计算机名的治理价值 计算机名是Windows局域网内终端关键主机标识，贯穿NetBIOS解析、AD域注册、安全审计、资产管理全场景： NetBIOS名称解析：依托NBNS/DNS完成主机名与IP映射，主机名变更会导致缓存失效、DNS记录错乱，基于主机名的访问控制策略全部失效； AD域成员绑定：域终端计算机名和域计算机账户一一绑定，改名需要重新注册域账户、刷新Kerberos票据、重载域组策略，破坏域身份一致性； 安全日志溯源：系统安全日志以计算机名标记事件来源，篡改主机名可被攻击者用来规避审计追踪； CMDB资产管理：资产配置库普遍以计算机名为主键，名称变动直接造成台账与实物终端脱节。 因此锁定计算机名称修改权限，是稳固终端身份、保障审计与资产管理合规的基础前提。 1.2 网络通道透明性：代理配置的安全风险 代理本身可用于合法上网管控，但私自篡改终端代理配置会带来多重安全隐患： 绕过边界审计：流量经代理中转后，防火墙、IDS、DLP无法抓取原始报文，形成监管盲区； 构建恶意C2通道：黑客通过私有代理中转终端流量，实现远控指令下发、敏感数据批量窃取； 规避地域访问限制：借助境外代理突破地域访问管控，违规访问受限站点； 绕过企业上网策略：私自替换代理地址，绕开URL黑名单、网页过滤等管控规则。 严格管控终端系统代理修改权限，是保证网络流量全透明、封堵隐蔽外联的关键手段。 1.3 账户凭证强度：密码策略与锁定机制的安全价值 密码作为终端本地账户核心认证凭据，依靠Windows LSA+SAM架构完成校验管控： LSA安全子系统：依托lsass.exe进程运行，统筹本地安全策略、身份核验、安全日志生成，内置NTLM、Kerberos等多套认证协议； SAM账户数据库：本地账户密码哈希加密存储在系统注册表SAM路径，账户登录时由LSA调取哈希完成比对； 密码策略引擎：修改密码时由LSA强制校验复杂度、有效期等规则，配置参数落地在系统Lsa相关注册表项； 登录失败计数器：LSA基于SAM维护单账户错误登录计数，超限自动触发账户锁定，抵御爆破攻击。 互成软件终端安全管理系统围绕以上三类风险，落地身份固化、代理锁控、账户基线加固整套安全方案。 二、计算机名变更禁止：NetBIOS名称与域身份的锁定 2.1 计算机名变更的技术路径 Windows系统修改计算机名主要有四类实现方式：系统图形界面修改、Netdom/PowerShell命令行改名、直接修改系统计算机名注册表项、WMI接口远程篡改名称。域环境下改名还会同步变更AD域内计算机对象属性。 2.2 禁止变更的技术实现 系统采用多层防护机制，从权限、注册表、网络广播、域对象多维度拦截改名操作： 权限与组策略约束：通过域/本地组策略限制普通用户SeMachineAccountPrivilege权限，禁用系统改名入口； WMI巡检+自动回滚：Agent定时调用Win32_ComputerSystem读取主机名，和预存基线比对，发现篡改自动调用接口还原名称，执行nbtstat -RR刷新NetBIOS缓存、ipconfig /registerdns同步DNS； 注册表驱动防护：通过注册表过滤驱动锁定计算机名相关注册表项，拦截非信任进程改写； NetBIOS广播监测：监听UDP137端口NetBIOS注册报文，异常名称上线立即告警并强制刷新； 域对象防护：域环境实时监控AD计算机账户sAMAccountName、dNSHostName字段，属性变更后联动域控恢复原始配置。 2.3 Windows事件日志审计 依托系统原生安全事件实时捕获改名行为： Event ID 4742：域计算机账户属性发生变更； Event ID 4781：本地/域账户名称被修改。 通过ETW订阅+WMI事件捕获，实现改名行为瞬时告警。 2.4 审计与告警 字段 说明 旧计算机名 变更前基线主机名称 新计算机名 尝试篡改的目标名称 变更方式 系统属性/PowerShell/WMI/Netdom/注册表 变更主体 发起修改的用户账号或进程PID 恢复结果 成功恢复/恢复失败 时间戳 事件捕获时间 三、系统网络代理禁用：WinHTTP与Internet Settings的注册表锁定 3.1 Windows代理配置的技术架构 Windows代理分散存储在四类配置节点，分别适配不同系统组件与应用软件： ...