組策略設置係列之“安全選項”(doc 16頁)

組策略設置係列之“安全選項”內容提要：
設置, 選項
組策略的“安全選項”部分啟用或禁用數字數據簽名、Administrator 和 Guest 帳戶名、軟盤驅動器和 CD-ROM 驅動器的訪問、驅動程序安裝操作和登錄提示的計算機安全設置。
安全選項設置
您可以在組策略對象編輯器的下列位置配置安全選項設置：計算機配置\Windows 設置\安全設置\
本地策略\安全選項
帳戶：管理員帳戶狀態
此策略設置啟用或禁用 Administrator 帳戶的正常操作條件。如果以安全模式啟動計算機，Administrator 帳戶總是處於啟用狀態，而與如何配置此策略設置無關。
“帳戶：管理員帳戶狀態”設置的可能值為：
已啟用
已禁用
沒有定義
漏洞：在某些組織中，維持定期更改本地帳戶的密碼這項常規計劃可能會是很大的管理挑戰。因此，您可能需要禁用內置的 Administrator 帳戶，而不是依賴常規密碼更改來保護其免受攻擊。需要禁用此內置帳戶的另一個原因就是，無論經過多少次登錄失敗它都不會被鎖定，這使得它成為強力攻擊（嚐試猜測密碼）的主要目標。另外，此帳戶還有一個眾所周知的安全標識符 (SID)，而且第三方工具允許使用 SID 而非帳戶名來進行身份驗證。此功能意味著，即使您重命名 Administrator 帳戶，攻擊者也可能使用該 SID 登錄來發起強力攻擊。

..............................