在数字化办公时代，电脑安全已成为单位数据防护的第一道关卡。一台安全策略设置不当的办公终端，可能成为黑客入侵的突破口。如何让电脑既高效又安全？参考等保2.0要求，本文从身份鉴别、权限管理、安全审计、入侵防范、主动防御五个维度，详述办公电脑安全配置的核心要点。
一、身份鉴别：严防非法登录
1.强密码策略
要求密码长度≥8位，包含大小写字母、数字和符号组合，避免“123456”等弱口令。
设置密码最长使用期限（建议90天），到期自动强制更换，防止长期不变的风险。
TIPS:
Windows操作系统可以通过组策略启用“密码必须符合复杂性要求”策略。右击开始菜单，选择运行，输入secpol.msc，打开本地安全策略窗口，选择帐户策略-密码策略，在右侧窗口中进行策略设置。
当然除了传统密码，生物识别技术（需要硬件支持）就是又安全又便利的防护方式。比如人脸识别、指纹识别等方式，在设置->账户->登录选项中添加登录方式。
2.登录失败锁定机制
为了防止有人猜测你的密码或是暴力破解密码，建议设置登录失败锁定策略，连续5次输错密码后自动锁定账户30分钟，阻止他人对你密码的攻击。
设置超时自动退出，开启屏幕保护程序，屏幕保护程序设置30分钟无操作锁定，需重新验证身份。防止因离开工位忘记锁定计算机造成的远程操纵攻击。
TIPS:
Windows操作系统可以通过组策略启用。右击开始菜单，选择运行，输入secpol.msc，打开本地安全策略窗口，选择帐户策略-帐户锁定策略，在右侧窗口中进行策略设置。
二、权限管理：最小化授权原则
禁用默认账户，按需分配角色。重命名系统默认账户（如Administrator），删除或停用Guest等冗余账户。
权限分离。分设日常使用账号、超级管理员等角色，避免单一账户拥有全部权限。
避免直接使用Administrator账户造成的风险，因为Administrator账户是Windows的默认管理员账户会成为黑客攻击的首选测试对象，改名、弃用都会增大黑客攻击的难度。
TIPS:
在控制面板->用户帐户中可以设置新的账户
三、安全审计：记录每一秒的操作
开启全量日志审计，记录用户登录、文件操作、系统事件等关键行为，日志至少保存6个月。
TIPS:
Windows操作系统可以通过组策略启用策略。右击开始菜单，选择运行，输入gpedit.msc，打开本地组策略窗口，选择计算机配置->Windows设置->安全设置->审核策略，在右侧窗口中对所有策略添加审核成功、失败操作记录。
四、入侵防范：堵住漏洞后门
1.软件安全
最小化安装原则，仅安装必要软件，一定要安装正版软件。我校为师生提供常用操作系统和办公软件的正版镜像，免费下载使用。
正版软件管理与服务平台访问地址：http://ms.zztrc.edu.cn/
2.加固系统
禁用Remote Registry等高危服务，关闭135、445等风险端口，关闭默认共享文件。
大部分的安全软件如360等都具有一键加固、一键防护等功能可以自动关闭这些高危端口，非必要不打开，如必须使用，需在使用后尽快关闭。
3.修补漏洞
定期更新系统补丁，修复系统漏洞，保证操作系统环境安全。未修补的漏洞可能成为黑客远程控制的“捷径”。
选择开始->设置->更新和安全->Windows更新，查看你的操作系统更新情况。
五、主动防御：构筑恶意代码城墙
1.安装正版杀毒软件
我校提供了正版360终端安全管理系统，安装杀毒软件，实时更新病毒库，开启文件扫描与行为监控功能，是我们办公电脑的基础安全防护。
2.启用系统防火墙
系统自带防火墙可以为我们过滤绝大部分的恶意攻击，开启防火墙、启用防护策略，是保护我们办公电脑的重要手段。
TIPS:
打开控制面板->系统和安全->WindowsDefender防火墙-启用防火墙，加强电脑防护屏障。
3.禁用USB自动运行
U盘是学校教师学生存储文件的常用工具，也是病毒传播的温床。禁用USB自动运行可以有效防止U盘病毒自动传播。
TIPS:
打开控制面板->硬件和声音->自动播放，去除“为所有媒体和设备使用自动播放”选项。
推荐使用网盘或邮箱的方式来进行文件存储，杜绝U盘病毒传播。
最后，领取这个自检清单，看看你的办公电脑安全吗？
[√] 密码复杂度达标且定期更换
[√] 已禁用默认账户和多余服务
[√] 日志审计功能开启并定期备份
[√] 杀毒软件病毒库更新至最新
[√] 高危端口和共享文件已关闭
[√] 系统官方补丁已经及时安装
