一.实验目的

掌握身份认证的原理和方法。理解Windows系统中基于帐户/密码的身份认证方法，了解Windows系统系统账户及密码的安全管理。

二.实验环境及原理

1:实验环境：
windows-sever-2003
2:原理
身份认证的基本方法有如下3种。
用户所知，即个人所知道的或掌握的知识，如密码。
用户所有，即个人所拥有的东西，如磁卡、条码卡、IC卡或智能令牌等各种智能卡。
用户个人特征，即个人所具有的个人生物特性，如指纹、掌纹、声纹、脸型、DNA或视网膜等。
Windows系统身份认证采用基于用户所知的帐户/密码的的验证手段。身份认证过程中，系统收到用户输入的帐户/密码，系统将根据帐户信息从系统的帐户密码信息表中查询该帐户所对应的密码信息。然后进行比较，如果一致，则认为该任务合法，身份认证通过。如果不一致，则认为不是合法用户，无法通过身份认证。

三.实验内容

1 检查和删除不必要的账户

右键单击“开始”按钮，打开“资源管理器”，选择“控制面板”中的“用户和密码”项； 在弹出的对话框中中列出了系统的所有账户。确认各账户是否仍在使用，删除其中不用的账户。

2 禁用guest用户。

打开“控制面板”中的“管理工具”，选中“计算机管理”中“本地用户和组”，打开“用户”，右键单击 guest 账户，在弹出的对话框中选择“属性”，在弹出的对话框中“帐户已停用”一栏前打勾。
确定后，观察 guest 前的图标变化，并再次试用 guest 用户登陆，记录显示的信息。

3 设置帐户/密码登录身份认证

1）点击Windows开始菜单，在运行中执行”rundll32 netplwiz.dll,UsersRunDll “，在弹出的窗口中，选中取消自动登录的用户。然后选用“要使用本机，用户必须。输入用户名和密码”，点击并确认。

2）创建新用户

4 匿名Administrator账号

Administrator是最高级别的账号，不能删除或禁用，但应重新命名该账号并设置密码以隐藏它，以免受到攻击。此外，其他级别的用户命名为administrator迷惑攻击者
重命名administer为root，创建新用户并改名为Administer，查询其所属组，发现root属于Administers

登录root用户，发现其为Administers组成员

5 举例说明Windows系统的帐户安全管理策略和密码安全管理策略

1）锁定用户，防止多次尝试帐户/密码，Windows 可设定一个账户锁定阈值n ， 当出现n 次无效登陆，则锁定该账户。比如设置锁定时间。

2）停用账户，账户无法登陆该计算机。
3）禁止用户更改密码，阻止用户更改密码。
4）用户登录更改密码，必须在登录时更改密码才可以登录。

4）密码必须符合复杂性要求，要求用户设定尽可能复杂的密码。
5）设置密码长度的最小值，规定用户设置的密码长度不可以小于这个值。
6）设置密码最短与最长存留期，规定用户在一定的时间段内必须修改密码。

6 让Windows系统启动时不显示上次的登录名

打开“控制面板”，然后在控制面板中选择“管理工具”，在打开的管理工具中选择“本地安全策略”。在打开的安全设置对话框中选择“本地策略”，双击本地策略中的“安全选项”，在安全选项中双击“交互式登陆：不显示上次的用户名”，然后在弹出的对话框中单击“已启用”.

（2）打开“控制面板”，然后在控制面板中选择“用户帐户”在打开的对话框中选择“更改用户登录或注销的方式”将“使用欢迎屏幕”前的勾勾去掉，然后单击应用选项，重启电脑后，就会提示您输入“用户名”和“密码”。

7 启用审核策略和日志查看。

1）启用审核策略
打开“控制面板”中的“管理工具”，选择“本地安全策略”。 打开“本地策略”中的“审核策略”，在实验报告中记录当前系统的审核策略。 双击每项策略可以选择是否启用该项策略，例如“审核账户管理”将对每次建立新用户、删除用户等操作进行记录，“审核登陆事件”将对每次用户的登陆进行记录；“审核过程追踪”将对每次启动或者退出的程序或者进程进行记录，根据需要启用相关审核策略，审核策略启用后，审核结果放在各种事件日志中。

2）查看事件日志
打开“控制面板”中的“管理工具”，双击“事件查看器“，在弹出的窗口中查看应用程序、系统、安全的 3 种日志。双击“安全日志”，可查看有效无效、登陆尝试等安全事件的具体记录，例如：查看用户登陆 / 注销的日志。

禁止Windows自动播放功能。
点击开始→运行→输入gpedit.msc，打开组策略编辑器，浏览到计算机配置→管理模板→系统，在右边窗格中双击“关闭自动播放”，对话框中选择所有驱动器，确定即可。