终端设备
控制点
2.
访问控制
在操作系统中实施访问控制的目的是保证系统资源（操作系统）受控、合法地被使用。用户只能根据自己的权限来访问终端资源，不得越权访问。
a)
安全要求：应对登录的用户分配账户和权限。
要求解读：访问控制是安全防范和保护的主要策略，操作系统访问控制的主要任务是保证操作系统中的资源不被非法使用和访问。使用访问控制的目的是通过限制用户对特定资源的访问来保护系统资源。操作系统中的每一个文件或目录都有访问权限，这些访问权限决定了谁能访问及如何访问这些文件和目录。对操作系统中的一些重要文件，需要严格控制其访问权限，从而提高系统的安全性。因此，为了确保系统的安全，需要为登录的用户分配账户并合理配置账户权限。
检查方法
访谈系统管理员，了解能够登录操作系统的账户，以及它们所拥有的权限。
选择%systemdrive%\windows\system、%systemroot%\system32\config等文件夹，单击右键，在弹出的快捷菜单中选择“属性”—>“安全”选项，查看everyone组、users组和administrators组的权限设置。
期望结果
1.各用户具备最小角色权限且分别登录。
2.不存在匿名用户，默认用户账号只能由管理员登录。
b)
安全要求：应重命名或删除默认账户，修改默认账户的默认口令。
要求解读：由于操作系统默认账户的某些权限与实际系统的要求可能存在差异而造成安全隐患，所以，应重命名或删除这些默认账户，并修改默认账户的默认口令。Windows系统管理员的账户名是Administrator。在某些情况下，黑客可以省略猜测用户名这个步骤，直接破解密码。因此，允许默认账户访问的危害性是显而易见的。
检查方法
在命令行窗口输入“lusrmgr.msc”，在弹出的“本地用户和组”窗口查看“本地用户和组（本地）”——>“用户”下的相关项目，如下图所示。
期望结果
1. Windows系统的默认账户Administrator已被禁用或重命名。
2.已修改账户的默认口令。
3.已禁用guest账户。
c)
安全要求：应及时删除或停用多余的、过期的账户，避免共享账户的存在。
要求解读：操作系统运行一段时间后，会因业务应用或管理员岗位的调整而出现一些多余的、过期的账户，也会出现多个系统管理员或用户使用同一账户登录的情况，导致无法通过审计追踪定位自然人。多余的、过期的账户可能会被攻击者利用进行非法操作。因此，应及时清理系统中的账户，删除或停用多余的、过期的账户，同时避免共享账户的存在。
检查方法
在命令行窗口输入lusrmgr.msc命令，在弹出的“本地用户和组”窗口中查看“本地用户和组（本地）”—>“用户”下的相关项目。访谈系统管理员，了解各账户的用途，核查账户是否属于多余的、过期的或共享账户名的。
期望结果
1.不存在多余的账户和测试时使用的过期账户。
2.不存在多部门、多人共享账户的情况。