windows用戶(hù)賬戶(hù)安全策略(編輯修改稿)
2025-02-05 20:02 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 族成員、 Windows XP Professional或 Windows 2022的計(jì)算機(jī)將自動(dòng)更新當(dāng)前時(shí)間，并將域控制器用作網(wǎng)絡(luò)時(shí)間服務(wù)。 Kerberos策略用于域用戶(hù)賬戶(hù)，同樣既可在 “ 默認(rèn)域安全策略 ” 中配置，又可在域的組策略中配置。 Kerberos策略選項(xiàng)包括：強(qiáng)制用戶(hù)登錄限制、服務(wù)票證最長(zhǎng)壽命、用戶(hù)票證最長(zhǎng)壽命、用戶(hù)票證續(xù)訂最長(zhǎng)壽命、計(jì)算機(jī)時(shí)鐘同步的最大容差。 域賬戶(hù)的 Kerberos策略既可以在 “ 默認(rèn)域安全策略 ” 中設(shè)置，又可以在域組策略中設(shè)置，但它們的設(shè)置方法都是一樣的，不同的只是打開(kāi)兩者窗口的方式不一樣。 Kerberos策略的具體設(shè)置方法參見(jiàn)書(shū)本 P200~P202頁(yè)介紹。 封死黑客的 “ 后門(mén) ” 一個(gè)操作系統(tǒng)，特別是一個(gè)服務(wù)器操作系統(tǒng)中，由于開(kāi)放了許多網(wǎng)絡(luò)服務(wù)，所以可以作為黑客攻擊 “ 后門(mén) ” 的有許多，在此僅以最主要幾種類(lèi)型介紹。 Guest賬戶(hù)和更改管理員賬戶(hù)名 有很多入侵都是通過(guò) Guest（來(lái)賓）賬戶(hù)進(jìn)一步獲得管理員密碼或者權(quán)限，進(jìn)而實(shí)現(xiàn)他們攻擊的目的。 Guest賬戶(hù)可以為我們用戶(hù)間文件共享提供方便，因?yàn)樗梢允蛊渌脩?hù)以匿名方式訪問(wèn)自己的共享文件，而無(wú)需輸入正確的用戶(hù)名和密碼。也正因如此，它給我留下了相當(dāng)大的安全隱患，有些黑客可以通過(guò)這個(gè)賬戶(hù)先登錄系統(tǒng)，然后通過(guò)賬戶(hù)復(fù)制功能，把管理員權(quán)限復(fù)制到這個(gè)來(lái)賓賬戶(hù)上，這樣黑客們就可以為所欲為了。 禁用這個(gè)賬戶(hù)的方法很簡(jiǎn)單，而且方法有多種，書(shū)中介紹一種同時(shí)適用于 Windows 2022/XP/Server 2022系統(tǒng)的方法， 參見(jiàn)書(shū)本 P202~P203頁(yè)。 從用戶(hù)列表中刪除這個(gè)賬戶(hù)即可，或者把 Guest賬戶(hù)訪問(wèn)此文件夾的權(quán)限僅設(shè)置為 “ 列出文件夾目錄 ” 或 “ 讀取 ”之類(lèi)較低的權(quán)限，這樣就安全多了。 系統(tǒng)管理員（ Administrator）賬戶(hù)擁有最高的系統(tǒng)權(quán)限，一旦該賬戶(hù)被人利用，后果不堪設(shè)想。黑客入侵的常用手段之一就是試圖獲得 Administrator賬戶(hù)的密碼，所以我們要重新配置 Administrator帳號(hào)。首先是為 Administrator賬戶(hù)設(shè)置一個(gè)強(qiáng)大復(fù)雜的密碼，然后我們重命名 Administrator賬戶(hù)，再創(chuàng)建一個(gè)沒(méi)有管理員權(quán)限的 Administrator賬戶(hù)欺騙入侵者（注意，要對(duì)相應(yīng)賬戶(hù)的描述重新描述，以蒙騙那些非法用戶(hù)）。這樣一來(lái)，入侵者就很難搞清哪個(gè)賬戶(hù)真正擁有管理員權(quán)限，也就在一定程度上減少了危險(xiǎn)性。 至于管理員賬戶(hù) Administrator的更改可以在該賬戶(hù)上單擊右鍵，在彈出菜單中選擇 “ 重命名 ” 選項(xiàng)，然后按平常所進(jìn)行的重命名方法一樣重命名即可。 關(guān)閉 “ 文件和打印共享 ” 功能 文件和打印共享是一個(gè)非常有用的功能，但在不需要它的時(shí)候，也是黑客入侵的很好的安全漏洞，所以在沒(méi)有必要共享的情況下，最好也將它們禁用。方法很簡(jiǎn)單，在 Windwos 2022/XP/Server 2022系統(tǒng)中的方法 參見(jiàn)書(shū)本 P203~P204頁(yè)介紹。 刪掉不必要的協(xié)議 對(duì)于服務(wù)器和主機(jī)來(lái)說(shuō)，一般只安裝 TCP/IP協(xié)議就夠了，因?yàn)楝F(xiàn)在主流的操作系統(tǒng)都是采用TCP/IP協(xié)議進(jìn)行網(wǎng)絡(luò)通信的。如果安裝了其他協(xié)議，可以對(duì)那些定無(wú)用的協(xié)議徹底刪除。具體方法參見(jiàn)書(shū)本 P204~P205頁(yè)介紹。 用戶(hù)賬戶(hù)權(quán)限分配 用戶(hù)權(quán)限的分配主要是通過(guò)兩種方式進(jìn)行的：系統(tǒng)默認(rèn)用戶(hù)或組賬戶(hù)已具有相應(yīng)的權(quán)限（但不是所有默認(rèn)組都有的）；其他新建用戶(hù)和組則是通過(guò)隸屬于系統(tǒng)默認(rèn)組賬戶(hù)來(lái)獲取相應(yīng)權(quán)限。所以，我們?cè)跒橛梅峙錂?quán)限時(shí)先要清楚系統(tǒng)默認(rèn)的用戶(hù)和組賬戶(hù)，以及它們各自的權(quán)限。 Windows Server 2022域默認(rèn)賬戶(hù)及權(quán)限 在圖 62所示的 “ Active Directory用戶(hù)和計(jì)算機(jī) ” 管理工具中的 “ Users”容器中包含了系統(tǒng)默認(rèn)的三個(gè)用戶(hù)賬戶(hù)，它們分別是 Administrator（系統(tǒng)管理員賬戶(hù)）、 Guest（來(lái)賓賬戶(hù)）和 HelpAssistant（遠(yuǎn)程協(xié)助賬戶(hù)）。 Administrator、 Guest和 HelpAssistant三個(gè)用戶(hù)賬戶(hù)是系統(tǒng)安裝并創(chuàng)建域時(shí)自動(dòng)創(chuàng)建的，其他用戶(hù)賬戶(hù)是在安裝一些服務(wù)器服務(wù)和應(yīng)用程序后自動(dòng)創(chuàng)建的。每個(gè)內(nèi)置賬戶(hù)均有不同的權(quán)利和權(quán)限組合。 Administrator賬戶(hù)具有最廣泛的權(quán)利和權(quán)限，而 Guest賬戶(hù)的權(quán)利和權(quán)限則有限。 圖 62 “Active Directory用戶(hù)和計(jì)算機(jī) ” 管理工具窗口 這三個(gè)默認(rèn)用戶(hù)賬戶(hù)的相應(yīng)權(quán)限參見(jiàn)書(shū)本 P206頁(yè)的表 63。 域默認(rèn)組賬戶(hù) 默認(rèn)組 是當(dāng)創(chuàng)建 Active Directory域時(shí)自動(dòng)創(chuàng)建的安全組。可以使用這些預(yù)定義的組幫助您控制對(duì)共享資源的訪問(wèn)，并委派特定的域范圍的管理角色 .許多默認(rèn)組被自動(dòng)指派一組用戶(hù)權(quán)利，授權(quán)組中的成員執(zhí)行域中的特定操作，例如，Backup Operators組的成員有權(quán)對(duì)域中的所有域控制器執(zhí)行備份操作。當(dāng)您將用戶(hù)添加到組中時(shí)，用戶(hù)將接受指派給該組的所有用戶(hù)權(quán)利以及指派給該組的有關(guān)任何共享資源的所有權(quán)限。 可以通過(guò)使用 “ Active Directory用戶(hù)和計(jì)算機(jī) ” 管理工具來(lái)管理組。默認(rèn)組位于 “ Builtin”容器和 “ Users”容器中?！?Builtin”容器包含用本地域作用域定義的組； “ Users”容器包含通過(guò)全局作用域定義的組和通過(guò)本地域作用域定義的組兩類(lèi)。可將這些容器中的組移動(dòng)到域中的其他組或組織單位，但不能將它們移動(dòng)到其他域。 詳細(xì)的默認(rèn)組功能和權(quán)限參見(jiàn)書(shū)本 P207頁(yè)的表 64和 P208頁(yè)的表 65。 域用戶(hù)權(quán)限分配
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1