操作系統(tǒng)安全配置方案(ppt72頁)(編輯修改稿)
2025-02-09 02:05 本頁面
【文章內(nèi)容簡介】 驅(qū)動程序和庫 Remote Registry Service 允許遠程注冊表操作 Print Spooler 將文件加載到內(nèi)存中以便以后打印。要用打印機的用戶不能禁用這項服務(wù) IPSEC Policy Agent 管理 IP安全策略以及啟動ISAKMP/Oakley(IKE)和 IP安全驅(qū)動程序 Distributed Link Tracking Client 當(dāng)文件在網(wǎng)絡(luò)域的 NTFS卷中移動時發(fā)送通知 Com+ Event System 提供事件的自動發(fā)布到訂閱COM組件 28 3 關(guān)閉不必要的端口 ? 關(guān)閉端口意味著減少功能，如果服務(wù)器安裝在防火墻的后面，被入侵的機會就會少一些，但是不可以認為高枕無憂了。 ? 用端口掃描器掃描系統(tǒng)所開放的端口，在Winnt\system32\drivers\etc\services文件中有知名端口和服務(wù)的對照表可供參考。該文件用記事本打開如圖 6_7所示。 29 ? 設(shè)置本機開放的端口和服務(wù)，在 IP地址設(shè)置窗口中點擊按鈕“高級”，如圖 6_8所示。 30 ? 在出現(xiàn)的對話框中選擇選項卡“選項”，選中“ TCP/IP篩選”，點擊按鈕“屬性”，如圖6_9所示。 31 ? 設(shè)置端口界面如圖 6_10所示。 ? 一臺 Web服務(wù)器只允許 TCP的 80端口通過就可以了。TCP/IP篩選器是 Windows自帶的防火墻，功能比較強大，可以替代防火墻的部分功能。 32 4 開啟審核策略 ? 安全審核是 Windows 2023最基本的入侵檢測方法。當(dāng)有人嘗試對系統(tǒng)進行某種方式（如嘗試用戶密碼，改變帳戶策略和未經(jīng)許可的文件訪問等等）入侵的時候，都會被安全審核記錄下來。 ? 很多的管理員在系統(tǒng)被入侵了幾個月都不知道，直到系統(tǒng)遭到破壞。表6_2的這些審核是必須開啟的，其他的可以根據(jù)需要增加。 策略 設(shè)置 審核系統(tǒng)登陸事件 成功，失敗 審核帳戶管理 成功，失敗 審核登陸事件 成功，失敗 審核對象訪問 成功 審核策略更改 成功，失敗 審核特權(quán)使用 成功，失敗 審核系統(tǒng)事件 成功，失敗 33 審核策略默認設(shè)置 ? 審核策略在默認的情況下都是沒有開啟的，如圖 6_11所示。 34 ? 雙擊審核列表的某一項，出現(xiàn)設(shè)置對話框，將復(fù)選框“成功”和“失敗”都選中，如圖 6_12所示。 35 5 開啟密碼策略 ? 密碼對系統(tǒng)安全非常重要。本地安全設(shè)置中的密碼策略在默認的情況下都沒有開啟。需要開啟的密碼策略如表 6_3所示 策略 設(shè)置 密碼復(fù)雜性要求 啟用 密碼長度最小值 6位 密碼最長存留期 15天 強制密碼歷史 5個 36 ? 設(shè)置選項如圖 6_13所示。 37 6 開啟帳戶策略 ? 開啟帳戶策略可以有效的防止字典式攻擊，設(shè)置如表 6_4所示。 策略 設(shè)置 復(fù)位帳戶鎖定計數(shù)器 30分鐘 帳戶鎖定時間 30分鐘 帳戶鎖定閾值 5次 38 設(shè)置帳戶策略 ? 設(shè)置的結(jié)果如圖 6_14所示。 39 7 備份敏感文件 ? 把敏感文件存放在另外的文件服務(wù)器中，雖然服務(wù)器的硬盤容量都很大，但是還是應(yīng)該考慮把一些重要的用戶數(shù)據(jù)（文件，數(shù)據(jù)表和項目文件等）存放在另外一個安全的服務(wù)器中，并且經(jīng)常備份它們 40 8 不顯示上次登錄名 ? 默認情況下，終端服務(wù)接入服務(wù)器時，登陸對話框中會顯示上次登陸的帳戶名，本地的登陸對話框也是一樣。黑客們可以得到系統(tǒng)的一些用戶名，進而做密碼猜測。 ? 修改注冊表禁止顯示上次登錄名，在 HKEY_LOCAL_MACHINE主鍵下修改子鍵： ? Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\DontDisplayLastUserName，將鍵值改成 1，如圖 6_15所示。 41 9 禁止建立空連接 ? 默認情況下，任何用戶通過空連接連上服務(wù)器，進而可以枚舉出帳號，猜測密碼。 ? 可以通過修改注冊表來禁止建立空連接。在HKEY_LOCAL_MACHINE主鍵下修改子鍵： ? System\CurrentControlSet\Control\LSA\RestrictAnonymous，將鍵值改成“ 1”即可。如圖 6_16所示。 42 10 下載最新的補丁 ? 很多網(wǎng)絡(luò)管理員沒有訪問安全站點的習(xí)慣，以至于一些漏洞都出了很久了，還放著服務(wù)器的漏洞不補給人家當(dāng)靶子用。 ? 誰也不敢保證數(shù)百萬行以上代碼的 Windows 2023不出一點安全漏洞。 ? 經(jīng)常訪問微軟和一些安全站點，下載最新的 Service Pack和漏洞補丁，是保障服務(wù)器長久安全的唯一方法。 43 安全配置方案高級篇 ? 高級篇介紹操作系統(tǒng)安全信息通信配置，包括十四條配置原則： ? 關(guān)閉 DirectDraw、關(guān)閉默認共享 ? 禁用 Dump File、文件加密系統(tǒng) ? 加密 Temp文件夾、鎖住注冊表、關(guān)機時清除文件 ? 禁止軟盤光盤啟動、使用智能卡、使用 IPSec ? 禁止判斷主機類型、抵抗 DDOS ? 禁止 Guest訪問日志和數(shù)據(jù)恢復(fù)軟件 44 1 關(guān)閉 DirectDraw ? C2級安全標(biāo)準(zhǔn)對視頻卡和內(nèi)存有要求。關(guān)閉 DirectDraw可能對一些需要用到 Direct
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1