【文章內(nèi)容簡(jiǎn)介】 ? 將屏幕保護(hù)的選項(xiàng)“密碼保護(hù)”選中就可以了，并將等待時(shí)間設(shè)置為最短時(shí)間“ 1秒”，如圖 75所示。 10 NTFS分區(qū) ? 把服務(wù)器的所有分區(qū)都改成 NTFS格式。NTFS文件系統(tǒng)要比 FAT、 FAT32的文件系統(tǒng)安全得多。 11防毒軟件 ? Windows 2023/NT服務(wù)器一般都沒有安裝防毒軟件的，一些好的殺毒軟件不僅能殺掉一些著名的病毒，還能查殺大量木馬和后門程序。 ? 設(shè)置了放毒軟件，“黑客”們使用的那些有名的木馬就毫無用武之地了，并且要經(jīng)常升級(jí)病毒庫。 12備份盤的安全 ? 一旦系統(tǒng)資料被黑客破壞，備份盤將是恢復(fù)資料的唯一途徑。備份完資料后，把備份盤防在安全的地方。 ? 不能把資料備份在同一臺(tái)服務(wù)器上，這樣的話還不如不要備份。 安全配置方案中級(jí)篇 ? 安全配置方案中級(jí)篇主要介紹操作系統(tǒng)的安全策略配置，包括十條基本配置原則： ? 操作系統(tǒng)安全策略、關(guān)閉不必要的服務(wù) ? 關(guān)閉不必要的端口、開啟審核策略 ? 開啟密碼策略、開啟帳戶策略、備份敏感文件 ? 不顯示上次登陸名、禁止建立空連接和下載最新的補(bǔ)丁 1 操作系統(tǒng)安全策略 ? 利用 Windows 2023的安全配置工具來配置安全策略，微軟提供了一套的基于管理控制臺(tái)的安全配置和分析工具，可以配置服務(wù)器的安全策略。 ? 在管理工具中可以找到“本地安全策略”，主界面如圖 76所示。 ? 可以配置四類安全策略：帳戶策略、本地策略、公鑰策略和 IP安全策略。在默認(rèn)的情況下，這些策略都是沒有開啟的。 2 關(guān)閉不必要的服務(wù) ? Windows 2023的 Terminal Services（終端服務(wù)）和 IIS（ Inter 信息服務(wù)）等都可能給系統(tǒng)帶來安全漏洞。 ? 為了能夠在遠(yuǎn)程方便的管理服務(wù)器，很多機(jī)器的終端服務(wù)都是開著的，如果開了，要確認(rèn)已經(jīng)正確的配置了終端服務(wù)。 ? 有些惡意的程序也能以服務(wù)方式悄悄的運(yùn)行服務(wù)器上的終端服務(wù)。要留意服務(wù)器上開啟的所有服務(wù)并每天檢查。 ? Windows 2023作為服務(wù)器可禁用的服務(wù)及其相關(guān)說明如表 71所示。 Windows2023可禁用的服務(wù) 服務(wù)名 說明 Computer Browser 維護(hù)網(wǎng)絡(luò)上計(jì)算機(jī)的最新列表以及提供這個(gè)列表 Task scheduler 允許程序在指定時(shí)間運(yùn)行 Routing and Remote Access 在局域網(wǎng)以及廣域網(wǎng)環(huán)境中為企業(yè)提供路由服務(wù) Removable storage 管理可移動(dòng)媒體、驅(qū)動(dòng)程序和庫 Remote Registry Service 允許遠(yuǎn)程注冊(cè)表操作 Print Spooler 將文件加載到內(nèi)存中以便以后打印。要用打印機(jī)的用戶不能禁用這項(xiàng)服務(wù) IPSEC Policy Agent 管理 IP安全策略以及啟動(dòng)ISAKMP/Oakley(IKE)和 IP安全驅(qū)動(dòng)程序 Distributed Link Tracking Client 當(dāng)文件在網(wǎng)絡(luò)域的 NTFS卷中移動(dòng)時(shí)發(fā)送通知 Com+ Event System 提供事件的自動(dòng)發(fā)布到訂閱 COM組件 3 關(guān)閉不必要的端口 ? 關(guān)閉端口意味著減少功能，如果服務(wù)器安裝在防火墻的后面，被入侵的機(jī)會(huì)就會(huì)少一些，但是不可以認(rèn)為高枕無憂了。 ? 用端口掃描器掃描系統(tǒng)所開放的端口，在Winnt\system32\drivers\etc\services文件中有知名端口和服務(wù)的對(duì)照表可供參考。該文件用記事本打開如圖 77所示。 ? 設(shè)置本機(jī)開放的端口和服務(wù)，在 IP地址設(shè)置窗口中點(diǎn)擊按鈕“高級(jí)”，如圖 78所示。 ? 在出現(xiàn)的對(duì)話框中選擇選項(xiàng)卡“選項(xiàng)”，選中“ TCP/IP篩選”，點(diǎn)擊按鈕“屬性”，如圖 79所示。 ? 設(shè)置端口界面如圖 710所示。 ? 一臺(tái) Web服務(wù)器只允許 TCP的 80端口通過就可以了。TCP/IP篩選器是 Windows自帶的防火墻，功能比較強(qiáng)大，可以替代防火墻的部分功能。 4 開啟審核策略 ? 安全審核是 Windows 2023最基本的入侵檢測(cè)方法。當(dāng)有人嘗試對(duì)系統(tǒng)進(jìn)行某種方式（如嘗試用戶密碼，改變帳戶策略和未經(jīng)許可的文件訪問等等）入侵的時(shí)候，都會(huì)被安全審核記錄下來。 ? 很多的管理員在系統(tǒng)被入侵了幾個(gè)月都不知道，直到系統(tǒng)遭到破壞。表 72的這些審核是必須開啟的，其他的可以根據(jù)需要增加。 策略 設(shè)置 審核系統(tǒng)登陸事件 成功，失敗 審核帳戶管理 成功，失敗 審核登陸事件 成功，失敗 審核對(duì)象訪問 成功 審核策略更改 成功，失敗 審核特權(quán)使用 成功，失敗 審核系統(tǒng)事件 成功，失敗 審核策略默認(rèn)設(shè)置 ? 審核策略在默認(rèn)的情況下都是沒有開啟的，如圖711所示。 ? 雙擊審核列表的某一項(xiàng)，出現(xiàn)設(shè)置對(duì)話框，將復(fù)選框“成功”和“失敗”都選中，如圖 712所示。 5 開啟密碼策略 ? 密碼對(duì)系統(tǒng)安全非常重要。本地安全設(shè)置中的密碼策略在默認(rèn)的情況下都沒有開啟。需要開啟的密碼策略如表 73所示 策略 設(shè)置 密碼復(fù)雜性要求 啟用 密碼長(zhǎng)度最小值 6位 密碼最長(zhǎng)存留期 15天 強(qiáng)制密碼歷史 5個(gè) ? 設(shè)置選項(xiàng)如圖 713所示。 6 開啟帳戶策略 ? 開啟帳戶策略可以有效的防止字典式攻擊，設(shè)置如表 74所示。 策略 設(shè)置 復(fù)位帳戶鎖定計(jì)數(shù)器 30分鐘 帳戶鎖定時(shí)間 30分鐘 帳戶鎖定閾值 5次 設(shè)置帳戶策略 ? 設(shè)置的結(jié)果如圖 714所示。 7 備份敏感文件 ? 把敏感文件存放在另外的文件服務(wù)器中，雖然服務(wù)器的硬盤容量都很大，但是還是應(yīng)該考慮把一些重要的用戶數(shù)據(jù)（文件，數(shù)據(jù)表和項(xiàng)目文件等）存放在另外一個(gè)安全的服務(wù)器中，并且經(jīng)常備份它們 8 不顯示上次登錄名 ? 默認(rèn)情況下，終端服務(wù)接入服務(wù)器時(shí)，登陸對(duì)話框中會(huì)顯示上次登陸的帳戶名，本地的登陸對(duì)話框也是一樣。黑客們可以得到系統(tǒng)的一些用戶名，進(jìn)而做密碼猜測(cè)。 ? 修改注冊(cè)表禁止顯示上次登錄名，在 HKEY_LOCAL_MACHINE主鍵下修改子鍵： ? Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\DontDisplayLastUserName，將鍵值改成 1，如圖 715所示。 9 禁止建立空連接 ? 默認(rèn)情況下，任何用戶通過空連接連上服務(wù)器，進(jìn)而可以枚舉出帳號(hào)，猜測(cè)密碼。 ? 可以通過修改注冊(cè)表來禁止建立空連接。在HKEY_LOCAL_MACHINE主鍵下修改子鍵： ? System\CurrentControlSet\Control\LSA\RestrictAnonymous，將鍵值改成“ 1”即可。如圖 716所示。 10 下載最新的補(bǔ)丁 ? 很多網(wǎng)絡(luò)管理員沒有訪問安全站點(diǎn)的習(xí)慣，以至于一些漏洞都出了很久了，還放著服務(wù)器的漏洞不補(bǔ)給人家當(dāng)靶子用。 ? 誰也不敢保證數(shù)百萬行以上代碼的 Windows 2023不出一點(diǎn)安全漏洞。 ? 經(jīng)常訪問微軟和一些安全站點(diǎn)，下載最新的 Service Pack和漏洞補(bǔ)丁，是保障服務(wù)器長(zhǎng)久安全的唯一方法。 安全配置方案高級(jí)篇 ? 高級(jí)篇介紹操作系統(tǒng)安全信息通信配置，包括十四條配置原則： ? 關(guān)閉 DirectDraw、關(guān)閉默認(rèn)共享 ? 禁用 Dump File、文件加密系統(tǒng) ? 加密 Temp文件夾、鎖住注冊(cè)表、關(guān)機(jī)時(shí)清除文件 ? 禁止軟盤光盤啟動(dòng)、使用智能卡、使用 IPSec ? 禁止判斷主機(jī)類型、抵抗 DDOS ? 禁止 Guest訪問日志和數(shù)據(jù)恢復(fù)軟件 1 關(guān)閉 DirectDraw ? C2級(jí)安全標(biāo)準(zhǔn)對(duì)視頻卡和內(nèi)存有要求。關(guān)閉 DirectDraw可能對(duì)一些需要用到 DirectX的程序有影響（比如游戲），但是對(duì)于絕大多數(shù)的商業(yè)站點(diǎn)都是沒有影響的。 ? 在 HKEY_LOCAL_MACHINE主鍵下修改子鍵： ? SYSTEM\CurrentControlSet\Control\GraphicsDrivers\DCI\Timeout，將鍵值改為“ 0”即可，如圖 717所示。 2 關(guān)閉默認(rèn)共享 ? Windows 2023安裝以后，系統(tǒng)會(huì)創(chuàng)建一些隱藏的共享，可以在 DOS提示符下輸入命令 Net Share 查看，如圖 718所示。 停止默認(rèn)共享 ? 禁止這些共享，打開管理工具 計(jì)算機(jī)管理 共享文件夾 共享，在相應(yīng)的共享文件夾上按右鍵，點(diǎn)停止共享即可，如圖 719所示。 3 禁用 Dump文件 ? 在系統(tǒng)崩潰和藍(lán)屏的時(shí)候， Dump文件是一份很有用資料，可以幫助查找問題。然而，也能夠給黑客提供一些敏感信息，比如一些應(yīng)用程序的密碼等 ? 需要禁止它，打開控制面板 系統(tǒng)屬性 高級(jí) 啟動(dòng)和故障恢復(fù)，把寫入調(diào)試信息改成無，如圖 720所示。 4 文件加密系統(tǒng) ? Windows2023強(qiáng)大的加密系統(tǒng)能夠給磁盤，文件夾，文件加上一層安全保護(hù)。這樣可以防止別人把你的硬盤掛到別的機(jī)器上以讀出里面的數(shù)據(jù)。 ? 微軟公司為了彌補(bǔ) Windows NT ，在 Windows 2023中，提供了一種基于新一代 NTFS： NTFS V5（第 5版本）的加密文件系統(tǒng)（ Encrypted File System，簡(jiǎn)稱 EFS）。 ? EFS實(shí)現(xiàn)的是一種基于公共密鑰的數(shù)據(jù)加密方式，利用了Windows 2023中的 CryptoAPI結(jié)構(gòu)。 5 加密 Temp文件夾 ? 一些應(yīng)用程序在安裝和升級(jí)的時(shí)候，會(huì)把一些東西拷貝到Temp文件夾，但是當(dāng)程序升級(jí)完畢或關(guān)閉的時(shí)候，并不會(huì)自己清除 Temp文件夾的內(nèi)容。 ? 所以，給 Temp文件夾加密可以給你的文件多一層保護(hù)。 6 鎖住注冊(cè)表 ? 在 Windows2023中，只有 Administrators和 Backup Operators才有從網(wǎng)絡(luò)上訪問注冊(cè)表的權(quán)限。當(dāng)帳號(hào)的密碼泄漏以后，黑客也可以在遠(yuǎn)程訪問注冊(cè)表，當(dāng)服務(wù)器放到網(wǎng)絡(luò)上的時(shí)候，一般需要鎖定注冊(cè)表。修改Hkey_current_user下的子鍵 ? Software\microsoft\windows\currentversion\Policies\system ? 把 DisableRegistryTools的值該為 0，類型為 DWORD，如圖 721所示。 7 關(guān)機(jī)時(shí)清除文件 ? 頁面文件也就是調(diào)度文件，是 Windows 2023用來存儲(chǔ)沒有裝入內(nèi)存的程序和數(shù)據(jù)文件部分的隱藏文件。 ? 一些第三方的程序可以把一些沒有的加密的密碼存在內(nèi)存中，頁面文件中可能含有另外一些敏感的資料。要在關(guān)機(jī)的時(shí)候清楚頁面文件，可以編輯注冊(cè)表 修改主鍵 HKEY_LOCAL_MACHINE下的子鍵： ? SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management ? 把 ClearPageFileAtShutdown的值設(shè)置成 1，如圖 722所示。 8 禁止軟盤光盤啟動(dòng) ? 一些第三方的工具能通過引導(dǎo)系統(tǒng)來繞過原有的安全機(jī)制。比如一些管理員工具，從軟盤上或者光盤上引導(dǎo)系統(tǒng)以后，就可以修改硬盤上操作系統(tǒng)的管理員密碼。 ? 如果服務(wù)器對(duì)安全要求非常高，可以考慮使用可移動(dòng)軟盤和光驅(qū)，把機(jī)箱鎖起來仍然不失為一個(gè)好方法。 9 使用智能卡 ? 對(duì)于密碼，總是使安全管理員進(jìn)退兩難，容易受到一些工具的攻擊，如果密碼太復(fù)雜，用戶把為了記住密碼，會(huì)把密碼到處亂寫。 ? 如果條件允許，用智能卡來代替復(fù)雜的密碼是一個(gè)很好的解決方法。 10 使用 IPSec ? 正如其名字的含義， IPSec提供 IP數(shù)據(jù)包的安全性。 ? IPSec提供身份驗(yàn)證、完整性和可選擇的機(jī)密性。發(fā)送方計(jì)算機(jī)在傳輸之前加密數(shù)據(jù)，而接收方計(jì)算機(jī)在收到數(shù)據(jù)之后解密數(shù)據(jù)。 ? 利用 IPSec可以使得系統(tǒng)的安全性能大大增強(qiáng)。 11 禁止判斷主機(jī)類型 ? 黑客利用 TTL（ TimeToLive，活動(dòng)時(shí)間）值可以鑒別操作系統(tǒng)的類型，通過 Ping指令能判斷目標(biāo)主機(jī)類型。 Ping的用處是檢測(cè)目標(biāo)主機(jī)是否連通。 ? 許多入侵者首先會(huì) Ping一下主機(jī)，因?yàn)楣裟骋慌_(tái)計(jì)算機(jī)需要根據(jù)對(duì)方的操作系統(tǒng)，是 Windows還是 Unix。如過 TTL值為 128就可以認(rèn)為你的系統(tǒng)為 Windows 2023，如圖 723所示。 ? 從圖中可以看出， TTL值為 128，說明改主機(jī)的操作系統(tǒng)是Windows 2023操作系統(tǒng)。表 76給出了一些常見操作系統(tǒng)的對(duì)照值。 操作系統(tǒng)類型 TTL返回值