【正文】 33961 IE的安全設置 ? 常規(guī) ? 安全 ? 高級 身 份 認 證 訪問控制 安全配置程序 數(shù)據(jù)的安全 EFS IPSec SSL/TLS TCP/IP Kerberos 證書服務 智能卡 安全模板 組策略 權(quán)限控制 安全分析 安全策略 組權(quán)限 NTLM 安全管理與維護 保護注冊表 用戶管理 漏洞與補丁 數(shù)據(jù)備份 Win2022基本安全注意事項 用戶管理 ? 更改超級管理名稱 ? 取消 guest帳號 ? 合理分配其它用戶權(quán)限 Regedit與 Regedt32的區(qū)別 regedit regedt32 使用較新的 Windows 9x/me用戶界面 使用較早的 可搜索：鍵名、值名、值內(nèi)容 只能搜索鍵名 可以搜索并編輯遠程注冊表 可以搜索并編輯遠程注冊表 在一個窗口中顯示整個注冊表 對每一控制項顯示各自的窗口 可以導出、導入文本文件 可以導出但不能導入文本文件 不能導出或?qū)攵M制文件 可以導出并導入二進制文件 不能提供“只讀”模式 提供“只讀”模式，但不作為缺省形式 不提供安全特性 支持完整的 Windows NT/2022訪問控制和審計 存放在 winnt文件夾里 存放在 winnt\system32文件里 只完全支持 Windows 9x/me 注冊表數(shù)據(jù)類型（字符串、二進制、DWORD） 支持全部 Windows NT/2022注冊表數(shù)據(jù)類型 /字符串、二進制、 DWORD、多字符串、可擴展字符串、資源描述 注冊表安全設置 ? 不顯示上次登錄的用戶名 ? 禁止默認網(wǎng)絡共享 ? 禁止枚舉域內(nèi)用戶 ? 防范 SYN攻擊 不顯示上次登錄用戶名 HKLM\Software\Microsoft\Windows NT\CurrentVersions\Windlogon將DontDisplayLastUserName的值設為 1 刪除默認網(wǎng)絡共享 服務器 : Key: HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters Name: AutoShareServer Type: DWORD Value: 0 工作站： Key: HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters Name: AutoShareWks Type: DWORD Value: 0 禁止枚舉用戶名和共享 Key:HKLM\SYSTEM\CurrentControlSet\Control\Lsa Name: RestrictAnonymous Type: REG_DWORD Value: 1 | 2 備份和還原數(shù)據(jù) ? 將文件備份到文件或磁帶 ? 備份 “ 系統(tǒng)狀態(tài) ” 數(shù)據(jù) ? 使用備份向?qū)浞菸募? ? 計劃備份 ? 將文件備份到 Microsoft Exchange 系統(tǒng)漏洞及修復 ? 輸入法漏洞 ? 空會話漏洞 ? unicode漏洞 ? .ida/.idq緩沖區(qū)溢出漏洞 ? .print isapi擴展遠程緩沖區(qū)溢出 ? Frontpage 服務器擴展漏洞 ? sqlserver 空口令 ?Windows接口遠程緩沖區(qū)漏洞 練習 ? 將默認共享刪除。 ? 安全地配置 IIS。 ? 設置禁止空會話。 ? 合理管理用戶并設置用戶權(quán)限。 ?為什么要介紹 windows NT安全 ?Windows NT體系統(tǒng)構(gòu)架 ?Windows NT安全模型 ?Windows NT安全配置 ?Windows NT的審計分析 Windows系統(tǒng)安全配置 安全審核與日志 審計成功：可以確定用戶或服務獲得訪問指定文件、打印機或其他對象的頻率 審計失?。壕婺切┛赡馨l(fā)生的安全泄漏 ?訪問文件夾的審核 ?審核策略 ?安全事件查看并分析 windowsNT日志 ? 系統(tǒng)日志 跟蹤各種各樣的系統(tǒng)事件，比如跟蹤系統(tǒng)啟動過程中的事件或者硬件和控制器的故障。 ? 應用程序日志 跟蹤應用程序關聯(lián)的事件，比如應用程序產(chǎn)生的象裝載 DLL （動態(tài)鏈接庫）失敗的信息將出現(xiàn)在日志中。 ? 安全日志 跟蹤事件如登錄上網(wǎng)、下網(wǎng)、改變訪問權(quán)限以及系統(tǒng)啟動和關閉。注意：安全日志的默認狀態(tài)是關閉的。 日志 ? Inter信息服務 FTP日志默認位置： ? %systemroot%/system32logfiles/msftpsvc1 默認每天一個日志 ? Inter 信息服務 WWW 日志默認位置： ： ? %systemroot%/system32/logfiles/w3svc1 ，默認每天一個日志 ? FTP 日志和 WWW 日志文件名通常為 ex （年份）（月份）（日期），例如 ex001023 就是 2022 年 10 月 23 日產(chǎn)生的日志，用記事本就可直接打開 ? Scheduler服務日志默認位置： %systemroot%/ 日志分析 ? FTP日志分析， 如下例： ? Software: Microsoft Inter Information Services （微軟 ） ? Version: （版本 ） ? Date: 20221023 03:11:55 （服務啟動時間日期） ? 03:11:55 [1]USER administator 331 （ IP地址為 用戶名為 administator 試圖登錄） ? 03:11:58 [1]PASS 530 （登錄失?。? ? 03:12:04 [1]USER nt 331 （ IP地址為 nt的用戶試圖登錄） ? 03:12:06 [1]PASS 530 （登錄失?。? ? 03:12:32 [1]USER administrator 331 （（ IP地址為 用戶名為 administrator 試圖登錄） ? 03:12:34 [1]PASS 230 （登錄成功） （登錄成功） ? 03:12:41 [1]MKD nt 550 （新建目錄失?。? ? 03:12:45 [1]QUIT 550 （退出 FTP 程序） 日志分析 日志 Software: Microsoft Inter Information Services Version: Date: 20220811 05:30:32 Fields: date time cip csusername sip sport csmethod csuristem csuriquery scstatus cs(UserAgent) 20220811 05:30:32 80 GET /scripts/..%5c..%5cwinnt/system32/ /c+dir+c:\ 200 Mozilla/+(patible。+MSIE+。+Windows+NT+) 20220811 07:24:01 80 GET /scripts/..%5c..%5cwinnt/system32/ /c+copy%20c:\winnt\system32\% 502 Mozilla/+(patible。+MSIE+。+Windows+NT+) 20220820 03:00:35 80 GET /RejectedByUrlScan ~/scripts/..%c1%af../winnt/system32/ 404 練習 ? 審計 c:\ipub目錄的訪問 ? 分析 HTTP日志 ? 審核注冊表啟動項的訪問 總結(jié) ?為什么要介紹 windows NT安全 ?Windows NT體系構(gòu)架 ?Windows NT安全模型 ?Windows NT安全配置 ?Windows NT的審計分析 Any questions?