安全配置方案中級篇主要介紹操作系統(tǒng)的安全策略配置,包括十條基本配置原則:
　　(1)操作系統(tǒng)安全策略,(2)關閉不必要的服務 (3)關閉不必要的端口, (4)開啟審核策略 (5)開啟密碼策略, (6)開啟帳戶策略,(7)備份敏感文件,(8)不顯示上次登陸名,(9)禁止建立空連接 (10)下載最新的補丁
　　1 操作系統(tǒng)安全策略
　　利用Windows 2000的安全配置工具來配置安全策略,微軟提供了一套的基于管理控制臺的安全配置和分析工具,可以配置服務器的安全策略.在管理工具中可以找到"本地安全策略".可以配置四類安全策略:帳戶策略,本地策略,公鑰策略和IP安全策略.在默認的情況下,這些策略都是沒有開啟的.
　　2 關閉不必要的服務
　　Windows 2000的Terminal Services(終端服務)和IIS(Internet 信息服務)等都可能給系統(tǒng)帶來安全漏洞.為了能夠在遠程方便的管理服務器,很多機器的終端服務都是開著的,如果開了,要確認已經(jīng)正確的配置了終端服務.
　　有些惡意的程序也能以服務方式悄悄的運行服務器上的終端服務.要留意服務器上開啟的所有服務并每天檢查.Windows2000可禁用的服務服務名說明
　　Computer Browser維護網(wǎng)絡上計算機的最新列表以及提供這個列表Task scheduler允許程序在指定時間運行Routing and Remote Access在局域網(wǎng)以及廣域網(wǎng)環(huán)境中為企業(yè)提供路由服務Removable storage管理可移動媒體,驅動程序和庫Remote Registry Service允許遠程注冊表操作Print Spooler將文件加載到內(nèi)存中以便以后打印.要用打印機的用戶不能禁用這項服務IPSEC Policy Agent管理IP安全策略以及啟動ISAKMP/Oakley(IKE)和IP安全驅動程序Distributed Link Tracking Client當文件在網(wǎng)絡域的NTFS卷中移動時發(fā)送通知Com+ Event System提供事件的自動發(fā)布到訂閱COM組件。
　　3 關閉不必要的端口
　　關閉端口意味著減少功能,如果服務器安裝在防火墻的后面,被入侵的機會就會少一些,但是不可以認為高枕無憂了.用端口掃描器掃描系統(tǒng)所開放的端口,在Winnt\system32\drivers\etc\services文件中有知名端口和服務的對照表可供參考.該文件用記事本打開.
　　設置本機開放的端口
　　設置本機開放的端口和服務,在IP地址設置窗口中點擊按鈕"高級"。
　　在出現(xiàn)的對話框中選擇選項卡"選項",選中 "TCP/IP篩選",點擊按鈕"屬性".
　　設置端口界面.
　　一臺Web服務器只允許TCP的80端口通過就可以了.TCP/IP篩選器是Windows自帶的防火墻,功能比較強大,可以替代防火墻的部分功能.
　　4 開啟審核策略
　　安全審核是Windows 2000最基本的入侵檢測方法.當有人嘗試對系統(tǒng)進行某種方式(如嘗試用戶密碼,改變帳戶策略和未經(jīng)許可的文件訪問等等)入侵的時候,都會被安全審核記錄下來.必須開啟的審核如下表:
　　策略設置
　　審核系統(tǒng)登陸事件成功,失敗
　　審核帳戶管理成功,失敗
　　審核登陸事件成功,失敗
　　審核對象訪問成功
　　審核策略更改成功,失敗
　　審核特權使用成功,失敗
　　審核系統(tǒng)事件成功,失敗
　　審核策略默認設置
　　審核策略在默認的情況下都是沒有開啟的.
　　設置審核策略
　　雙擊審核列表的某一項,出現(xiàn)設置對話框,將復選框"成功"和"失敗"都選中.
　　5 開啟密碼策略
　　密碼對系統(tǒng)安全非常重要.本地安全設置中的密碼策略在默認的情況下都沒有開啟.需要開啟的密碼策略如表所示
　　策略設置
　　密碼復雜性要求啟用
　　密碼長度最小值6位
　　密碼最長存留期15天
　　強制密碼歷史5個
　　設置密碼策略
　　設置選項.
　　6 開啟帳戶策略
　　開啟帳戶策略可以有效的防止字典式攻擊.
　　策略設置
　　復位帳戶鎖定計數(shù)器30分鐘
　　帳戶鎖定時間30分鐘
　　帳戶鎖定閾值5次
　　設置帳戶策略
　　7 備份敏感文件
　　把敏感文件存放在另外的文件服務器中;把一些重要的用戶數(shù)據(jù)(文件,數(shù)據(jù)表和項目文件等)存放在另外一個安全的服務器中,并且經(jīng)常備份它們．
　　8 不顯示上次登錄名
　　默認情況下,終端服務接入服務器時,登陸對話框中會顯示上次登陸的帳戶名,本地的登陸對話框也是一樣.黑客們可以得到系統(tǒng)的一些用戶名,進而做密碼猜測.修改注冊表禁止顯示上次登錄名,在HKEY_LOCAL_MACHINE主鍵
　　下修改子鍵Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\Dont
　　DisplayLastUserName,將鍵值改成1.
　　9 禁止建立空連接
　　默認情況下,任何用戶通過空連接連上服務器,進而可以枚舉出帳號,猜測密碼. 可以通過修改注冊表來禁止建立空連接.在HKEY_LOCAL_MACHINE主鍵下修改子鍵:
　　System\CurrentControlSet\Control\LSA\RestrictAnon ymous,將鍵值改成"1"即可.
　　10 下載最新的補丁
　　很多網(wǎng)絡管理員沒有訪問安全站點的習慣,以至于一些漏洞都出了很久了,還放著服務器的漏洞不補給人家當靶子用.經(jīng)常訪問微軟和一些安全站點,下載最新的Service Pack和漏洞補丁,是保障服務器長久安全的唯一方法.