《Windows NT网络操作系统的安全管理.ppt》由会员分享，可在线阅读，更多相关《Windows NT网络操作系统的安全管理.ppt（40页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、第3章WindowsNT网络操作系统的安全3.1WindowsNT的安全环境3.2WindowsNT的安全服务3.3WindowsNT的安全模式3.4WindowsNTServer的安全管理3.5基于WindowsNT建立安全的Web站点3.6安全工具大家都知道，所有的安全服务并非均由操作系统完成，如：认证或者数字签名等均由网络中的应用层来完成。如何对WindowsNT网络操作系统进行安全管理，一般是通过如下几个方面来进行的。访问控制通过对特定的网段以服务建立的访问控制体系，将绝大多数攻击阻止在到达攻击目标以前。检查安全漏洞通过对安全漏洞的周期检查，即使攻击可到达攻击目标，也可使绝大多数攻击无
2、效。监控系统通过对特定网段、服务建立的攻击监控体系，可实时检测出绝大多数攻击，并采取相应的行动（如断开网络连接、记录攻击过程、跟踪攻击源等）。加密通讯主动的加密通讯，可使攻击者不能了解、修改敏感信息。认证良好的认证体系可防止攻击者假冒合法用户。备份和恢复良好的备份和恢复机制，可在攻击造成损失时，尽快地恢复数据和系统服务。多层防御，攻击者在突破第一道防线后，延缓或阻断其到达攻击目标。隐藏内部信息使攻击者不能了解系统内的基本情况。设立安全监控中心为信息系统提供安全体系管理、监控、保护及紧急情况服务。3.1WindowsNT的安全环境一个安全的网络操作系统的安全性特征是贯穿于整个系统之中的，操作系统
3、要安全就必须保证文件系统、用户帐户目录、用户确认系统、内存管理、环境子系统等的安全性。WindowsNT的安全环境就是将保密性溶入每一个组件的创建过程中，并且它的设计达到了C2级认可的安全性系统的要求。WindowsNTServer的设计还能保护存储在计算机内存中的数据，使未授权的进程无法访问这些数据。如：用户Tom必须登录并由系统验证后才能进行数据访问，这时系统将验证它的身份和权限进行确认，这就能保证信息被完全保护并且只有被授权用户才能访问。3.2WindowsNT的安全服务所有的网络操作系统中的应用程序将被不同的用户进行访问（远程访问或本地访问），操作系统首先必须具有验证能力，才能知道这个
4、用户是不是合法的用户。验证一般有以下四种：某个具体内容如：用户名、/密码等。某个具体的设备如：ATM卡、密钥等，这是一种需要对某个唯一设备进行物理处理以确认用户的验证机制。某种特征如：指纹、视网膜扫描、声音检测等等。这是一种可以提供很高安全性的生物验证机制。某个位置如：网络适配卡地址等。如：基于全球卫星定位的系统等。可以提供基于用户位置的的验证信息。操作系统的验证机制一般体现在如下几个方面：支持的验证方法的数量。方法的强度。验证信息是否集成到所有安全操作中。3.2.1验证3.2.2访问控制当操作系统确认连接的用户是合法的用户，接下来就必须知道该用户的权限，也就是访问控制，即可以指定读，写，修改
5、，或者复制特定的系统对象的权限。访问控制有不同的级别，从字节级别到系统级别，并且可以基于一组系统级别模型：托管访问控制要求进行集中的授权以决定对某人什么是可以访问的-数据所有者和创建者不可以修改访问控制。自由选择访问控制允许对象的所有者定义和修改分配给对象的访问控制。基于角色的访问控制，允许给用户分配角色，然后对角色应用访问规则。这样可简化访问规则的管理并且可以提供更高的一致性。操作系统支持的访问控制可以根据可使用的粒度，用来强化控制的机制强度，以及集成到系统管理机制的程度。3.2.3责任最严格的安全防护也不能防止所有的安全事故。操作系统提供的安全功能中很重要的一点就是责任，它确保任何实体的动
6、作将唯一用该实体标识。一个实体可以是一个人，一个操作系统资源，或者一个外部系统，例如计算机或者网络。操作系统的责任服务把所有的安全相关事件同一个标识联系起来。根据以下两个指标评估责任：机制用来分配责任的强度。操作系统基于这个信息进行决策的能力。一、WindowsNT责任服务WindowsNT紧密绑定一个安全ID（SID，SecurityID），SID唯一标识一个主机或者域上的用户。SID是同一次用户登录连接的进程相联系的访问记号的一部分。它自动成为系统产生的任何审核纪录的一部分。该服务提供了所有的用户可以进行的动作的完整的责任-从文件访问到应用程序使用。跨越客户服务器互动的责任由Windows
7、NT客户-服务器访问验证维持。3.2.4审核从安全的观点看，审核是重现安全相关事件以支持对事件的原因和影响的检查。审核跟踪或者系统日志信息可以被用来判断是否有违反政策的事情发生或者是否有值得怀疑的事情。老练的侵入探测产品使用操作系统的审核踪迹作为分析的基础。审核踪迹还提供了跟踪复杂的安全性事故的来源和提供任何补救行动可能需要的证据的能力。可以根据下面的原则评估操作系统的安全审核能力：支持的安全相关事件的宽度和深度。可以用来保护审核踪迹的机制强度（黑客在闯入系统以后的第一步往往是关闭审核功能或者删除审核日志。）对处理大量由操作系统产生的审核数据的支持。一、WindowsNT审核服务Windows
8、NT提供了事件日志（EveNTLogging）。事件日志可以被配置在系统级别和对象级别纪录安全相关事件。系统事件包括登录和退出登录，文件和对象访问，用户权利的使用，用户和组管理，安全政策改变，重新启动和关机，系统错误，以及进程跟踪。文件和对象审核可以被控制在单个文件，目录，或者如果需要的话，也可以是驱动器。3.2.5安全分区从安全性的角度看，每一个系统实体（用户或者计算机资源）被分配一个安全分区，或者叫做域。一个安全域是一个逻辑结构，由实体被授权访问的所有对象组成。一个用户域也许包括存储空间，I/O设备，应用程序，以及其他元素。一个进程域只包含那些被授权使用的系统资源（数据，存储空间，I/O等
9、等）这个用户以及他们可以访问的资源的分区和分段同WindowsNT操作系统中使用的网络管理域是两个不同的概念。在系统实体创建的时候就定义一个域-发生在用户被添加到一个计算机系统的时候。该定义基于某些在较大的系统上为不同个体或者用户种类定义安全政策的信任模型上。域分离强制实体实现机制确保任何实体都真正现在它定义的域上操作，同时仍然坚持修改域定义的政策。强制域分离的操作系统机制的效力基于限制对授权域外访问的机制的强度。对进行中的域分离强制来说操作特性也是一个关键-如果域很难管理，系统管理员通常缺省使用很宽的域定义，这样可以最小化改变的影响，但是同时也大大的降低了能提供的安全级别。集成到目录结构中，
10、都基于角色的域定义的支持和其他高级机制都是很重要的因素。3.2.6完整性完整性是确保对象内容不会被未经授权的实体修改的能力。访问控制可以防止未授权修改，所有是一种完整性保护措施。其他的机制可以探测未授权修改而不是阻止它们这样做。检查和（Checksum）和轮询冗余检查是早期完整性探测机制的例子。完整性在电子消息和商务系统中起着至关重要的作用，在这种情况下，确保内容正确比保证消息的机密性更重要。在一个计算机系统中，完整性同时用于存储中的数据（系统文件，可执行文件，等等）和运动中的文件（消息，事务，等等）。保护操作系统的完整性是操作系统提供的一项基本服务。操作系统支持的完整性控制可以根据使用的机制
11、强度，应用的粒度以及提供的报告能力的级别来评估。3.2.7机密性敏感信息在计算机中可能以几种形式存在：存储在硬盘上或者其他永久存储介质上；存储在移动式存储器或者别的临时存储装置上；在网络上传输；在系统总线上传输。机密性确保信息只透露给授权的用户，而不管装载信息的容器的所有者是谁。在计算机系统中最常用的机密性实现是利用加密来编码或者搞乱数据以确保只有知道解密钥匙的人才能读取这些数据。还有其他一些方法可以实现机密性：物理安全，不透露协定，贸易伙伴协定，等等。操作系统提供的加密机制可以根据下面指标进行评估：保护机制的强度（通常是加密算法）；保护机制的透明度；该机制和其他系统安全控制的集成；机制对系统
12、操作的影响。3.2.8可管理性很难管理的安全机制通常会降低系统安全性，不管底层机制实际上是多么安全。安全性事故通常不是由于缺少安全性控制而是由于安全性控制没有被正确配置-导致把机密信息放在不安全的系统上。有许多因素决定了操作系统的可管理性。最重要的一个因素当然是系统管理员能力和操作系统之间的匹配。经验丰富，有才能的IT管理职员能够增强系统安全。在所管理的特定系统上积累经验同样也很重要。但是，特定系统会在短时间内升级或换代，所以不断的学习和认识也很重要。在本节的下面部分描述了操作系统安全方面的可管理性的非常关键的几个因素。1.缺省配置操作系统的缺省配置通常用作部署的基线。除非应用程序开发人员或者
13、IT组织进行专门的安全性推荐，否则在操作系统上运行的易感服务都不能完全阻止恶意攻击。考虑到应用程序开发和升级的周期缩短，操作系统的缺省安全配置就成为一个非常重要的考虑。2.工具和接口操作系统的复杂性给用户界面和其他相关的软件程序和工具带来了很大的负担。在操作系统的安全管理方面，一致性和可审核性是基本的问题，而管理安全控制的用户界面也起着一个关键的作用。安全政策需要在所有部署的服务器上一致应用。另外，还必须有配置和审核系统的工具和界面。软件工具支持定义全公司范围的操作系统缺省安全配置的能力，同时能快速检查操作系统是否符合公司标准，这些因素是评估候选操作系统的最重要的因素。界面的选择在某种程度上带
14、有很大的主观性，但是最起码应该同IT人员需要管理的其他应用程序或者系统保持界面的一致性。WindowsNT（SP3或者更高）包括一系列的安全管理工具-系统政策编辑器（SystemPolicyEditor），安全配置编辑器（SecurityConfigurationEditor）（SP4），以及微软管理控制台（MicrosoftManagemeNTConsole）。这些工具提供了一个一致，简单界面管理操作系统提供的安全服务。用户界面是标准的WindowsGUI，对大多数IT人员来说都非常熟悉。3.3WindowsNT的安全模式在现在的网络应用中，信息的安全则显得更加重要。这里，我们从用户的角度对
15、WindowsNT的安全性做一些探讨。WindowsNT通过一系列的管理工具，以及对用户帐号，口令的管理，对文件、数据授权访问，执行动作的限制，以及对事件的审核达到C2级安全，从用户的角度看，通过这一套完整、可行、易用而非繁琐的措施可以达到较好的效果。WindowsNT的安全机制的基础是所有的资源和操作都受到选择访问控制的保护，可以为同一目录的不同文件设置不同的权限。这是NT的文件系统的最大特点。NT的安全机制不是外加的，而是建立在操作系统内部的，可以通过一定的设置使文件和其他资源免受在存放的计算机上工作的用户和通过网络接触资源的用户的威胁（破坏、非法的编辑等等）。安全机制甚至提供基本的系统功
16、能，例如设置系统时钟。对用户帐号、用户权限及资源权限的合理组合，可以有效地保证安全性。3.3.1WindowsNT的安全策略对于用户而言，WindowsNT有以下几种管理手段，这些对安全性有着极大的影响：用户帐号和用户密码域名管理用户组权限共享资源的权限1.用户帐号和用户密码WindowsNT的安全机制通过请求分配用户帐号和用户密码来帮助保护计算机及其资源。给值得信任的使用者，按其使用的要求和网络所能给与的服务分配合适的用户帐号，并且给其容易记住的帐号密码。使用对帐号的用户权力的限制以及对文件的访问管理权限的策略，可以达到对服务器的数据的保护。其中用户帐号有用户名、全名、描述三个部分。用户名是
17、用户帐号的标识，全名是对应用户名的全称，描述是对用户所拥有的权限的较具体的说明。组有组名和描述两个部份，组名是标识，描述是说明。一定的用户帐号对应一定的权限，NT对权限的划分比较细，例如：备份、远程管理、更改系统时间等等，通过对用户的授权（在规则菜单中）可以细化一个用户或组的权限。用户的帐号和密码有一定的规则，包括帐号长度，密码的有效期，登录失败的锁定，登录的历史记录等等，通过对这些的综合修改可以保证用户帐号的安全使用。2.域名管理以WindowsNT组建的网络是一个局域网范围的网。所谓“域”是指网络服务器和其他计算机的逻辑分组，凡是在共享域范围内的用户都使用公共的安全机制和用户帐号信息。每个
18、用户有一个帐号，每次登录的是整个域，而不是某一个服务器。即使在物理上相隔较远，但在逻辑上可以在一个域上，这样便于管理。在网络环境下，使用域的管理就显得更为有效。这里我们应该注意到在WindowsNT中，关于域的所用的安全机制信息或用户帐号信息都存放在目录数据库中（称为安全帐号管理器（SAM）数据库）。目录数据库存放在服务器中，并且复制到备份服务器中。通过有规律的同步处理，可以保证数据库的安全性、有效性。在用户每次登录时，通过目录数据库检查用户的帐号和密码。所以在对WindowsNT进行维护时应该特别小心目录数据库的完整性，一般来讲只有管理员才具有对此的编辑权限。3.用户组权限管理员一般根据用户
19、访问网络的类型和等级给用户分组。组有“全局组”和“本地组”。全局组由一个域的几个用户帐号组成，所谓全局是指可以授与该组使用多个（全局）域资源的权力和权限。全局组只能在域中创建。本地组有用户帐号和一个或多个域中的全局组构成，这些用户在同一个线帐号下，只有非本地域的用户和全局组处于受托域中时，才可以将其添加到本地组中。本地组可以包含用户和全局组，但不能包含其它本地组。WindowsNT域控制器包含内置本地组，它决定了用户登录到域控制器时可以进行的操作，域控制器上的内置本地组给管理员在管理域安全机制方面明显的起始位置。每一个内置本地组都有一套预先确定的权力，这些权力自动地应用于添加到该组中的每一个用
20、户帐号，假若需要对组中的某些用户的权限做一些修改，可以在用户管理器中进行。建议在使用其默认权力时，对用户进行仔细的筛选，防止在组员中有信用度不高的用户，而对网络资源造成损坏。4.共享资源权限WindowsNT允许用指定他人共享的资源。资源共享后，可以通过网络限制某些用户对他的访问权限，这称为共享权限的限制。针对不同的用户，可以利用资源共享及资源权限来创建不同的资源安全级别。WindowsNT的较大特点在其文件系统（NTFS）。在NTFS文件系统中，可以使用权限对单个文件进行保护，并且可以把该权限应用到本地访问和网络访问中。在NTFS卷上，可以对文件设置文件权限，对目录设置目录权限。用于指定可以
21、访问的组和用户以及允许的访问等级时，NTFS卷的共享权限与文件及目录的权限共同起作用。共享目录时，通过共享目录设置的权限允许用户连接到共享资源，反之改变设备可以中断与用户的共享资源的连接。资源拥有者或管理员使用NTFS的共享目录的默认权限（空全控制），可以使用目录与文件权限来管理文件的安全性问题。文件属性有四种：只读、隐藏、存档、系统。这决定了文件的基本操作属性。资源的共享权限有五种：不共享、只读、安全、根据口令访问、WEB共享。3.3.2在网络中WindowsNT的安全性作为一种针对网络应用的操作系统，安全性通过其本身的内部机制得到了一定的基本的保证，比如：用户帐号、用户密码；共享资源权限；
22、用户管理器等等。在实践中的应用也证明WindowsNT的安全性的可靠程度还能支持应用。但是，随着网络的不断扩大，以及通过Internet互联，资源的共享和系统的安全、用户的隐私、运行的效率这些矛盾日益的突出。在用户获得较大的自由度和灵活性而与世界各地的人和计算机通讯的同时，在另一方面增加了系统的冒险性有人也可以自由通过网络访问你的机器或资源，甚至于你的隐私，给你的系统增加负担，降低运行效率。本人认为，为了更好发挥服务器的作用同时减轻其在安全性上的冒险性，有必要在NT安全模型的基础上结合IIS的安全机制，这样在客观上讲，可以较好的解决上面所说的矛盾。在网络中，有三种方式可以访问WindowsNT
23、服务器：1.通过用户帐号、密码、用户组方式登录到服务器在服务器允许的权限内对资源进行访问、操作。这种方式的可控制性较强，可以针对不同的用户。WindowsNT系统首先必须在NT中拥有一个帐号，其次，规定该帐号在系统中的权力和权限。在WindowsNT系统中，权力专指用户对整个系统能够做的事情，如关掉系统、往系统中添加设备、更改系统时间等。权限专指用户对系统资源所能做的事情，如对某文件的读、写控制，对打印机队列的管理。NT系统中有一个安全帐号数据库，其中存放的内容有用户帐号以及该帐号所具有的权力等。用户对系统资源所具有的权限则与特定的资源一起存放。2.在局部范围内通过资源共享的形式登录网络这种方
24、式建立在NETBIOS的基础之上。对共享的访问不能经过路由器，范围被限制在一个子网范围内，在使用的灵活性上受到限制，通过对共享资源的共享权限的控制达到安全保护。但不能针对不同的用户，当一个用户在通过共享对某一个资源进行操作时（这时共享权限有所扩大），其他用户趁虚而入，而造成对资源的破坏。例如设置NTFS的安全性：WindowsNT获得美国政府的C-2安全性认证在很大程度上取决于NTFS文件系统具有很强的安全性。NTFS文件系统的安全性体现在：除非用户拥有必要的许可权，否则，不能够访问NTFS上的文件。NTFS将所有的文件和目录都看成是对象，并为它们设置许可权，可以在每一个文件级和用户级层次上进
25、行访问控制。NTFS还具有审计能力，可以跟踪哪些文件曾被成功地访问，哪些文件曾被恶意访问。为NTFS设置安全性包括为NTFS上的文件或目录设置许可权，以及设置NTFS的审计功能两个部分。3.在网络中通过TCP/IP协议，对服务器进行访问目前典型应用有FTP、HTTP、WWW等。通过对文件权限的限制和对IP的选择，对登录用户的认证可以在安全性上做到一定的保护。但由于WindowsNT是微软的产品，其透明度并不高，安全隐患有可能就隐藏于此。第一，WindowsNT本身有可能存在BUG，一但被发现，就有可能造成损失。第二，由于网络的日益庞大，使通过INTERNET访问某个国家的机密成为可能，假如在编
26、写网络操作系统的同时，为以后通过TCP/IP入侵留下隐藏的人为的漏洞。3.4WindowsNTServer的安全管理管理员在管理WindowsNTServer时，一定要从从物理安全、登录安全、用户安全、文件系统和打印机安全、注册表安全、RAS安全、数据安全、各应用系统安全等方面制定强化安全的措施。3.4.1WindowsNTServer安全管理采用的对策WindowsNTServer的安全管理的对策如下：1.物理安全管理去掉或锁死软盘驱动器，禁止DOS或其他操作系统访问NTFS分区；在服务器上设置系统启动口令，设置BIOS禁用软盘引导系统；不创建任何DOS分区；保证机房的物理安全。2.及时更新
27、补丁用最新的ServicePack升级WindowsNTServer，因为服务包包括所有补丁程序和后来发表的很多安全补丁程序。3.掌握所有未设置的安全功能在缺省安装时未禁用Guest账号；给Everyone（每个人）工作组授予“完全控制”权限；没有实施口令策略。4.控制授权用户的访问在域里配置适当的NTFS访问控制可以增强网络的安全。取消或更改缺省情况下的Everyone组的“完全控制”权限，要始终设置用户所能允许的最小的文件夹和文件的访问权限。另外，不要共享任何一个FAT卷。5.避免给用户定义特定的访问控制将用户以“组”的方式进行管理是一个用户管理的有效方法。如果一个用户在公司里的角色变了，
28、很难跟踪并更改他的访问权。为每个用户指定一个工作组，为工作组指定文件、文件夹访问权。如果要收回或更改某个用户的访问权，只要把该用户从工作组中删除或指定另一个工作组。6.实施账号及口令策略7.控制远程访问服务远程访问是入侵者攻击WindowsNT系统的常用手段，WindowsNT集成的防止外来入侵最好的功能是认证系统。Windows95、Windows98和WindowsNTWorkstation客户机不仅可以交换加密用户ID和口令数据，而且还使用Windows专用的挑战响应协议(challenge/responseprotocol)，这可以确保决不会多次出现相同的认证数据，它还可以有效阻止内部
29、黑客捕捉网络信息包。同时，如条件允许，应该使用回叫安全机制，并尽量采用数据加密技术，保证数据安全。8.启动审查功能为防止未经授权的访问，可以利用域用户管理器启用安全审查功能，以便在事件查看器安全日志中记录未经授权的访问企图，以便尽早发现安全漏洞，但要结合工作实际，设置合理的审计规则，切忌审查事件太多，以免无时间全部审查安全问题。9.确保注册表安全首先，取消或限制对regedit.exe、regedit32.exe的访问；其次，利用regedit.exe或文件管理器设置只允许管理员访问注册表，其他任何用户不得访问注册表10.应用系统的安全在WindowsNT上运行的应用系统如：Web服务器、FT
30、P服务器、Email服务器，InternetExplorer、IIS等，应及时通过各种途径（如：Web站点）获得其补丁程序包，以解决其安全问题。把IIS中的sample,scripts,iisadmin和msadc等web目录设置为禁止匿名访问并限制IP地址，把FTP,Telnet的TCP端口改为非标准端口；web目录,CGI目录、scripts目录和winNT目录等重要目录要用NTFS的特性设置详细的安全权限,包含注册表信息的WinNT目录只允许管理员完全控制；凡是与系统有关的重要文件,除了Administrator,其它帐号都应该设置为只读权限,而不是everyone/完全控制。11.共享
31、权限的修改在系统默认情况下，每建立一个新的共享，Everyone用户就享有“完全控制”的共享权限，因此，在建立新的共享后应该立即修改Everyone的缺省权限。12.取消TCP/IP上的NetBIOS绑定NT系统管理员可以通过构造目标站NetBIOS名与其IP地址之间的映像，对Internet或Intranet上的其他服务器进行管理，但非法用户也可从中找到可乘之机。如果这种远程管理不是必须的，就应该立即取消（通过网络属性的绑定选项，取消NetBIOS与TCP/IP之间的绑定）。如NetBios端口139，要禁止这样的端口。3.5基于WindowsNT建立安全Web站点用WindowsNT建立的
32、WEB站点在所有的网站中占了很大一部分,但是如何建立一个安全的WEB站点一直是所有用户面临的问题，现在我们来总结一下。3.5.1安装1.安装在NTFS分区WindowsNT的硬盘都为NTFS分区，并且WindowsNT要安装在NTFS分区中。为什么要使用NTFS分区呢？NTFS比FAT分区多了安全控制功能，可以对不同的文件夹设置不同的访问权限，安全性增强。建议最好一次性全部安装成NTFS分区，而不要先安装成FAT分区再转化为NTFS分区，这样做在安装了SP5和SP6的情况下会导致转化不成功，甚至系统崩溃。安装NTFS分区有一个潜在的危险，就是目前大多数反病毒软件没有提供对软盘启动后NTFS分区
33、病毒的查杀，这样一旦系统中了恶性病毒而导致系统不能正常启动，后果就比较严重，因此及建议平时做好防病毒工作。2.安装一种操作系统安装两种以上操作系统，会给黑客以可乘之机，利用攻击使系统重启到另外一个没有安全设置的操作系统（或者他熟悉的操作系统），进而进行破坏。3.安装成独立的域控制器（StandAlone）主域控制器（PDC）是局域网中队多台联网机器管理的一种方式，用于网站服务器包含着安全隐患，使入侵者可能利用域方式的漏洞攻击站点服务器。4.系统文件所在分区与WEB数据的分区分开入侵者可能通过WEB站点的漏洞得到操作系统对操作系统某些程序的执行权限，从而造成更大的破坏。5.安装操作系统最新的补丁
34、程序最新的补丁程序，表示系统以前有重大漏洞，站点必须安装最新补丁，随时更新，入侵者往往利用漏洞对系统造成威胁。3.5.2WindowsNT设置WindowsNT的设置通过以下几方面来体现。1.帐号策略帐号尽可能少，且尽可能少用来登录网站帐号一般只用来做系统维护，多余的帐号一个也不要，因为多一个帐号就会多一份被攻破的危险。除过Administrator外，有必要再增加一个属于管理员组的帐号；两个管理员组的帐号，一方面防止管理员一旦忘记一个帐号的口令还有一个备用帐号；另方面，一旦黑客攻破一个帐号并更改口令，我们还有有机会重新在短期内取得控制权。所有帐号权限需严格控制，轻易不要给帐号以特殊权限；将A
35、dministrator重命名，改为一个不易猜的名字。其他一般帐号也应尊循着一原则。这样可以为入侵者攻击增加一层障碍。将Guest帐号禁用，同时重命名为一个复杂的名字，增加口令，并将它从Guest组删掉；有的入侵工具正是利用了guest的弱点，可以将帐号从一般用户提到管理员组。给所有用户帐号一个复杂的口令（系统帐号出外），长度最少在8位以上，且必须同时包含字母、数字、特殊字符。2.解除NetBIOS与TCP/IP协议的绑定NetBois在局域网内是不可缺少的功能，在网站服务器上却成了黑客扫描工具的首选目标。在WindowsNT系统中，双击“控制面版”“网络”“绑定”“NetBios接口”“禁用
36、TCP/IP上的NETBIOS”。3.删除所有的网络共享资源WindowsNT在默认情况有网络共享资源，在局域网内对网络管理和网络通讯有用，在网站服务器上同样是一个特大的安全隐患。在WindowsNT服务器中，双击“管理工具”“服务器管理器”“共享目录”“停止服务”。另一种方法是通过修改注册表运行Regedit，然后修改注册表在HKEY_LOCAL_MACHINESYSTEMCurreNTCoNTrolSetServicesLanmanServerParameters下增加一个键Name:AutoShareServerType:REG_DWORDValue:0然后重新启动服务器，磁盘分区共享去
37、掉，但IPC共享仍存在，需每次重启后手工删除。4.更改NTFS的安全权限NTFS下所有文件默认情况下对所有人（EveryOne）为完全控制权限，这使入侵者可能使用一般用户身份对文件做增加、删除、执行等操作，建议对一般用户只给予读取权限，而只给管理员和System以完全控制权限，但这样做有可能使某些正常的脚本程序不能执行，或者某些需要写的操作不能完成，这时需要对这些文件所在的文件夹权限进行更改，建议在做更改前先在测试机器上作测试，然后慎重更改。5.系统启动的等待时间设置为0秒打开WindowsNT,双击“控制面板”“系统”“启动/关闭”，然后将列表显示的默认值“30”改为“0”。另一种方法是将b
38、oot.ini中的TimeOut的值改为0。6.只开放必要的端口，关闭其余端口默认情况下，所有的端口对外开放，黑客就会利用扫描工具扫描那些端口可以利用，这对安全是一个严重威胁。7.加强日志审核日志包括事件查看器中的应用、系统、安全日志，IIS中的WWW、SMTP、FTP日志、SQLSERVER日志等，从中可以看出某些攻击迹象，因此每天查看日志是保证系统安全的必不可少的环节。安全日志缺省是不记录，帐号审核可以从域用户管理器规则审核中选择指标；NTFS中对文件的审核从资源管理器中选取。8.加强数据备份站点的核心是数据，数据一旦遭到破坏后果不堪设想，而网管应做好这方面的工作，数据备份需要仔细计划，制
39、定出一个策略并作了测试以后才实施，而且随着网站的更新，备份计划也需要不断地调整。9.只保留TCP/IP协议，删除NETBEUI、IPX/SPX协议网站需要的通讯协议只有TCP/IP，NETBEUI和IPX/SPX只是用于局域网的协议，放在网站上没有任何用处，反而会被某些黑客工具利用。10.只保留与网站有关的服务和服务器所需的必要服务有些服务比如RAS服务、Spooler服务等会给黑客带来可乘之机，如果确实没有用处建议禁止掉，同时也能节约一些系统资源。但要注意有些服务是操作系统必须的服务，建议在停掉前查阅帮助文档并首先在测试服务器上作一下测试。11.隐藏上次登录用户名，修改注册表WinNTHKE
40、Y_LOCAL_MACHINESOFTWAREMicrosoftWindowsNTCurreNTVersionWinlogon中增加DoNTDisplayLastUserName，将其值设为1。Windows2000中该项已经存在，只需将其值改为1。缺省情况下，上次登录的用户名会出现在登录框中，这就为黑客猜测口令提供了线索，最好的方式就是隐藏上次登录用户名。12.关闭IP转发功能控制面板-网络-协议-TCP/IP协议-属性，使这个选框为空。（NT）缺省情况下，NT的IP转发功能是禁止的，但注意不要启用，否则它会具有路由作用，被黑客利用来对其他服务器进行攻击。13.安装最新的MDAC下载的站点为：http:/