上面這些注意點(diǎn)都是很顯然的。但是，如果你非要使用密碼的話，那么最好采用一個(gè)強(qiáng)壯的密碼策略：密碼至少8個(gè)字符那么長(zhǎng)，包括英文大寫(xiě)字母、數(shù)字和非字母數(shù)字字符。此外，你最好定期改變密碼并在特定的時(shí)期內(nèi)不使用相同的密碼。

　　一個(gè)強(qiáng)壯的密碼策略加上多重驗(yàn)證(Multifactor Authentication)，這也僅僅只是一個(gè)開(kāi)始。多虧了NTFS提供的ACL功能，使得一個(gè)服務(wù)器的各個(gè)方面，每個(gè)用戶都可以被指派不同級(jí)別的訪問(wèn)權(quán)限。文件訪問(wèn)控制打印共享權(quán)限的設(shè)置應(yīng)當(dāng)基于組(Group)而不是“每個(gè)人(Everyone)”。這在服務(wù)器上是可以做到的，或者通過(guò) Active Directory。

　　確保只有一個(gè)經(jīng)過(guò)合法身份驗(yàn)證的用戶能訪問(wèn)和編輯注冊(cè)表，這也很重要。這樣做的目的是限制訪問(wèn)這些關(guān)鍵服務(wù)和應(yīng)用的用戶人數(shù)。

　　在安裝過(guò)程中，三個(gè)本地用戶帳戶被自動(dòng)創(chuàng)建---管理員(Administrator)、來(lái)賓(Guest)、遠(yuǎn)程協(xié)助賬戶(Help- Assistant，隨著遠(yuǎn)程協(xié)助會(huì)話一起安裝的)。管理員帳戶擁有訪問(wèn)系統(tǒng)的最高權(quán)限。它能指定用戶權(quán)限和訪問(wèn)控制。雖然這個(gè)主帳戶不能被刪除，但是你應(yīng)該禁用或給它重新命名，以防被輕易就被 黑客盜用而侵入系統(tǒng)。正確的做法是，你應(yīng)該為某個(gè)用戶或一個(gè)組對(duì)象指派管理員權(quán)限。這就使得 黑客更難判斷究竟哪個(gè)用戶擁有管理員權(quán)限。這對(duì)于審計(jì)過(guò)程也是至關(guān)重要的。想象一下，如果一個(gè)IT部門(mén)的每一個(gè)人都可以使用同一個(gè)管理員賬戶和密碼登錄并訪問(wèn)服務(wù)器，這是一個(gè)多么重大的安全隱患啊。最好不要使用管理員帳戶了。

　　同樣地，來(lái)賓賬戶和遠(yuǎn)程協(xié)助賬戶為那些攻擊Windows Server 2003的黑客提供了一個(gè)更為簡(jiǎn)單的目標(biāo)。進(jìn)入“控制面板”---“管理工具”---“ 計(jì)算機(jī)管理”，右鍵單擊你想要改變的用戶帳戶，選擇“屬性”，這樣你就可以禁用這些賬戶。務(wù)必確保這些賬戶在網(wǎng)絡(luò)和本地都是禁用的。

　　開(kāi)放的端口是最大的潛在威脅，Windows Server 2003有65535個(gè)可用的端口，而你的服務(wù)器并不需要所有這些端口。SP1中包含的防火墻允許管理員禁用不必要的TCP和UDP端口。所有的端口被劃分為三個(gè)不同的范圍：眾所周知的端口(0-1023)、注冊(cè)端口(1024-49151)、動(dòng)態(tài)/私有端口(49152-65535)。眾所周知的端口都被操作系統(tǒng)功能所占用;而注冊(cè)端口則被某些服務(wù)或應(yīng)用占用。動(dòng)態(tài)/私有端口則是沒(méi)有任何約束的。

　　如果能獲得一個(gè)端口和所關(guān)聯(lián)的服務(wù)和應(yīng)用的映射清單，那么管理員就可以決定哪些端口是核心系統(tǒng)功能所需要的。舉例來(lái)說(shuō)，為了阻止任何Telnet或 FTP傳輸路徑，你就可以禁用與這兩個(gè)應(yīng)用相關(guān)的通訊端口。同樣地，知名軟件和惡意軟件使用那些端口都是大家所熟知的，這些端口可以被禁用以創(chuàng)造一個(gè)更加安全的服務(wù)器環(huán)境。最好的做法是關(guān)閉所有未用的端口。要找到服務(wù)器上的那些端口是開(kāi)發(fā)狀態(tài)、監(jiān)聽(tīng)狀態(tài)還是禁用狀態(tài)，使用免費(fèi)的Nmap工具(www.nmap.org或www.insecure.org )是一個(gè)比較簡(jiǎn)單高效的方式。默認(rèn)情況下，SCW關(guān)閉所有的端口，當(dāng)設(shè)定安裝策略的時(shí)候再打開(kāi)它們。

　　增強(qiáng)服務(wù)器免疫力最有效的方法是不安裝任何與業(yè)務(wù)不相關(guān)的應(yīng)用程序，并且關(guān)閉不需要的服務(wù)。雖然在服務(wù)器上安裝一個(gè)電子郵件客戶端或生產(chǎn)力工具可能會(huì)使管理員更方便，但是，如果不直接涉及到服務(wù)器的功能，那么你最好不要安裝它們。在Windows Server 2003上，有100多個(gè)服務(wù)可以被禁用。舉例來(lái)說(shuō)，最基礎(chǔ)的安裝包含DHCP服務(wù)。不過(guò)，如果你不打算利用該系統(tǒng)作為一個(gè)DHCP服務(wù)器，禁用 tcpsvcs.exe將阻止該服務(wù)的初始化和運(yùn)行。請(qǐng)記住，并非所有的服務(wù)都是可以禁用的。舉例來(lái)說(shuō)，雖然遠(yuǎn)端過(guò)程調(diào)用(Remote Procedure Call、RPC)服務(wù)可以被Blaster蠕蟲(chóng)所利用，進(jìn)行系統(tǒng)攻擊，不過(guò)它卻不能被禁用，因?yàn)镽PC允許其它系統(tǒng)過(guò)程在內(nèi)部或在整個(gè)網(wǎng)絡(luò)進(jìn)行通訊。為了關(guān)閉不必要的服務(wù)，你可以通過(guò)“控制面板”的“管理工具菜單”訪問(wèn)“服務(wù)”接口。雙擊該服務(wù)，打開(kāi)“屬性”對(duì)話框，在“啟動(dòng)類(lèi)型框”中選擇“禁用”。

　　阻止服務(wù)器執(zhí)行有害的或者無(wú)意識(shí)的操作，是強(qiáng)化服務(wù)器的首要的目標(biāo)。為了確保所執(zhí)行的操作是都是正確的并且合法的，那么就得創(chuàng)建全面的事件日志和健壯的審計(jì)策略。

　　隨著一致性約束的來(lái)臨，法規(guī)遵從性，強(qiáng)大的審計(jì)策略應(yīng)該是健壯的Windows Server 2003服務(wù)器的一個(gè)重要組成部分。成功和失敗的帳戶登錄和管理嘗試，連同特權(quán)使用和策略變化斗應(yīng)該被初始化。

　　在Windows Server 2003中，創(chuàng)建的日志類(lèi)型有：應(yīng)用日志、安全日志、目錄服務(wù)日志、文件復(fù)制服務(wù)(File Replication Service)日志和DNS服務(wù)器日志。這些日志都可以通過(guò)事件查看器(Event Viewer)監(jiān)測(cè)，同時(shí)事件察看器還提供廣泛的有關(guān)硬件、軟件和系統(tǒng)問(wèn)題的信息。在每個(gè)日志條目里，事件查看器顯示五種類(lèi)型的事件：錯(cuò)誤、警告、信息、成功審計(jì)和失敗審計(jì)。

　　在你花費(fèi)了大量時(shí)間和精力強(qiáng)化你的Windows Server 2003服務(wù)器時(shí)，你所要做的最后一步是創(chuàng)建一個(gè)0/full級(jí)別的機(jī)器和系統(tǒng)狀態(tài)備份。一定要對(duì)系統(tǒng)定期進(jìn)行基線備份，這樣當(dāng)有安全事故發(fā)生時(shí)，你就能根據(jù)基線備份對(duì)服務(wù)器進(jìn)行恢復(fù)。可以說(shuō)，基線備份就是服務(wù)器的“還魂丹”。在對(duì)Windows Server 2003服務(wù)器的主要軟件和操作系統(tǒng)進(jìn)行升級(jí)后，務(wù)必要對(duì)系統(tǒng)進(jìn)行基線備份。

最新評(píng)論