打造安全的Win 2003操作系统（下）

　三、高级安全设置

　　1．禁止不必要的服务，杜绝隐患。
　　　　
　　服务从本质上说也只是一个程序而已，它与其他程序所不同的地方在于它提供一种特殊的功能来支持系统完成特定的工作。Windows Server 2003安装完后默认有84项服务，默认随系统启动的有36项。这里面每一项服务是否安全，特别是那些随系统启动的服务是否有被利用的可能性，这对安全来说了非常重要的。在Windows Server 2003发行后不到2个月就被人发现有了一个基于一项默认服务的漏洞，幸好这个漏洞对Windows Server 2003的危害程度较低，而且这项服务默认状态下是关闭的。下面笔者就结合自己的经验，谈一谈如何安全地配置好系统的所有服务。

　　从“管理工具”里打开“服务”，图20。可以看到系统所有服务的具体情况。这里仅以典型的Remote Registry服务为例介绍，目的在于提供一个安全配置服务的方法。在服务列表里找到Remote Registry服务，可以看到左面空白部分对这一服务的解释为“使远程用户能修改此计算机上的注册表设置。如果此服务被终止，只有此计算机上的用户才能修改注册表……”，可以看出，正常情况下并不需要这项服务，而且如果启用这项服务还可能给系统带来安全隐患，所以必须禁用。双击Remote Registry服务进入其属性设置，图21。在“启动类型”里把默认的“自动”修改为“禁用”，最后确定即可。当此服务被关闭后，一切和注册表有关的远程行为都被终止，这也使得一些恶意网页对本地注册表的修改成了泡影，网上的恶意用户也别想对注册表进行修改和设置，大大降低了系统被破坏和被中上木马的几率，达到了维护系统安全的目的。

图 20



图 21

　　一个有趣的现象是，微软对Windows Installer服务的介绍中，竟然出现了错别字！！呵呵，图22。

图 22
　2．改变远程控制的默认模式。
　　
　　对于个人用户来说，终端服务（不同与上面介绍过的服务）一般来说是不适用的，它的危险性远大于它带来的帮助，它允许从网络中的任何虚拟计算机上管理你的机器。看看微软的说明：可使用运行 Windows Server 2003家族操作系统的任何计算机，通过“管理远程桌面”，来远程管理服务器。使用系统自带的“远程桌面连接”即可完成连接和控制，图23。所以，对于普通用户来说，必须禁止终端服务。从“管理工具”中进入“终端服务配置”，在连接上点右键选择其属性，图24。在连接属性上选择“远程控制”标签，选中“不允许远程控制”后确定，图25。通过这样的修改，即可避免远程用户的非法连接。

图 23



图 24



图 25
　3．配置本地安全设置。

　　虽然微软声称Windows Server 2003按默认安装后其安全性很强，但笔者发现其实不然，也有很多地方需要经过细心配置才能达到所需要的安全性。“本地安全设置”就是需要好好配置的一块地方。

　　从“管理工具”里打开“本地安全设置”，图26。其中的密码策略、帐户锁定策略、审核策略、拥护权限分配、安全选项等都需要仔细配置。笔者以“用户权限分配”为例介绍方法。选中“用户权限分配”后可以看到可进行某一行为的所有默认组，如图26中第七项，可以看到一共有5个组的用户拥有从远程访问计算机的权限，这是不符合我们的安全要求的，需要从新配置。双击这一项打开其属性，图27。这里可以删除Everyone、Power Users和Users组，或者也可以单击“添加用户或组”来从新确定可从远程访问此计算机的用户或组。参考图5和图8。

图 26



图 27

　　上面所介绍的只是方法，具体要设置那些行为的权限，就要看用户的具体情况了。虽然这需要有较大的耐心一项一项的配置，但它却是一劳永逸的做法。另外图26所示的每一项策略，都需要具体配置，这样才能打造出一道坚不可摧的系统防线。

　　四、一些安全常识和注意事项

　　1．杜绝基于Guest帐户的系统入侵。

　　很多文章中都介绍过如何利用Guest用户得到Admin权限的方法，思路和手段不局一格，看了让人不禁叫绝。为什么会出现这样的问题呢？如何解决这个问题呢？

　　Guest用户作为一个来宾帐户，他的权限是很低的，而且默认密码为空，这就使得入侵者可以利用种种途径，通过Guest登录并最终拿到Admin权限。如何做到这一点不在本文讨论的范围内，这里只介绍如何防御这种基于Guest的入侵。通过对入侵者行为的分析，笔者发现进禁用或彻底删除Guest帐户是最好最根本的办法。但在某些必须得使用到Guest帐户的情况下，就需要通过其他途径来做好防御工作了。首先是要给Guest加一个强的密码，这一步可在“管理工具”----“计算机管理”----“本地用户和组”----“用户”里面设置，图28。然后，按照初级安全配置里面介绍的方法，详细设置Guest帐户对物理路径的访问权限。

图 28
　　2．为Administrator用户改名，并设置复杂密码。

　　Administrator帐户拥有最高的系统权限，一旦此帐户被人利用，后果不堪设想。这就使得必须加强此帐户的管理，首先当然也是为其设置一个强大复杂的密码。下来笔者介绍重新配置Administrator帐户欺骗入侵者的方法。

　　打开“管理工具”----“本地安全设置”，打开其“本地策略”中的“安全选项”，在最后面可以看到有一项帐户策略：重命名系统管理员帐户，图29。双击此策略进入其属性即可修改，图30。这里修改为54master。

图 29



图 30

　　打开“管理工具”----“计算机管理”----“本地用户和组”----“用户”，图31。双击Administrator进入其属性，记下其描述，图32，并从新修改为其他描述。然后在“用户”上单击右键，选择“新用户”，写上如图33所示资料后确定。

图 31



图 32



图 33

　　回到“用户”，双击刚建立好的新帐户进入其属性，把默认的全名删除。再在“隶属于”标签里把他从默认所属的Users组里删除后确定，图34。

图 34

　　看看图35，如果你是入侵者，你能分辨出来那个才是真正的系统管理员吗？谁能想到新建的帐户已经不是系统管理员，而成为不属于任何组的没有任何权限的新成员呢？入侵者会花无数的精力来想办法弄多它的密码的，呵呵。让他去忙吧。

图 35

　　3．其他需要注意的地方。
　　
　　随时警惕系统、安全、和应用程序的日志，警惕注册表启动项的变化、警惕用户帐户等敏感的地方是保证你系统安全的必要条件。经常备份数据以应付灾难性事故。用户和权限的分配应当本着最小权限原则，即在不影响用户正常使用的情况下，为其分配最小的权限。感觉有时候也是很重要的，系统突然变慢就要先凭感觉判断一下是否感染了病毒等。系统安全就如同计划生育，是个长期性的工作，就算你配置的再好的系统，也可能被人利用新的漏洞攻破，这就使得管理员必须随时学习。

　　后记：
　　
　　通过笔者一段时间的使用，Windows Server 2003给人的总体感觉还是不错的。它的启动速度比2000和XP都快，系统内新加了许多好用的DOS 新功能。如使用Defrag命令进行磁盘碎片整理；使用Diskpart命令管理磁盘、分区或卷；使用Taskkill命令管理系统进程；使用Logman命令创建和管理时间跟踪会话日志和性能日志。作为一个Server版本，Windows Server 2003新增的“分布式文件系统”（即DFS）可以将分布在域上多个服务器上的文件集中到一个逻辑名称的空间中，用户只需要访问一个驱动器即可访问到所有的共享文件。Windows Server 2003还有许多其他的新功能等着用户的发掘。有兴趣的用户可以到****下载使用版。

　　但是，随着微软对操作系统的开发速度越来越快，WS对硬件的要求也越来越高，建议配置CPU主频为550MHz，内存256MB，硬盘系统分区2G，显示器分辨律800*600。这使得一些配置较老的用户面对如此诱人的新操作系统望而却步。而另一些已经使用上的用户，他们的问题在于，许多硬件都没有Windows Server 2003下的驱动程序，有的可以用2000或XP的代替，但有的就不行。笔者一块原不需要驱动的网卡不能被识别，使用2000或XP的驱动仍无济于事。

　　总的来说，Windows Server 2003的性能还是不错的，它是微软公司公开宣布重视产品安全后发布的第一款操作系统，它曾经三次被推迟发布时间，部分原因就是为了提高安全和可靠性，很多地方都比以前的版本有了改善。比如关机时要记载关机理由，下载时会提示可能为危险文件……这些都是以前的版本没有的新事物。另外，上网的朋友应该有随系统启动的病毒防火墙，随时防御病毒和木马的袭击。对于系统的各项安全配置，只要使用者能灵活运用，取长补短，再加之有较好的安全意识，作为普通的用户来说，其安全性完全可以满足你的要求。