第九章 Windows Server 2003安全管理

第9章WindowsServer2003安全管理本章学习目标本章主要讲解WindowsServer2003服务器安全配置与管理，保证服务器自身安全，提供可靠服务。通过本章学习，读者应该掌握以下知识：WindowsServer2003安全策略；WindowsServer2003安全配置和分析；管理安全性模板；WindowsServer2003安全性措施。网络安全策略网络安全策略主要包括两大部分，即访问控制策略和信息加密策略。访问控制策略是网络安全防范和保护的主要策略，也是维护网络系统安全、保护网络资源的重要手段，用以保证网络资源不被非法使用和访问。信息加密策略保证数据传输中的安全，即保证数据完整性和机密性。各种安全策略相互配合才能实现对系统的全面保护。9.1WindowsServer2003安全策略WindowsServer2003安全策略定义了用户在使用计算机、运行应用程序和访问网络等方面的行为，通过这些约束避免对网络安全性的有意或无意的伤害。安全策略是一个事先定义好的一系列应用计算机的行为准则，应用这些安全策略保证用户有一致的工作方式，防止用户破坏计算机上的各种重要的配置，保护网络上的敏感数据。在WindowsServer2003中安全策略分为“本地安全设置”和“组策略”两种。本地安全设置实现基于单个计算机的安全性，对于较小的企业或组织，或者是在网络中没有应用活动目录的网络，通常使用本地安全设置；而组策略可以在站点、OU（组织单元）或域的范围内实现，通常应用于较大规模并且实施活动目录的网络中。9.2WindowsServer2003安全配置和分析(1)打开“开始”/“管理工具”程序组，运行“本地安全设置”应用程序。在“本地安全设置”窗口的左侧的树型窗口中单击“+”号来扩展条目，如图9-1所示，进行相应的设置9.2WindowsServer2003安全配置和分析(2)图9-1安全设置9.2WindowsServer2003安全配置和分析(3)例如，用户可以设置密码的安全策略，选中“账户策略”/“密码策略”，然后在右边的窗口中选择要设置的选项，如选中“密码长度最小值”，在这里可以设置密码的长度最少为8个字符。又如，选择安全设置中的“本地策略”/“安全选项”，可以设置交互登录方式，如不需按CTRL+ALT+DEL组合键，如图9-2所示。双击该项目并设置成“已启用”即可。9.2WindowsServer2003安全配置和分析(4)图9-2安全选项设置9.3管理安全性模板(1)WindowsServer2003中包含了许多安全模板，分别适用于不同的安全需求。利用这些模板，用户可以简化策略的设定和实施操作。它们通常包含了大多数的安全设定，用户也可以按照需要继续配置，以适应一个具体网络的需要。WindowsServer2003提供了四种安全级别的模板：基本、兼容、安全和高度安全，它们存放在%SystemRoot%\security\templates文件夹中。9.3管理安全性模板(2)1．基本（Basic）该级别的模板为WindowsServer2003定义的默认安全级别，可以用作基础配置。setupsecurity.inf模板文件是在安装期间针对每台计算机创建的。取决于所进行的安装是完整安装还是升级，该模板在不同的计算机中可能不同。Setupsecurity.inf代表了在安装操作系统期间所应用的默认安全设置，包括对系统驱动器的根目录的文件权限。它可以用在服务器或客户机上，但不能应用于域控制器。此模板的某些部分可应用于故障恢复。9.3管理安全性模板(3)2．兼容（Compatible）提供比基本模板更高的安全级别，但仍然努力兼容标准的商用应用程序的所有功能，使之仍然可以有效的运行。该模板为兼容工作站或服务器模板，模板文件是compatws.inf。9.3管理安全性模板(4)3．安全（Secure）当安全性被视为重要的考虑因素时应选用此类模板。这种模板提供多种安全性，可能会影响一些商用应用程序某些功能的运行。其中包括：安全的工作站或服务器模板securews.inf和安全的DC（域控制器）模板securedc.inf。9.3管理安全性模板(5)4．高度安全（high）提供预定义下的最高安全性，安全性被视为首要考虑的因素时选用此类模板。该级别模板不会考虑应用程序是否会受到这些设定的影响，因此要慎重。模板包括高安全的工作站或服务器模板文件hisecdc.inf和高安全的DC模板文件hisecws.inf。9.3管理安全性模板(6)导入安全模板的步骤如下：步骤一，打开“开始”/“管理工具”；步骤二，运行“本地安全策略”应用程序，打开“本地安全策略”管理窗口；步骤三，在左侧窗体中选择根项目“安全设置”，选择菜单“操作”/“导入策略”，打开“策略导入来源”对话框，选择需要的策略模板文件，如选择“securedc.inf”,点击“打开”即可完成设置。9.4WindowsServer2003安全性措施(1)1．版本的选择WindowsServer2003有各种语言的版本，对于我们来说，可以选择英文版或简体中文版，如果语言不成为障碍的情况下，可以考虑选择英文版。因为微软WindowsServer2003中文版的Bug远远多于英文版，而补丁程序一般还会推迟至少半个月。9.4WindowsServer2003安全性措施(2)2．组件的定制WindowsServer2003在默认情况下会安装一些常用的组件，但这种默认安装可能带来安全隐患。对于管理员应该明确到底需要哪些服务，只安装确实需要的服务，根据安全原则，最少的服务+最小的权限=最大的安全。典型的WEB服务器需要的最小组件选择是：只安装IIS的ComFiles，IISSnap-In，组件。而应该谨慎安装IIS中的其他组件，例如IndexingService，FrontPageserver2003Extensions，InternetServiceManager(HTML)等。9.4WindowsServer2003安全性措施(３)3．正确安装WindowsServer2003（1）分区和逻辑盘的分配（2）安装顺序的选择与系统补丁9.4WindowsServer2003安全性措施(４)4．安全配置WindowsServer2003（1）端口（2）IIS服务（3）应用程序配置（4）删除不需要的服务9.4WindowsServer2003安全性措施(４-1)（1）端口端口是计算机和外部网络相连的逻辑接口，也是计算机的第一道屏障，端口配置正确与否直接影响到主机的安全。一般来说，比较安全的做法是，只打开你需要使用的端口。很多黑客攻击程序是针对特定服务和特定服务端口的，因此，为了降低遭受黑客攻击的危险，应该关闭那些不必要的服务和服务端口。9.4WindowsServer2003安全性措施(4-1)9.4WindowsServer2003安全性措施(4-2)（2）IIS服务IIS是微软的组件中漏洞最多的一个，平均两三个月就要出一个漏洞，所以我们应该细致配置IIS。例如，信息服务发布目录Inetpub安装在非系统分区上，如D盘，更改名字不用系统默认目录名。在IIS管理器中将主目录指向你自己设定的路径即可。又如，删除IIS安装时默认的scripts等虚拟目录，谨慎建立所需目录，同时需要什么权限开什么权限。特别注意写权限和执行程序的权限，没有绝对需要不要给目录分配这些权限。9.4WindowsServer2003安全性措施(3)（3）应用程序配置删除IIS管理器中不必要的映射。例如，在IIS管理器中鼠标单击主机，选择“网站”，鼠标右键点击选择“属性”菜单，选择“主目录”配置页，选择“配置”，打开“应用程序配置”对话框，如图9-5所示，在“映射”选项页中根据需要可以删除不必要的应用程序类型。选择“调试”选项页，如图9-6所示，将脚本错误消息改为发送文本，否则ASP出错的时候用户将知道你的程序、网络、数据库结构。错误文本可自己定制，设置好后点按“确定”退出。9.4WindowsServer2003安全性措施(3)9.4WindowsServer2003安全性措施(3)9.4WindowsServer2003安全性措施(４)（4）删除不需要的服务WindowsServer2003的许多服务器允许用户远程访问本机，如用户通过Telnet方式登录等，并可在控制台上执行一系列操作，如装载和卸载模块，安装和删除软件。这虽然带来了一些方便，但也给非法用户访问和控制服务器带来了可乘之机。可以通过以下方法关掉一些不必要的服务，选择“开始”/“管理工具”/“服务”，打开如图9-7所示“服务”管理窗口，查找并选中要停止的服务（如Telnet），鼠标右键单击选择“停止”即可。9.4WindowsServer2003安全性措施(４)9.4WindowsServer2003安全性措施(5)5．账号安全WindowsServer2003的账号安全管理十分重要。首先，WindowsServer2003的默认安装允许任何用户通过匿名用户得到系统所有账号、共享列表，这个本来是为了方便局域网用户共享文件的，但是一个远程用户也可以得到你的用户列表并从而设法破解用户密码。9.4WindowsServer2003安全性措施(5)9.4WindowsServer2003安全性措施(６)6．安全日志WindowsServer2003的默认安装是不开任何安全审核的。在“本地安全设置”管理程序的“本地策略”/“审核策略”中设置相应的审核，如图9-9所示界面。9.4WindowsServer2003安全性措施(6)图9-9本地安全设置9.4WindowsServer2003安全性措施(7)7．目录和文件权限（1）权限是累计的。（2）拒绝的权限要比允许的权限级别高（拒绝优先）（3）文件权限比文件夹权限高。（4）仅给用户真正需要的权限，权限的最小化原则是安全的重要保障。本章小结本章主要介绍了WindowsServer2003的安全策略，并以本地安全策略为例介绍WindowsServer2003的安全策略的设置和分析。介绍了适用于不同场合安全需求的四种模式。最后介绍了WindowsServer2003提供的安全措施，并详细的介绍了从安装到使用时可能出现的漏洞，以及安全策略的设置，如帐号设置、审核设置和权限设置等方法。