网络安全和防火墙技术

网络安全与防火墙技术一、在用户安全设置方面1.禁用Guest账号。不论工作组模式还是域模式，都应该禁用此账号。惟一的例外就是极少数量（10台以下）的机器之间用网上邻居互访共享文件夹，且不和公网相连，可以继续保持此账号。2.限制不必要的用户。此时需注意：（1）在工作组模式中，默认账号有Administrator、Guest。如果要用IIS（InternetInformationServer）建设各类站点，则IUSER＿computername和IWAM＿computername也是默认账号，不能停用。因前者是IIS匿名访问账号，后者是IIS匿名执行脚本的账号。这两个账号默认有密码，是由系统分配的，用户不要更改其密码，更不要删除，否则IIS不能匿名访问和执行脚本；如果有终端服务则TsInternetUser也是默认账号，不能停用。（2）在域模式中，Administrator组中会增加DomainAdmins和EnterpriseAdmins两个组中的成员，另外还会有Krbtgt账号，默认是被禁用的，这个账号是密钥分发账号。3.开启用户策略。其中有用户锁定阀值设置，将它设置为多少才合适呢？用户在登录时，Windows会采用加密协议加密用户的用户名和密码。在域环境中，如果只是单纯的系统（即什么软件都不装），用户进行登录时，Windows会尝试用Kerbos协议验证，不成功则会再用Ntlm验证，此时的验证的方式有两种；如果该账户同时又是Outlook的用户，验证的方式将有6种之多，也就是说用户在登录时如果密码输入错误，一次登录就要浪费掉6次账户锁定值。因此，微软技术支持中心的工程师建议将这个锁定值设置为13，这样才可以实现错误输入密码3次再锁定账户的目的。二、在密码安全设置方面在给账号设置密码时，不是密码位数越多越好，在符合密码复杂性原则的基础上，7位和14位的密码是最好的。这个结论是微软全球技术支持中心的工程师给出的，它是由密码所采用的加密算法决定的。有一点大家需注意：屏幕保护存在一个安全漏洞，即他人可以在不进入系统的情况下，利用DOS模式将Cmd.exe命令更名为你所选用的屏幕保护程序的名称而将其替换掉。此后，只要这个“屏幕保护程序”一运行，Cmd窗口就会弹出且以系统身份运行，默认是最大权限。因此，采用设置屏幕保护密码的做法并不安全，正确的做法应是网管员离开工位时要锁定计算机（Windows2000下，按Ctrl＋Alt＋Del，在弹出的“关机”菜单中选择“锁定计算机”即可）。三、在系统安全设置方面1.使用NTFS格式分区。NTFS分区要比FAT分区安全很多，且只有使用NTFS分区才能真正发挥Windows2000的作用。Windows2000自带了转换NTFS分区的工具Convert。在命令提示符下执行Convertx（x为所要转换的盘符），执行时如果转换的是非操作系统所在分区，则立即执行分区转换；如果转换的是操作系统所在分区，则重启后执行分区转换。注意：此转换过程是单向不可逆的，即只能由FAT转换至NTFS。虽然可用第三方工具做分区格式之间的转换，但这样做不能保证绝对安全，在某些情况下会导致分区不可用，所以建议只用Convert命令来转换分区格式；如果非要用第三方工具，一定要事先做好备份。另外，据我个人经验，并不需要将所有分区都做成NTFS分区，而应保留一个分区为FAT32，用于存放一些常用工具，并可方便Ghost备份。2.到微软网站下载最新的补丁程序。强烈建议！这是每一个网络管理员都应该有的好习惯。这里说明一点：微软每隔一定时间推出的Servicespacks是针对近期推出的Hotfix的综合，如果你经常做Hotfix补丁，那么当后一版的Servicespacks推出后可能会和你的Hotfix冲突。因为Servicespacks也是要经过测试的，而测试阶段可能又有新的Hotfix推出，当你做了新的Hotfix补丁后再打旧版的Servicespacks补丁时就会产生冲突。3.关闭默认共享。这里必须要修改注册表，否则每次重启之后默认共享还会出现。在注册表“HKEY＿LOCAL＿MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run”下，在右栏空白位置点击鼠标右键，选择“新建”，再选“字符串值”，名称中输入：“delipc＄”，这里的名字可以随便取，然后双击它就会弹出一个窗口来，输入：“netshareipc＄/del”，下次开机就可自动删掉默认共享。修改注册表后需要重新启动机器。同样的方法还可以删掉AMDIN＄。4.锁住注册表。Windows2000提供了一个叫Regedt32.exe的工具，它也是一个注册表编辑器。与Regedit.exe不同的是它有一个“安全”选项，可以给注册表的每一个键值设置权限。因此用户可以将许多敏感的键值赋权，例如设置成只有Administrator才能读取和修改，不给其他人可乘之机。四、在服务安全设置方面1.关闭不必要的端口。可惜Windows2000并不支持关闭端口的选项，我们只好选用第三方工具，关闭一些关键端口，比如Telnet等。2.设置好安全记录的访问。Windows2000操作系统自带了审核工具，默认不开启。如果一旦开启了审核策略，用户可以在事件日志里查看安全日志，里面会有详细的审核记录，审核通常为成功和失败两种。不过，建议平时不要常开安全审核，因为审核量很大，通常一个错误的密码输入就可以在日志中记录一页多的条目，非常浪费系统资源。建议只在怀疑系统受到攻击时才开启审核。在“开始”菜单的“运行”中输入“Eventvwr.msc”查看安全日志，就可以看到审核的消息。3.把敏感文件存放在另外的文件服务器中。出于对性能和安全的双重考虑，建议有条件的用户将域控制器与Web服务器、数据库服务器等其他重要服务器分开，即不要用同一台服务器运行多种服务。同时，一定要进行及时、有效的备份，最好有一个详尽的备份计划。基本设置篇一、在线安全的四个误解Internet实际上是个有来有往的世界，你可以很轻松地连接到你喜爱的站点，而其他人，例如黑客也很方便地连接到你的机器。实际上，很多机器都因为自己很糟糕的在线安全设置无意间在机器和系统中留下了“后门”，也就相当于给黑客打开了大门。你上网的时间越多，被别人通过网络侵入机器的可能性也就越大。如果黑客们在你的设置中发现了安全方面的漏洞，就会对你发起攻击，可能是一般的骚扰，如降低你的速度或者让你的机器崩溃；也可能更严重，例如打开你的机密文件、偷窃口令和信用卡密码。但是很多人并不以为然，因为他们在网络安全方面还存在四个误区：误区一：我没有连接其他网络，所以我很安全。对，连接INTERNET是要上网的，但是可以上网的独立机器，与一台商业网络中心的机器相比，所使用的网络协议仍然有一些甚至全部相同，而一台商业网络中心的机器还可能安装了公共防火墙或者有专门负责安全的人员。与此形成强烈对比的是一些用于家庭、办公室、小公司的个人用机确是门户大开，完全没有防范黑客的能力。这种威胁是很现实的：如果你使用了cablemodem或是DSL连接上网，而且在网上的时间很长，一天里也许就会有2-4个卑鄙的黑客企图攻击你。误区二：我是用拨号上网，所以我的机器是安全的。每次当你开始拨号上网，你使用的IP地址都会不同，也就是动态IP，所以相比静态IP的用户而言。黑客是很难找到你，但是有一些黑客软件已经发展到可以在1个小时以内逐个扫描上万个IP地址的能力，所以只要黑客使用了这些工具，即使是拨号上网的用户也可能受到攻击。误区三：我使用了防病毒软件，所以我很安全。一个好的病毒软件确实是在线安全不可或缺的部分，但是也是很小的一个部分。它能够通过检测病毒和类似的问题保护你，但是它们对防范黑客、对带有恶意的“合法”程序却无能为力。误区四：我使用了防火墙，所以我很安全。防火墙是很有用处，但是如果你的机器总是采用一些不够安全的方式接收和发送数据，而你又仅仅依靠一些附加的程序提供安全，这就等于把所有的蛋放在一个篮子里，一旦防火墙软件出现bug或者有漏洞，那你很危险了。另外，防火墙对于病毒一类的软件完全没有防范能力，尤其是那些带有恶意的悄悄地向你的机器发送或提取数据的程序。最后，一些防火墙软件还可能帮倒忙，因为它们的厂商在广告中把产品的特点介绍出去，可能招致一些专门针对它们弱点的攻击。但是解决方法是有的，你可以使用你已经有的工具，而且本文也会告诉你怎样才是安全的设置和怎样选择安全软件。二、一分钟的网络基础知识看到这个内容，你可能想一眼扫过或者直接跳过去，但是这只需要一分钟，而且对你理解下面的内容很有帮助。简单地说，你可以将你和网络的连接分为三层。最深的一层是你和网络的物理连接方式，包括硬件。例如拨号上网，要使用“拨号适配器”才能和你的MODEM“交谈”；如果是局域网，需要网卡和驱动程序，以便你的PC和网卡交换数据，而DSL、cable等也需要网卡。一个PC可以同时使用多个硬件适配器，例如可以即用cablemodem上网，也连接拨号上网的MODEM，还在局域网中，这样系统的网络设置中就有两个网络适配器和一个拨号适配器。中间的一层连接由你的机器所使用的和网络其他机器交流的通讯协议和语言组成，例如TCP/IP协议，其他还有NetBEUI和IPX/SPX，这些协议也可以并行工作，一个协议可以被同时捆绑到多个硬件设备上，而一个硬件设备也可以同时捆绑多个协议。最顶层的连接是网络设备，登录上网、文件与打印共享和以及位于最顶层的客户程序，为你完成需要在网络上完成的任务，但不幸的是，它是双向的，也可以让黑客对你执行他们的操作。所以，保证安全的窍门在于确保没有那些危险的设置和设备，例如如果不需要从网上进行访问，“文件与打印共享”就完全没有必要，这也是黑客经常利用的地方。换句话说，仔细地设置哪些要进行捆绑，可以确保你的机器不那么轻易被访问，尽管存在一些本身安全性较差的设备和协议。三、怎样确保连接安全在按照我下面提到的建议对系统设置进行修改以前，最好先将你系统中的关键数据备份，或者记下你原来的设置，以便在需要的时候恢复。如果你是在局域网或是有特殊的网络要求，请先和管理员商量。我们先检查你的网络设置：右击“网络邻居”，选择“属性”，现在我们要删除一些很容易就能够让别人通过INTERNET连接到你的INTERNET协议：TCP/IP。如果你没有使用拨号上网，可以直接跳到下一段。双击“拨号适配器”、“绑定”，把除TCP/IP以外的内容都选掉，，回到主界面，双击“TCP/IP-拨号适配器”，你可能看到一个警告，说明如果修改将有危险，不管它，不修改才会有危险呢！单击“绑定”，如果选择了“microsoft网络用户”和“文件和打印共享”，把它们选掉，这样就只剩下TCP/IP了，你会得到这样一个警告：TCO/IP已经没有绑定到任何驱动程序“，回答NO。如果你使用了网卡，单击每个卡对应的TCP/IP，例如我就用了一块便宜的Realtek网卡，则单击“TCP/IP-RealtekRT8029(as)PCIEthernetNIC.”，单击“绑定”，确认没有选择“micrcosoft网络用户”和“文件和打印共享”。但是如果你是在局域网上，希望在本地共享文件和打印机，也有办法呀，添加一个非INTERNET协议IPX/SPX或者NetBEUI都可以。添加适当的“micrcosoft网络用户”，选择“文件和打印共享”，就可以共享文件和打印了！现在倒回去检查系统中的每个适配器和协议，确保“micrcosoft网络用户”和“文件和打印共享”只在IPX/SPXand/或NetBEUI中被选择了。同时，也确认在TCP/IP中没有选择这两项。然后对局域网中的所有机器重复这个检查过程。用这种方法，你的机器在INTERNET上就只使用TCP/IP，而在局域网上使用非INTERNET协议以便共享打印机和文件。因为黑客必须使用TCP/IP，这样他们就需要花费更多的时间来访问被共享的打印机和文件。需要注意的是你对网络设置的任何变动