WIINDOWS系统安全加固方案-周大勇

WIINDOWS系统安全加固方案周大勇（湖北民间工艺技师学院，湖北荆州434020）【摘要】：安全加固是针对主机的漏洞和脆弱性采取的一种有效的安全手段，可以帮助系统抵御外来的入侵和蠕虫病毒的袭击，使系统可以长期保持在高度可信的状态。【关键词】：系统加固网络安全WINDOWS系统【引言】：安全加固是针对主机的漏洞和脆弱性采取的一种有效的安全手段，可以帮助系统抵御外来的入侵和蠕虫病毒的袭击，使系统可以长期保持在高度可信的状态。通常对系统和应用服务的安全加固包括如下方面：1）安装最新补丁2）账号、口令策略调整3）网络与服务加固4）文件系统权限增强5）日志审核功能增强6）安全性增强1、安全加固风险分析通过前期对系统的资产调查、扫描、人工检查和分析，提出系统的安全加固的方案，在加固过程中可能产生对系统的不同程度、不同方面的影响（具体影响因素和大小详见安全加固方案中的实施风险的描述）。针对不同的风险可选择的策略如下：对于实施风险极高的加固项目，因为其极有可能对系统运行造成破坏，或中断正常业务，所以经主机管理员确认后，不在本次加固中实施。对于实施风险不高，即使造成影响，也可以尽快恢复，不会影响正常业务的加固项目，建议选择业务空闲时段，由主机管理员作好系统备份，加固过程中监控主机的运行状况。对于实时性要求高的业务主机，建议先作好系统备份，如有可能加固项目预先在测试环境进行测试通过后，再正式执行加固。2、高风险漏洞分析2.1通过SMB会话可以访问Windows系统磁盘下的任意文件通过SMB会话访问Windows系统磁盘下的任意文件。恶意攻击者可以对您系统上的文件进行复制、篡改、删除等操作，从而可造成机密文件泄漏、破坏系统运行、获取目标系统的控制权限等.解决方案：1）使用足够强壮的密码或者禁止共享。2）设置严格的权限控制：在防火墙上设置为拒绝非授权用户访问。2.2检测到目标主机上管理员组帐号存在简单口令扫描检测出部分具有管理员权限的帐号存在简单口令，这允许攻击者远程以该用户身份登录系统，获取目标系统的控制权限。解决方案：1）修改用户口令，设置足够强度的口令。2）利用防火墙设置访问规则，阻止非授权的访问2.3目标主机没有安装MS06-042/KB918899等相关补丁未安装最新补丁会使服务器存在许多已知安全漏洞，从而可能被恶意攻击者利用而遭到攻击。解决方案：相关网站补丁下载。安装补丁需要重起服务器，由此可能导致无法预知的问题2.4远程注册表可通过SMB会话完全访问远程Windows主机允许通过SMB会话完全访问注册表。攻击者可以变相远程执行命令，最终彻底控制远程Windows主机。解决方案：有两种可能导致该漏洞。一是远程注册表权限设置有误，参照解决方案以及微软知识库处理。二是管理员口令薄弱，已为攻击者猜测得到，此时只能修改管理员口令，重新设置一个高强度的口令。如果不需要提供对外的远程注册表访问，可以关闭此服务。2.5SunJavaRuntimeEnvironment远程代码执行漏洞SunJavaWebStartActiveXcontrol缓冲区溢出漏洞SDK和JRE1.3及1.4版本，JDK和JRE5.0升级12和6.0升级2的SunJava运行时环境里的Java虚拟机（JVM）允许远程攻击者通过授予自身权限的applet执行任意程序，或者读取修改任意文件。解决方案：下载并安装JRE的最新版本。2.6MicrosoftSQLServer2000未安装SP4补丁多个安全漏洞扫描根据版本进行，可能存在误报，需要检查确认。MicrosoftSQLServer是微软公司开发和维护的大型数据库系统。MicrosoftSQLServer2000中存在多个安全漏洞。远程攻击者可能利用这些漏洞导致拒绝服务、绕过数据库策略、泄漏敏感信息或执行任意代码。解决方案：目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载MicrosoftSQLServer2000SP4。2.7系统存在多个弱口令或空口令存在系统弱口令会让非授权用户很容易获得权限从而进行非法操作。检测出常见弱口令形式如下：用户名密码NC\Guest(空口令)NC\0095888888NC\0059123456NC\$EK1000-P9LAASN51VOA(空口令)NC\$DK1000-VUHOD4611S5K123456表1弱口令形式解决方案：设置或更改足够复杂的密码.3.Windows系统加固方案3.1补丁安装使用WindowsUpdate安装最新补丁，可以使系统版本为最新版本。但安装补丁可能导致主机启动失败，或其他未知情况发生。3.2帐号、口令策略修改保障帐号以及口令的安全。设置帐号策略后可能导致不符合帐号策略的帐号无法登录，需修改不符合帐号策略的密码（注：管理员不受帐号策略限制，但管理员密码应复杂以避免被暴力猜测导致安全风险）。3.3优化系统帐号删除非法帐号或多余帐号，更改默认管理员帐号，防止黑客利用非法帐号或多余帐号，暴力猜测默认管理员帐号。可能部分使用该帐号的业务有影响。3.4限制特定执行文件的权限C:\windws\system32\net.exe,net1.exe,tft及C:\windows\system32\cmd.exe只保留admin和system权限，防止通用缓冲区溢出攻击，除admin、system，其他帐户无法执行以上程序。3.5将暂时不需要开放的服务停止将不必要的服务：Messenger、PrintSpooler、RemoteRegistry启动类型设置为手动并停止。避免未知漏洞给主机带来的风险可能由于管理员对主机所开放服务不了解，导致该服务被卸载。由于某服务被禁止使得依赖于此服务的其他服务不能正常启动。3.6日志审核增强修改安全策略为下述值：审核策略更改成功审核登录事件无审核审核对象访问成功,失败审核过程追踪无审核审核目录服务访问无审核审核特权使用无审核审核系统事件成功,失败审核帐户登录事件成功,失败审核帐户管理成功,失败表2审核策略3.7调整事件日志的大小、覆盖策略日志类型大小覆盖方式应用日志16384K覆盖早于30天的事件安全日志16384K覆盖早于30天的事件系统日志16384K覆盖早于30天的事件表3日志策略增大日志量大小，避免由于日志文件容量过小导致日志记录不全。3.8禁止匿名用户连接（空连接）注册表如下键值：HKLM\SYSTEM\CurrentControlSet\Control\Lsa“restrictanonymous”的值修改为“1”，类型为REG_DWORD，可以禁止匿名用户列举主机上所有用户、组、共享资源。可能造成某些远程服务业务应用不可用。3.9删除主机默认共享删除主机因为管理而开放的共享，可能某些应用服务无法连接该共享，如VeritasNetbackup，建议不操作。增加注册表键值如下：“HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters\Autoshareserver”项，并设置该值为“1”。4.结论安全加固服务是指是根据专业安全评估结果，制定相应的系统加固方案，针对不同目标系统，通过打补丁、修改安全配置、增加安全机制等方法，合理进行安全性加强。但安全是一个系统工程，也没有绝对的安全，在采用相关技术强化系统安全同时，也应加强安全意识教育及相关安全管理措施的制定与实施。参考文献：[1]闵锐，杨楚华，防火墙协同防御技术研究，计算机安全，2008.2[2]袁礼，李平，计算机网络原理与应用，清华大学出版社，2011.2[3]周小华，计算机网络安全技术与解决方案，浙江大学出版社，2008.10[4]海吉，网络安全技术与解决方案，任命邮电出版社，2010.1[5]程庆梅，徐雪鹏，网络安全工程师，机械工业出版社，2012.7作者简介：周大勇、女、湖北荆州人，大学本科学历、计算机应用专业毕业、从教20余年、创业职业中等专业学校计算机教研组长、主要从事计算机专业教学。