在本篇技術(shù)指南中，將概要介紹你如何修改最重要的組策略安全設置。
你可以在采用Windows XP、2000和Server 2003操作系統的本地計算機上使用這些方法，或者在Server 2003和2000中的OU域名級上使用這些方法。為了簡(jiǎn)明扼要和提供最新的信息，我準備介紹一下如何設置基于Windows Server 2003的域名。請記住，這些只是你在你的域名中能夠設置的組策略對象中最有可能出現問(wèn)題的。按照我的觀(guān)點(diǎn)，這些設置可以保持或者破壞Windows的安全。而且由于設置的不同，你的進(jìn)展也不同。因此，我鼓勵你在使用每一個(gè)設置之前都進(jìn)行深入的研究，以確保這些設置能夠兼容你的網(wǎng)絡(luò )。如果有可能的話(huà)，對這些設置進(jìn)行試驗(如果你很幸運有一個(gè)測試環(huán)境的話(huà))。
如果你沒(méi)有進(jìn)行測試，我建議你下載和安裝微軟的組策略管理控制臺(GPMC)來(lái)做這些改變。這個(gè)程序能夠把組策略管理任務(wù)集中到一個(gè)單一的界面讓你更全面地查看你的域名。要開(kāi)始這個(gè)編輯流程，你就上載GPMC，擴展你的域名，用鼠標右鍵點(diǎn)擊“缺省域名策略”，然后選擇“編輯”。這樣就裝載了組策略對象編輯器。如果你要以更快的速度或者“次企業(yè)級”的方式編輯你的域名組策略對象，你可以在“開(kāi)始”菜單中運行“gpedit.msc”。
1.確定一個(gè)缺省的口令策略，使你的機構設置位于“計算機配置/Windows設置/安全設置/賬號策略/口令策略”之下。
2.為了防止自動(dòng)口令破解，在“計算機配置/Windows設置/安全設置/賬號策略/賬號關(guān)閉策略”中進(jìn)行如下設置:
賬號關(guān)閉持續時(shí)間(確定至少5-10分鐘)
賬號關(guān)閉極限(確定最多允許5至10次非法登錄)
隨后重新啟動(dòng)關(guān)閉的賬號(確定至少10-15分鐘以后)
3.在“計算機配置/Windows設置/安全設置/本地策略/檢查策略”中啟用如下功能:
檢查賬號管理
檢查登錄事件
檢查策略改變
檢查權限使用
檢查系統事件
理想的情況是，你要啟用記錄成功和失敗的登錄。但是，這取決于你要保留什么類(lèi)型的記錄以及你是否能夠管理這些記錄。Roberta Bragg在這里介紹了一些普通的檢查記錄設置。要記住，啟用每一種類(lèi)型的記錄都需要你的系統處理器和硬盤(pán)提供更多的資源。
4.作為增強Windows安全的最佳做法和為攻擊者設置更多的障礙以減少對Windows的攻擊，你可以在“計算機配置/Windows設置/安全設置/本地策略/安全選項”中進(jìn)行如下設置:
賬號:重新命名管理員賬號--不是要求更有效而是增加一個(gè)安全層(確定一個(gè)新名字)
賬號:重新命名客戶(hù)賬號(確定一個(gè)新名字)
交互式登錄:不要顯示最后一個(gè)用戶(hù)的名字(設置為啟用)
交互式登錄:不需要最后一個(gè)用戶(hù)的名字(設置為關(guān)閉)
交互式登錄: 為企圖登錄的用戶(hù)提供一個(gè)消息文本(確定為讓用戶(hù)閱讀banner text(旗幟文本)，內容大致為“這是專(zhuān)用和受控的系統。
如果你濫用本系統，你將受到制裁。--首先讓你的律師運行這個(gè)程序)
交互式登錄: 為企圖登錄的用戶(hù)提供的消息題目--在警告!!!后面寫(xiě)的東西
網(wǎng)絡(luò )接入:不允許SAM賬號和共享目錄(設置為“啟用”)
網(wǎng)絡(luò )接入:將“允許每一個(gè)人申請匿名用戶(hù)”設置為關(guān)閉
網(wǎng)絡(luò )安全:“不得存儲局域網(wǎng)管理員關(guān)于下一個(gè)口令變化的散列值”設置為“啟用”
關(guān)機:“允許系統在沒(méi)有登錄的情況下關(guān)閉”設置為“關(guān)閉”
關(guān)機:“清除虛擬內存的頁(yè)面文件”設置為“啟用”
如果你沒(méi)有Windows Server 2003域名控制器，你在這里可以找到有哪些Windows XP本地安全設置的細節，以及這里有哪些詳細的Windows 2000 Server組策略的設置。要了解更多的有關(guān)Windows Server 2003組策略的信息，請查看微軟的專(zhuān)門(mén)網(wǎng)頁(yè)。
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
