說起網(wǎng)絡安全，大家會不由得想起Hacker，想到某處的主頁被更改，某網(wǎng)絡遭到入侵等等，不一而足。其實黑客要攻擊Windows 2000，必須要知道賬號和密碼。而賬號更為關鍵，因為密碼可以通過窮舉法等方法破解。筆者使用Windows 2000多年，對于賬號的安全總結了幾點經(jīng)驗，寫出來與大家共享，希望能對大家有所幫助。

禁止枚舉賬號

由于Windows 2000的默認安裝允許任何用戶通過空用戶得到系統(tǒng)所有賬號和共享列表，這本來是為了方便局域網(wǎng)用戶共享資源和文件的，但是，任何一個遠程用戶通過同樣的方法都能得到賬戶列表，使用暴力法破解賬戶密碼后，對我們的電腦進行攻擊，所以必須采用以下方法禁止這種行為。

首先，可以通過修改注冊表禁用空用戶連接。打開注冊表，將HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA的RestrictAnonymous 設置為1，禁止空用戶連接。

另外，Windows 2000的本地安全策略（ ［控制面板］→［管理工具］ →［本地安全策略］）里，可對本地策略進行設置（如圖1），它有三個選項：

“無，依賴于默認許可權限” ：這是系統(tǒng)默認值，沒有任何限制，遠程用戶可以知道你機器上所有的賬號、組信息、共享目錄、網(wǎng)絡傳輸列表等，對服務器來說這樣的設置非常危險。

“不允許枚舉SAM賬號和共享”：這個值是只允許非NULL用戶存取SAM賬號信息和共享信息，一般選擇此項。

“沒有顯式匿名權限就無法訪問”：這個值是最安全的一個，但是如果使用了這個值，就不能再共享資源了，所以還是推薦把數(shù)值設為“不允許枚舉SAM賬號和共享”比較好。

Administrator賬號更名

如果黑客找不到用戶列表，我們就安全了嗎？那你就錯了。 Windows 2000 的Administrator賬號是不能被停用的，也不能設置安全策略，這樣黑客可以一遍又一遍地嘗試這個賬戶的密碼，直到破解，所以要在“計算機管理”中把Administrator賬戶更名來防止這一點。鼠標右鍵單擊Administrator，在右鍵菜單中選擇“重命名”，重新輸入一個名稱。最好不要使用Admin、Root之類的名字，改了等于沒改。盡量把它偽裝成普通用戶，比如改成：Guestone，別人怎么也想不到這個賬戶是超級用戶。然后另建一個“Administrator”的陷阱賬號，不賦予任何權限，加上一個超過10位的超級復雜密碼，并對該賬戶啟用審核。這樣那些黑客忙了半天也可能進不來，或是即便進來了也什么都得不到，還留下我們跟蹤的線索。

黑客一般都很聰明，還會從本地或者Terminal Service的登錄界面看到用戶名，然后去猜密碼。所以要禁止顯示登錄的用戶名。設置方法是：選擇［控制面板］→［管理工具］→［本地安全策略］→［本地策略］→［安全選項］，在右側雙擊“登錄屏幕上不要顯示上次登錄的用戶名”一項，選中“已啟用”，另外我們也可以修改注冊表來實現(xiàn)，找到注冊表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT \CurrentVersion\Winlogon項中的Don't Display Last User Name串，將其數(shù)據(jù)修改為1。

禁用Guest 賬號

Guest賬號是一個非常危險的漏洞，因為黑客可以使用這個賬號登錄你的機器。選擇［控制面板］→［管理工具］→［計算機管理］，在計算機管理的“本地用戶和組”項，選擇“用戶”，用鼠標右鍵單擊右側列表里的“Guest”賬號，在右鍵菜單中選擇“屬性”或是雙擊“Guest”賬號，在屬性對話框中，在“賬戶已停用”一項前打勾（如圖2），這樣就無法用Guest賬號登錄你的系統(tǒng)了。

如果還需要提供共享打印等服務時，則需要在“本地安全策略”的“用戶權利指派”中的“在本地登錄”項里設置Guest賬號不能登錄本機（去掉Guest項后面的勾，如圖3）。另外本機不能提供終端服務，否則，別人不能從本地登錄，那從遠端登錄還不行嗎？　

我們還需要注意的是：經(jīng)常檢查本地用戶和組，刪除無用的賬戶，不要給黑客留下可乘之機。

經(jīng)過以上的步驟，終于又還了我一片寧靜的天空，哇，世界清靜多了。