本文是一篇安全向?qū)?，以幫助管理員和安全專家更健康的配置windows平臺。
防火墻和它們充當(dāng)?shù)慕巧?/B>
防火墻是被連接到互聯(lián)網(wǎng)任一個網(wǎng)絡(luò)的整體部分。如果沒有安裝防火墻，許多攻擊可能在管理員不知道的情況下發(fā)生。許多這樣的攻擊可能是很致命的，會直接導(dǎo)致計算機宕機，如果沒有防火墻，可用路由器過濾掉易被入侵者利用來攻擊網(wǎng)絡(luò)的不需要的協(xié)議和端口。最多被使用的是TCP/IP協(xié)議。低端的TCP端口135，139，和445 ，以及UDP端口135，137，和445應(yīng)該被阻攔，還有其他所有未使用的端口。你可以認為防火墻是修筑在您的網(wǎng)絡(luò)附近的物理墻壁。 每次您打開端口，就在墻壁打了一個孔來安裝窗口。 一些窗口向外，另外一些向內(nèi)。 入侵者能利用窗口但只能看到網(wǎng)絡(luò)里面有什么。您安裝窗口(端口)越多，您的墻壁將變得更加透明。
Service packs
Service packs是為了修補已發(fā)售的產(chǎn)品的一些錯誤以及產(chǎn)品的一些新的應(yīng)用的一個補丁合集。沒有這些補丁包，一些windows的應(yīng)用將無法實現(xiàn)。 安全補丁也被發(fā)布用于修補有弱點并且程序員未注意的區(qū)域。當(dāng)漏洞被發(fā)現(xiàn)后也許要幾天甚至幾星期才會有一個有效的補丁發(fā)布。 這期間， 您的機器將可能被掃描并且漏洞被人利用。 應(yīng)當(dāng)讓你在網(wǎng)絡(luò)上的機器隨時關(guān)注windows的升級中心并隨時升級補丁程序，這樣你的機器將會安全些。如果您不想為您的機器打補丁，一旦中招，你將花費許多的時間來修復(fù)當(dāng)機的后果，損失將無法計算。
帳戶考慮
如果您使用Windows NT 或以上的版本，確保你的管理員的帳號是安全的。 給管理員帳戶改名，然后再創(chuàng)造其它帳戶將之命名為管理員。并且給原來的那個管理員帳戶最低的權(quán)限，這樣入侵者將花費更多的時間才能猜解得到可以存取的管理員帳戶。
反病毒
病毒發(fā)展迅速，并且許多新病毒每周被發(fā)布。如果您的機器有互聯(lián)網(wǎng)連接或有傳輸介質(zhì)與其他的計算機連接，抗病毒就是必需的。定期升級抗病毒軟件，這樣中毒的風(fēng)險將大大減少。 使用有安全證書的軟件，掃描你接收的電子郵件，以及使用的光盤等傳輸介質(zhì)。 將網(wǎng)絡(luò)瀏覽器的安全級別設(shè)置為高。不要用服務(wù)器或其他重要機器來上網(wǎng)瀏覽網(wǎng)頁。使用安裝了補丁并且安裝了殺毒軟件的測試系統(tǒng)來下載必要的軟件 這樣可以保證軟件系統(tǒng)的安全。不要下載形式未知的數(shù)據(jù)包。從文件共享服務(wù)器下載軟件不僅危險，并且可能減弱整個網(wǎng)絡(luò)的性能。一些病毒在執(zhí)行后被傳播到整個網(wǎng)絡(luò)，根據(jù)病毒的危害性將有可能導(dǎo)致網(wǎng)絡(luò)癱瘓，造成財政損失。
病毒軟件設(shè)置需要被設(shè)置為最高安全性。保證任一種惡意病毒活動的形式都被禁止?？梢栽O(shè)置修復(fù)被病毒傳染的文件，但如果文件不可修復(fù)而又不是系統(tǒng)必須的，就沒有保留的必要了。木馬類型的病毒可輕易地打開你的您的網(wǎng)絡(luò)，既使您的防火墻將所有的端口關(guān)閉。當(dāng)機器感染特洛伊木馬，它可以讓你的網(wǎng)絡(luò)后門大開。 在您的郵件服務(wù)器禁止所有潛在地惡意文件類型。 如VBS 、EXE ，COM 等。如果這些文件為企業(yè)目的必須使用，可由信任的用戶執(zhí)行。 如果用戶需要發(fā)送包含.exe的郵件，建議他們給文件改名，并以不同的方式發(fā)送。 設(shè)置您的抗病毒掃描包含選擇的方式確保病毒無法通行。
撥號接入或遠程網(wǎng)絡(luò)連接
限制撥號用戶的接入和限制用戶從遠程登入的功能。并且記錄用戶活動。 使用VPN訪問網(wǎng)絡(luò)是一種可信任的安全方法。比正常PPP 連接，VPN 連接的數(shù)據(jù)相是較不易受攔截。 在高安全環(huán)境下設(shè)定遠程連接要求證件檢驗。 在客戶端證明上使用強的密碼認證方法。 遠程存取依然是最微弱的鏈接，如果不正確地實施，在許多情況下將會被入侵者尋找利用。
從公司網(wǎng)絡(luò)劃分出獨立的網(wǎng)段給撥號用戶是一個不錯的方法。 這種解答可能有許多功能特點。 如果您的網(wǎng)絡(luò)用戶需要撥號回到被預(yù)先決定的數(shù)字是一個好方式，這樣可以保證后面設(shè)置連接確實連接到用戶的家里。 另一考慮是, 用戶不能在本地機器存放密碼，他訪問網(wǎng)絡(luò)的密碼不應(yīng)該被保存，應(yīng)該在每次連接時鍵入。
上述圖代表通過一條安全VPN 路線遠程網(wǎng)接入連接互聯(lián)網(wǎng)和一個撥號的計算機。 注意防火墻是根據(jù)被設(shè)置在防火墻的允許規(guī)則將這些用戶作為外在網(wǎng)絡(luò)用戶和被創(chuàng)造的虛擬網(wǎng)絡(luò)接入。
入侵檢測
入侵檢測是強化windows網(wǎng)絡(luò)的一重要部份，有許多的入侵檢測軟件，也有很多安全組織可以幫你的忙。如 www.windowsecurity.com
安全的密碼- 怎樣才算一個好密碼?
·大于8個字符
·包含元素從至少三到四個字符集
·大寫體字符
·小寫字母
·數(shù)字
·非alpha數(shù)字字符
·不包含某些帳戶、用戶名或其部分，或任何共同的詞的部份
·使用ALT 字符。 ALT 字符是那些您鍵入由持續(xù)Alt鍵(FN+ALT筆記本) 并且鍵入三或四數(shù)字數(shù)字在數(shù)字小鍵盤。 多數(shù)密碼探測器不能測試大多數(shù)ALT 字符。
·不要允許密碼緩存的存貯。
通過密碼過濾器強制執(zhí)行這些策略，必要時使用組政策管理器。
安裝的服務(wù)
服務(wù)作為注冊的進程運行在多數(shù)windows機器上。這些服務(wù)是入侵者試圖發(fā)現(xiàn)弱點的目標。 關(guān)閉無用的服務(wù)可減少被入侵者利用的機會。還可以減少硬件資源的消耗。
文件系統(tǒng)
應(yīng)該選擇可以給文件以最高安全性的文件系統(tǒng)。。NTFS是一個強的安全文件系統(tǒng)。讓管理員和用戶按照各自被分配的允許控制對文件的訪問。這種控制不僅保護用戶免受潛在的入侵者入侵，而且可以防止病毒在計算機上的安裝運行。 這是一個好想法用NTFS格式化所有分區(qū)，這樣在機器被竊取或被誤置的情況下，也能保障數(shù)據(jù)安全。數(shù)據(jù)不不會像在Fat 分區(qū)那樣脆弱，不過現(xiàn)在有幾個公司開發(fā)了能讀NTFS文件系統(tǒng)的文件的軟件，在許可的條件下還是可以讀取的。
BIOS
不要將你的BIOS處于開放狀態(tài)，。應(yīng)當(dāng)給BIOS設(shè)置一個密碼。 如果用戶想要改變啟動的驅(qū)動器她首先必須進入BIOS將首要啟動項設(shè)為CD-ROM 。設(shè)置BIOS密碼可以增加系統(tǒng)的安全性。 如果BIOS被鎖定，使用者就無法進行啟動項更改，從而使其不得門而入。 請注意某些早期的BIOS設(shè)置有萬能密碼，所以應(yīng)當(dāng)選用沒有萬能密碼的設(shè)備。
啟動驅(qū)動器
在BIOS將啟動設(shè)為C Only 像CD-ROM和軟驅(qū)給入侵者提供的一條大道。 入侵者也許需要安裝或裝載第三方應(yīng)用軟件以繞開操作系統(tǒng)的限制。
在獨立網(wǎng)段安裝IIS
IIS被發(fā)現(xiàn)許多漏洞，因為它非常方便并且被廣泛應(yīng)用。 但是由于蠕蟲的流行使得網(wǎng)絡(luò)中的計算機并不安全，我們極力推薦將運行IIS的系統(tǒng)安裝在被隔離的網(wǎng)段，并注意安裝最新的服務(wù)補丁包。 微軟發(fā)行了IIS的 鎖定工具可用于用鎖定IIS已知的漏洞，請在微軟的升級中心下載這個工具。 IIS 服務(wù)器需要由用戶在互聯(lián)網(wǎng)連接，這使服務(wù)器特別易受影響。 通過ISA 服務(wù)器發(fā)布IIS 服務(wù)也許幫助緩和所有已知的弱點，將幫助在增加安全額外層數(shù)到您的IIS 窗口服務(wù)器。同樣，SQL 服務(wù)器也要從網(wǎng)絡(luò)被連接，也可以通過ISA 服務(wù)器發(fā)布。更多信息參觀 www.ISAsever.org .
劃分網(wǎng)段
網(wǎng)絡(luò)的物理分割總是百利無害的。如果您的硬件允許，建議你實施這個方案。對網(wǎng)絡(luò)劃分VLAN 并且設(shè)置訪問許可列表讓特定的計算機只能訪問許可范圍內(nèi)的網(wǎng)段。分割您的網(wǎng)絡(luò)是一個好想法，如果您想測試從一個不可信來源的軟件，這些軟件也許包含會在網(wǎng)絡(luò)傳播的病毒。如 Opaserv 病毒。
VPN遠程存取。 網(wǎng)絡(luò)的分割可能并且增加網(wǎng)絡(luò)的安全性，例如你可以設(shè)定所有用戶能訪問服務(wù)器但用戶不能互相訪問。這減少了用戶數(shù)據(jù)被非法讀取的可能性。如果機器感染會對LAN 掃描并傳播的病毒，病毒將不能傳播，因為它會發(fā)現(xiàn)自己被其它計算機隔離。
被分段的網(wǎng)段
部門劃分
各部門之間并行連接的網(wǎng)絡(luò)可能存在一定的危險性。各個部門應(yīng)該被視為局域網(wǎng)的一段，而不應(yīng)該視為整體，各個部門在網(wǎng)絡(luò)上應(yīng)該被劃分開，相互之間不能直接訪問，除了機器象mail 服務(wù)器和目錄服務(wù)器之類的公共服務(wù)器，部門間發(fā)送的路由包應(yīng)當(dāng)被限制，以確保企業(yè)網(wǎng)絡(luò)的暢通。 如果您看適合這也許是一個好想法，將各個部門放在防火墻之后并且之讓合乎規(guī)則的通信能通過防火墻。它將保持雙方的安全。并阻止從不允許的突破口進入的企圖。
備份
在任一組織，災(zāi)害補救戰(zhàn)略應(yīng)該是事務(wù)連續(xù)性的一部分，并且備份將是這個戰(zhàn)略的一部分。 所有數(shù)據(jù)都應(yīng)該被備份并可以迅速的被恢復(fù)。備份非常重要，并且應(yīng)當(dāng)采用非在線的方式存儲 。 在線存儲的方式無法恢復(fù)物理損壞的站點。非在線存儲需要特定的安全條件。
總結(jié)
現(xiàn)在有很多工具可以幫助你檢察你的網(wǎng)絡(luò)的安全性，它們可以幫助你監(jiān)視網(wǎng)絡(luò)事件以維護網(wǎng)絡(luò)的性能，并檢察出系統(tǒng)的漏洞以便修補，從而防止被攻擊。 在這篇文章里涵蓋了大部分的網(wǎng)絡(luò)和windows平臺，建議你執(zhí)行以上的規(guī)則。[作者：Ricky M. Magalhaes]
