Windows 2000系统的使用者特别多，导致在受攻击的系 统中高居榜首，但这不是说Windows 2000的安全性一点儿不好，只要合理配置和管理有方，还是比 较安全的。本人使用Windows 2000的时间也不算短了，对于维护它的安全，也渐渐摸出了一 点儿门路，下面是一点儿个人见解，不足之处，还请各位指正 。
安全安装尽量减少后顾之忧
Windows 2000系统的安全应该是从安装时就一点一滴积累起来的，但这 往往被人忽视。下面几点是在安装Windows 2000时需要注意的 ：
1、不要选择从网络上安装
虽然微软支持在线安装，但这绝对不安全。在系统未全部安装 完之前不要连入网络，特别是Internet!甚至不要把一切硬件都 连接好来安装。因为Windows 2000安装时，在输入用户管理员账号“Administrator”的密码 后，系统会建立一个“$ADMIN”的共享账号，但是并没有用刚 输入的密码来保护它，这种情况一直会持续到计算机再次启动 。在此期间，任何人都可以通过“$ADMIN”进入系统;同时，安 装完成，各种服务会马上自动运行，而这时的服务器还到处是 漏洞，非常容易从外部侵入。
2、要选择NTFS格式来分区
最好所有的分区都是NTFS格式，因为NTFS格式的分区在安全性 方面更加有保障。就算其他分区采用别的格式(如FAT32)，但至 少系统所在的分区中应是NTFS格式。
另外，应用程序不要和系统放在同一个分区中，以免攻击者利 用应用程序的漏洞(如微软的IIS的漏洞，大家不会不知道吧)导 致系统文件的泄漏，甚至让入侵者远程获取管理员权限。
3、系统版本的选择
我们一般都喜欢使用中文界面的软件，但对于微软的东西，由 于地理位置及市场因素，都是先有英文版，然后才有各国其他 语言的版本。也就是说Windows系统的内核语言是英语，这样相 对来说它的内核版本理应比它的编译版本中的漏洞少很多，事 实也是如此，Windows 2000的中文输入法漏洞闹得沸沸扬扬大家是有目共睹的。
上面所说的安全安装只能减少后顾之忧，千万别以为只做到这 些就可以一劳永逸了，还有很多工作等着你去做的，请继续往 下看：
妥善管理系统使它更安全
系统不安全，不要老埋怨软件的本身，多想想人为的因素吧！ 下面从管理员的角度来谈谈在管理过程中需要注意的几点：
1、关注最新漏洞，及时打上补丁和安装防火墙
管理员的职责是维护系统的安全，吸收最新的漏洞信息，及时 打上相应的补丁，这是维护系统安全最简单也是最有效的方法 。我给大家推荐国外的一个很好的安全站点： ttp://www.eeye.com 。同时，安装最新版的防火墙也是必须的，可以助你一臂之力 。但是要记住：“道高一尺，魔高一丈”，没有绝对的安全， 补丁永远都是跟在漏洞公布之后，完全相信系统补丁和防火墙 是不可行的！
2、禁止建立空连接，拒人于门外
黑客们经常采用共享进行攻击，其实不是它的漏洞，只怪管理 员的账户和密码太简单，留着不放心，还是禁止掉的好！
这主要是通过修改注册表来实现，主键及键值如下：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LS A]
RestrictAnonymous = DWORD:00000001
3、 禁止管理共享
除了上面的，还有这个一起禁止吧！
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\L anmanServer\Parameters]
AutoShareServer = DWORD:00000000
4、精巧设计密码，慎防入侵
呵呵，看了上面的第2点和第3点，有经验的朋友自然会常想到 这一点了。不错，这是老生常谈的事情了，很多服务器被攻陷 都是由于管理员密码过于简单而造成的。
对于密码的设置，我建议：①长度超过8位为宜 。②大小写字母、数字、特殊符号的复杂组合，如：G1$2aLe^ ，避免“纯单词”或者“单词加数字”型的密码，如：gale、 gale123等。
特别注意：MSSQL 7.0 中的SA密码千万不能为空！默认情况下“SA”密码是空的，而 它的权限是“admin”，想想后果吧。
5、限制管理员组的用户数量
严格限制管理员组的用户，时时刻刻保证只有一个 Administrator(也就是你自己)是该组的用户。至少每天检查一 次该组的用户，发现多增加的用户一律删除!毫无疑问，那新增 的用户一定是入侵者留下的后门！同时要注意Guest用户，聪明 的入侵者一般不会添加陌生用户名，这样容易被管理员发现行 踪，他们通常是先激活Guest用户，然后是更改它的密码，再放 到管理员组，但Guest无端跑到管理员组来干嘛?停掉！
6、停止不必要的服务
服务开的太多也不是个好事，将没有必要的服务通通关掉吧！ 特别是连管理员都不知道是干什么的服务，还开着干什么！关 掉！免得给系统带来灾难。
另外，管理员如果不外出，不需要远程管理你的计算机的话， 最好将一切的远程网络登录功能都关掉。注意，除非特别需要 ，否则禁用“Task Scheduler”、“RunAs Service”服务！
关闭 一项服务的方法很简单，运行cmd.exe之后，直接 net stop servername 即可。
7、管理员安分守己，不用公司的服务器做私人用途
Windows 2000 Server 除了可以像服务器之外，同时还可以做 个人用户的计算机一样，上网浏览网页、收发E-mail 等等。作为管理员，应该尽量少用服务器的浏览器来浏览网页 ，避免因浏览器的漏洞造成木马感染和公司的隐私信息暴露。 微软IE漏洞多多，相信大家不会不知道吧?另外，也少在服务器 上使用Outlook等工具来收发E-mail，避免染上病毒，给企业带 来损失。
8、注意本地安全
防止远程入侵很重要，但系统的本地安全也不容忽视，入侵者 不一定在远处，有可能就在身边！
(1)及时打上最新版的补丁，防止输入法漏洞，这是不用再说的 了。输入法漏洞不仅是导致本地入侵，如果开了终端服务的话 ，系统之门就会大开，一个装了终端客户端的机器就可以轻易 闯进来！
(2)不显示上次登录的用户
如果你的机器是不得不多人共用的话(其实，真正的一台服务器 是不应该这样的)，那禁止显示上次登录的用户很重要，免得别 人猜中密码。设置方法是：在[开始]→[程序]→[管理工具]→[ 本地安全策略]，打开“本地策略”的“安全选项”，在右边双 击“登录屏幕上不要显示上次登录的用户名”，选中“已启用 ”，再点击[确定]，这样，下次登录的时候就不会在用户名框 上显示上次登录过的用户名了。
网友评论