在Windows Server 2003 SP1 和 R2中,微软配置了一个新工具,它能够帮助断定Windows Server 2003系统上运行的程序,减少受攻击的可能性。简言之,通过应用安全配置向导,能够观察到全部系统并结束不需要的功效。
安装SP1或R2 时,安全配置向导不会主动安装。需要采用下面的步骤进行另外安装:
点击“开端”|“设置”|“把持面板”
选择“添加或删除程序”
选择“添加/删除Windows组件”
选中“安全配置向导”复选框,点击“下一步”。确保得到源媒体。
安装完成后,在“开端”中“所有程序”|“管理工具”|“安全配置向导”启动工具。
如果是初次运行此工具,则需要供给一个服务器(在群组中每个服务器由于角色不同有不同安全策略)。在向导中,可以看到服务器角色的列表:包含服务器和客户端。例如:可能有一台服务器运行SMS 2003 server,而另一台机器安装的是SMS 2003 client。为服务器选定一个角色。可以选择是否容许管理服务,例如BITS(后台信息传输服务)、浏览器、浏览器管理、远程桌面、AQL Server 代理等等。微软不能在服务器上供给每个可能的服务,所以向导也供给了“疏忽或限制”列表上没有的服务选项。
除了服务,向导还容许启用或停用TCP/IP端口。而且可以应用这个工具限制一台盘算机或一组IP地址登录到指定的TCP/IP端口。例如,如果仅仅容许管理网络允许的人员应用远程桌面创立连接,可认为子网限定端口为3389。
可以转变策略影响SMB文件处理和打印。例如,如果服务器有足够的容量,则可以标记所有的SMB通信量,防止客户端的两面夹击型的攻击。同样的方法也可以用于标记LDAP通信量。在此策略中,唆使所有运行windows 2000 SP3版本及以上版本的客户端帮助保护网络中的LDAP信息。
其它范畴:
审计设置:断定是否能够进行审计并且审计成功登录或者成功和不成功的运动。
IIS:需要激活哪个IIS扩大?例如ASP.NET 1.1、ASP.NET 2.0、Server Side Includes和WebDAV等等。需要激活哪个虚拟目录?例如,可能想封锁IISAdmin文件登录目录。
总之,安全配置向导有些极端的偏向,需要花很多时间调剂到“恰如其分”的状态,但是对于安全后果是很有裨益的。
义务编辑:张琎