| |
六、預(yù)防EveryOny組權(quán)限延伸
很多人都認(rèn)為匿名用戶的權(quán)限和Everyone組的權(quán)限是一樣的，其實這種看法是極其錯誤的。雖然兩者之間的權(quán)限有部分是相同的，但并不是完全一致的。默認(rèn)情況下Everyone組的權(quán)限要大于匿名用戶。但是在Windows XP中，卻允許將“Everyone”組權(quán)限應(yīng)用于匿名用戶�！ �
對此，我們需要禁止這種做法。在組策略中打開“安全選項”，然后在右側(cè)雙擊“網(wǎng)絡(luò)訪問：讓每個人權(quán)限應(yīng)用于匿名用戶”，將其設(shè)置為“已停用”即可。不過，雖然我們將該項已設(shè)置為停用，但是我們?nèi)匀徊唤ㄗh用戶將過多的權(quán)限直接授予Everyone組，因為這不符合權(quán)限授予的最小性原則。
七、禁止非空密碼交互式登錄
為了防止管理員添加賬號時沒有設(shè)置密碼，并且對沒有密碼的本地賬戶進(jìn)行了授權(quán)訪問。對此，我們可以禁止空白密碼的本地賬戶進(jìn)行交互式登錄訪問共享目錄�！ �
在“安全選項”下雙擊“賬戶：使用空白密碼的本地賬戶只允許進(jìn)行控制臺登錄”，將其設(shè)置為“已啟用”。同時為了防止管理員設(shè)置過于簡單的密碼，還需要在組策略編輯器的“安全設(shè)置”下，選擇“帳戶策略”—“密碼策略”，然后設(shè)置“密碼長度最小值”和“密碼必須符合復(fù)雜性要求”選項。
八、做好訪問記錄
通過日志，可以記錄所有賬戶對共享目錄的訪問、操作情況。不過要想日志進(jìn)行記錄，必須啟用審核對象訪問。打開組策略編輯器，在“本地策略”下選擇“審核策略”，然后雙擊右側(cè)的“審核對象訪問”，在打開的窗口中將“成功”和“失敗”項全部選中�！ �
接下來再打開共享目錄的屬性窗口，在“安全”標(biāo)簽中單擊“高級”按鈕，切換到“審核”標(biāo)簽，單擊“添加”按鈕，將所有有權(quán)訪問共享目錄的賬戶都添加進(jìn)來并保存設(shè)置�！ �
經(jīng)過這樣的設(shè)置后，我們就可以進(jìn)入“控制面板”的“管理工具”文件夾，雙擊其中的“事件查看器”，然后查找ID號為560、562、564的事件，即可了解詳細(xì)的訪問情況了�！ �
其實，安全問題并非我們想象中的那樣復(fù)雜，只要我們平時注意做好防范，能夠用好系統(tǒng)提供的保護(hù)措施，那么即可防范絕大部分的入侵破壞活動。
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
