Windows Server 2003安全指南概述
安全性指南概述
更新日期：2003年6月20日
"Windows Server 2003安全指南"旨在提供一套易于理解的指南、工具和模板，帮助用户维护一个安全的Windows Server 2003环境。尽管该产品在默认安装状态下非常安全，但是您仍然可以根据实际需要对大量安全选项进行进一步配置。该指南不仅提供了安全方面的建议，而且提供了与安全风险有关的背景信息，说明了这些设置在减轻安全威胁的同时，可能会对环境产生的影响。
指南解释了三种不同环境所具有的不同需求，以及每一种规定的服务器设置在客户机依赖关系方面所要解决的问题。我们所考虑的三种环境分别是：旧有客户机（Legacy Client）、企业客户机（Enterprise Client）和高安全性（High Security）。
"旧有客户机"设置设计用来工作在运行Windows Server 2003域控制器和成员服务器的Active Directory域中，域中还运行基于Windows 98、Windows NT 40以及其它更新 *** 作系统的客户机。
"企业客户机"设置设计用来工作在Windows Server 2003域控制器和成员服务器的Active Directory域中，域中同时还运行基于Windows 2000、Windows XP以及其它更新 *** 作系统的客户机。
"高安全性"设置也设计用来工作在Windows Server 2003域控制器和成员服务器的Active Directory域中，域中同时还运行基于Windows 2000、Windows XP以及其它更新 *** 作系统的客户机。但是，"高安全性"设置具有很多限制，以致许多应用程序无法正常工作，同时服务器的性能也会有轻微的降低，对服务器的管理也更具挑战性。
这些不同级别的强化措施针对具有基线安全性的成员服务器和各种不同的服务器角色。我们将在下面对包括在本指南中的文档进行讨论。
指南内容
出于易用性的考虑，指南的内容被划分为几个不同的部分。其中包括安全性指南及其姐妹篇"威胁和对策：Windows Server 2003 和 Windows XP中的安全设置"、测试指南、交付指南和支持指南。
Windows Server 2003安全指南
Windows Server 2003安全指南 分为12章。每一章都建立在一个端对端的过程之上，该过程对于在您的环境中实现和维护wins2的安全来说是必需的。前几章的内容介绍了强化组织中的服务器所需的基础知识，其余章节则详细介绍了强化每种服务器角色所需进行的 *** 作步骤。
第 1 章： Windows Server 2003安全指南介绍
本章介绍了Windows Server 2003安全指南，并且对每一章的内容进行了简单概述。
第 2 章：配置域的基础结构
本章解释了基线域环境的构建方法，以便为保护Windows Server 2003基础结构提供指导。本章首先讲解了域级别的安全设置选项和相应对策。然后对Microsoft Active Directory®服务和组织单位（OU）的设计方法以及域策略进行了深入介绍。
第 3 章：创建成员服务器基线
本章解释了指南所定义三种环境中相关服务器角色的安全模板设置和其它对策。本章着重介绍了为将在指南后文中进行讨论的服务器角色强化建议建立基线环境的方法。
第 4 章：强化域控制器
在维护各种Windows Server 2003 Active Directory 环境的安全性方面，域控制器服务器角色是最重要的服务器角色之一。本章重点介绍了隐藏在我们建议采用的域控制器组策略后面的一些安全考虑事项。
第 5 章：强化基础结构服务器
在本章中，基础结构服务器被定义为动态主机控制协议（Dynamic Host Control Protocol，DHCP）服务器或 Windows Internet名称服务（Windows Internet Name Service，WINS）服务器。本章详细介绍了在环境中的基础结构服务器上进行安全设置能够为您带来的好处，这些设置不能通过成员服务器基线策略（Member Server Baseline Policy，MSBP）得到应用。
第 6 章：强化文件服务器
本章关注于文件服务器角色以及对该服务器角色进行强化将要面临的困难。本章详细展示了对文件服务器进行安全方面的设置所能够为您带来的益处，这些安全设置均无法通过成员服务器基线策略（MSBP）进行应用。
第 7 章：强化打印服务器
打印服务器是本章所要讲述的重点。再一次地，服务器提供的最重要服务都需要使用与Windows NetBIOS相关的协议。本章详细介绍了能够加强打印服务器安全性的设置，这些设备不能通过成员服务器基线策略（MSBP）得到应用。
第 8 章：强化IIS服务器
本章各个小节详细介绍了能够增强您所在环境中的IIS服务器安全性的设置。我们在此强调了安全监视、检测和响应等工作的重要性，以确保这些服务器保持安全状态。
第 9 章：强化IAS服务器
Internet Authentication Servers（Internet身份验证服务，IAS）提供了Radius服务，这是一种基于标准的身份验证协议，旨在对远程访问网络的客户机身份进行鉴别。本章对IAS Server能够从中受益的安全设置进行了详细介绍，这些设置不能通过成员服务器基线策略（MSBP）应用到服务器上。
第 10 章：强化证书服务服务器
证书服务（Certificate Services）为在服务器环境中构建公共密钥基础结构（PKI）提供了所需的加密和证书管理服务。本章对证书服务服务器能够从中受益的安全设置进行了详细介绍，这些设置不能通过成员服务器基线策略（MSBP）应用到服务器上。
第 11 章：强化堡垒主机
堡垒主机是客户机能够通过Internet进行访问的服务器。我们在本章中详细介绍了堡垒主机能够从中受益的安全设置，这些设置不能通过成员服务器基线策略（MSBP）应用到服务器上，我们同时还介绍了在基于Active Directory的域环境中应用这些设置的方法。
第 12 章：结论
本章对整个安全性指南进行了总结，并且通过简短的概述性语言对指南前面各章中的所有要点进行了回顾。
威胁和对策：Windows Server 2003 和 Windows XP中的安全设置
本指南的目的在于为Microsoft® Windows® *** 作系统当前版本中可以使用的安全设置提供一个参考。它是"Windows Server 2003安全指南"的姐妹篇。
对于我们在指南中讨论的每一种设置，我们都介绍了该项设置可以防范的安全性威胁，可以应用的不同对策，以及这些设置选项对系统性能可能产生的影响。
测试指南
本文档使得实施了Windows Server 2003安全指南 的企业能够对他们的解决方案实现方式进行测试。文档还介绍了 Windows Server 2003安全指南测试小组自己在测试过程中获得的真实体验。
本文描述了Windows Server 2003安全指南 测试工作的范围、目标和策略。文章还介绍了测试环境、测试案例细节、发布标准以及测试结果。
交付指南
本指南为商业规划人员、IT系统设计人员或者项目经理提供了一些一般性信息，为他们实施本解决方案以及完成部署本解决方案所必须完成的工作、资源类型、相关知识以及所需的大概费用提出了建议。这些信息将通过通往一般性解决方案框架的指针以及针对本安全解决方案而专门提供的工具交付给用户。
支持指南
本文档的目标读者是那些正在实施Windows Server 2003安全指南 的部署小组和那些正在为该解决方案提供支持和维护服务的客户。
文档旨在围绕解决方案软件组件的支持方式提供一些信息，其中包括：逐级提交路径、支持服务和资源以及不同的支持服务级别。
下载和资源
下载 Windows Server 2003安全指南
下载"威胁和对策：Windows Server 2003 和 Windows XP中的安全设置"
提交您的反馈意见
我们希望听到大家对本指南的反馈意见。我们特别希望了解大家对以下主题的反馈意见：
指南中提供的信息对您有帮助吗？
指南中介绍的分步 *** 作过程准确吗？
指南的各章内容的可读性如何？是否能够引起您的兴趣？
您从整体上如何对本指南进行评价？
请将您的反馈意见发送到以下电子邮件地址：secwish@microsoftcom 我们期待着您的回音。
windows server2003是目前最为成熟的网络服务器平台，安全性相对于windows 2000有大大的提高,但是2003默认的安全配置不一定适合我们的需要，所以，我们要根据实际情况来对win2003进行全面安全配置。说实话，安全配置是一项比较有难度的网络技术，权限配置的太严格，好多程序又运行不起，权限配置的太松，又很容易被黑客入侵，做为网络管理员，真的很头痛，因此，我结合这几年的网络安全管理经验，总结出以下一些方法来提高我们服务器的安全性。
第一招：正确划分文件系统格式，选择稳定的 *** 作系统安装盘
为了提高安全性，服务器的文件系统格式一定要划分成NTFS（新技术文件系统）格式，它比FAT16、FAT32的安全性、空间利用率都大大的提高，我们可以通过它来配置文件的安全性，磁盘配额、EPS文件加密等。如果你已经分成FAT32的格式了，可以用CONVERT 盘符 /FS：NTFS /V 来把FAT32转换成NTFS格式。正确安装windows 2003 server，可以直接网上升级,我们安装时尽量只安装我们必须要用的组件，安装完后打上最新的补丁，到网上升级到最新版本！保证 *** 作系统本身无漏洞。
第二招：正确设置磁盘的安全性,具体如下(虚拟机的安全设置，我们以asp程序为例子)重点：
1、系统盘权限设置
C:分区部分：
c:\
administrators 全部(该文件夹，子文件夹及文件)
CREATOR OWNER 全部(只有子文件来及文件)
system 全部(该文件夹，子文件夹及文件)
IIS_WPG 创建文件/写入数据(只有该文件夹)
IIS_WPG(该文件夹，子文件夹及文件)
遍历文件夹/运行文件
列出文件夹/读取数据
读取属性
创建文件夹/附加数据
读取权限
c:\Documents and Settings
administrators 全部(该文件夹，子文件夹及文件)
Power Users (该文件夹，子文件夹及文件)
读取和运行
列出文件夹目录
读取
SYSTEM全部(该文件夹，子文件夹及文件)
C:\Program Files
administrators 全部(该文件夹，子文件夹及文件)
CREATOR OWNER全部(只有子文件来及文件)
IIS_WPG (该文件夹，子文件夹及文件)
读取和运行
列出文件夹目录
读取
Power Users(该文件夹，子文件夹及文件)
修改权限
SYSTEM全部(该文件夹，子文件夹及文件)
TERMINAL SERVER USER (该文件夹，子文件夹及文件)
修改权限
2、网站及虚拟机权限设置(比如网站在E盘)
说明：我们假设网站全部在E盘 >分类: 电脑/网络 >> 软件
问题描述:
知道的说下。
顺便和我说下Autorunini的编写规则 谢谢了！好了后加分
解析:
INF文件全称Information File文件，是Winodws *** 作系统下用来描述设备或文件等数据信息的文件。INF文件是由标准的ASCII码组成，您可以用任何一款文字编辑器查看修改其中的内容。一般我们总是认为INF文件是系统设备的驱动程序，其实这是错误的认识，Windows之所以在安装某些硬件的驱动时提示需要INF文件是因为INF文件为该设备提供了一个全面描述硬件参数和相应驱动文件(DLL文件)的信息。就好比我们看着说明书安装电脑硬件一样，我们就是Windows系统，说明书就是INF文件。INF文件功能非常强大，几乎能完成日常 *** 作的所有功能。您可以把它看成是Windows系统底下的超强批初理。要熟练掌握和理解甚至是编写INF文件需要对其内部结构有相当的认识。下面就让我们来深入到INF文件中的内部一窥其真面貌吧！
INF文件的组成有节(Sections)，键(Key)和值(value)三部分。
关键节有
[Version]版本描述信息，主要用于版本控制。
[Strings]字符串信息，用于常量定义。
[DestinationDirs]定义系统路径信息。
[SourceDisksNames]指明源盘信息。
[SourceDisksNames]指明源盘文件名。
[DefaultInstall]开始执行安装。
其它的节可以自定义，下面用一实例来具体讲解。
程序代码
[Version]
Signature=$Chicago$
Provider=%Author%
[Strings]
Product="添加文件关联演示"
Version="10"
Author="Xunchi"
Copyright="Copyright 2005"
CustomFile="inf" ;修改您需要的文件名后缀
Program="NOTEPADEXE" ;修改您需要关联的应用程序名
[AddReg]
HKCR,""%CustomFile%,"",FLG_ADDREG_TYPE_SZ ,%CustomFile%File
HKCR,%CustomFile%File,"",FLG_ADDREG_TYPE_SZ,安装信息
HKCR,%CustomFile%"File\shell","",FLG_ADDREG_TYPE_SZ,open
HKCR,%CustomFile%"File\shell\open\mand","",FLG_ADDREG_TYPE_SZ,%program% %1
[DefaultInstall]
AddReg=AddReg
在[Version]节中"Signature"项定义了该INF文件需要运行在何种 *** 作系统版本中。有$Windows NT$, $Chicago$, or $Windows 95$三个值供选择，一般选择$Chicago$即可。项Provider中定义了该文件的创作来源，%Author%指引用Author项的值。您也可自定其它项来描述该INF文件的版本信息。该INF文件的作用是关联文件，所以主要是对注册表的 *** 作，我们来看[AddReg]节，共四条语句，格式都是一样。HKCR表示根HKEY_CLASSES_ROOT，第二个参数是子键的路径名，第三个参数是表明值的类型，最后是值(具体见附表)。以上都是对 *** 作的定义与过程，在节[DefaultInstall]中是开始执行要安装的流程，AddReg表明是对注册表进行 *** 作， *** 作对象是AddReg节中的定义。如果您把AddReg换成DelReg则是删除注册表中的键值。当鼠标单击该INF文件在d出的菜单中选择“安装”就开始执行您所定义的 *** 作。该示例在系统的INF文件右键菜单中增加了查看编辑功能并设置了默认动作，因为在安装了不了解的INF文件有可能对系统产生不良的影响，这样双击文件就可打开编辑该文件了。
再看看INF文件在文件 *** 作方面的能力吧。请看下面的一个例子。
程序代码
[Version]
Signature=$Chicago$
Provider=%Author%
[Strings]
Product="文件复制和安装演示"
Version="10"
Author="Xunchi"
Copyright="Copyright 2005"
[FileList]
ProcessListexe ;此文件已在当前目录下，下同。
[FileList1]
Wordpadexe
[DestinationDirs]
FileList=11 ;安装到Windows的系统目录
FileList1=10 ;安装到Windows目录
[DefaultInstall]
Copyfiles=FileList,FileList1
相同的节的作用与上一例类似，请注意新出现的节[FileList]，这是我自定义的节名，它表示了一个文件组，[FileList1]也类似。在节[DestinationDirs]中需定义每个文件组复制到的目录(各个常量的意义见附表)。Copyfiles指明了需要进行复制的文件组。
INF文件的 *** 作还包括服务(NT系统)程序的安装和卸载，INI文件的转换等。由于这些 *** 作都比较的复杂和繁琐，且有一定的危险性故下次有机会再向大家进行深入探讨。
最后我们来看一下INF文件的执行机制，这时你也许要问不就是简单的执行一下“安装”吗？知其然不知其所以然知识水平是不会提高的。在“文件夹选项”中的“文件类型”找到INF文件的“安装”命令看到一串命令。“rundll32exe setupapi,InstallHinfSection DefaultInst_all 132 %1”它表示了运行Dll文件setupapidll中的命令InstallHinfSection并传递给它起始节的名字 DefaultInstall。可见起始节是可以自定义的。INF文件的执行也可用在各种支持API调用的编程工具中。至此INF文件的结构和运行机制我们已基本了解，现在就让你的思维开动起来，让它更好的为我们工作吧。
注册表 *** 作的常量定义：
----------------------------------------------------------
常量 根值
HKCR HKEY_CLASSES_ROOT
HKCU HKEY_CURRENT_USER
HKLM HKEY_LOCAL_MACHINE
HKU HKEY_USERS
-----------------------------------------------------------
FLG_ADDREG_APPEND 在多字符串后添加字符
FLG_ADDREG_TYPE_SZ 字符类型
FLG_ADDREG_TYPE_MULTI_SZ 字符串类型
FLG_ADDREG_TYPE_EXPAND_SZ 扩展字符串类型
FLG_ADDREG_TYPE_BINARY 二进制值
FLG_ADDREG_TYPE_DWORD DWord值
FLG_ADDREG_TYPE_NONE NULL值
----------------------------------------------------------
[DestinationDirs]节中所定义的常量路径
----------------------------------------------------------
01 源目录(后跟路径)
10 Windows目录
11 Windows系统目录
12 驱动目录
17 INF文件目录
18 帮助文件目录
20 字体目录
21 根目录
24 应用程序目录
25 共享目录
30 当前根目录
50 System目录
51 Spool 目录
52 Spool 驱动目录
53 用户配置目录
----------------------------------------------------------
[DefaultInstall]节中定义的 *** 作
----------------------------------------------------------
LogConfig Log日志文件配置
Copyfiles 复制文件
Renfiles 文件改名
Delfiles 删除文件
UpdateInis 更新Inis
UpdateIniFields 更新Ini字段
AddReg 添加注册项
DelReg 删除注册项
Ini2Reg Ini文件转换为Reg文件
-----------------------------------------------------------
ini文件是配置文件
一般是系统或者一些软件里带的
说理论知识我也不 知道
我给你打个比方吧
街头篮球这个游戏你听过吧
打开游戏的时候他有很多的区 比如1区
如果你点了1区他就回自动连接到他的一个服务器当然肯定不会连接到2区的服务器上为什么？？
因为他的程序中有个CONFIG 这个配置文件 你可以自己看一下
[mon]
;服务器数量
RegionNum=6
FtpPath=/FSPATCH
>惠普打印机同时安装32位和64位打印机驱动，解决方案 管理员需通过>
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）