软件公司怎么去防止公司内部服务器里的资料不被员工外泄?

可以通过在公司内部安装域之盾软件 来实现。域之盾软件是国内相关行业做的比较好的一款软件。

域之盾软件安装简单 *** 作方便 。易于管理 还集成了数据防泄密，上网行为管理，保密U盘管理，打印管理，准入控制，文档自动备份，远程管理，外设管理，远程监控，桌面管理， *** 作审计等功能。

1点击 “开始菜单/设置/控制面板/管理工具”,双击打开”本地策月”,选中”ip安全策月,在本地计算机”右边的空白位置右击鼠标,谈出快捷菜单,选择”创建ip安全策月”,d出向导在向导中点击下一步 下一步,当显示”安全通信请求”画面时,把”激活默认相应规则”左边的钩去掉,点”完成”就创建了一个新的ip安全策月
2右击该ip安全策月,在”属性”对话框中，把”使用添加向导”左边的钩去掉,然后再点击右边的”添加”按纽添加新的规则,随后d出”新规则属性”对话框,在画面上点击”添加”按纽,d出ip筛选器列表窗口在列表中,首先把”使用添加向导”左边的钩去掉,然后再点击右边的”添加”按纽添加新的筛选器
3进入”筛选器属性’对话框,首先看到的是寻地址,源地址选”一个特定的IP地址”,目标地址选”我的ip地址”,在特定的IP地址那填上你要阻止的IP地址，点击确定
4在”新规则属性”对话框中,选择”新ip筛选器列表’然后点击其左边的复选框,表示已经激活最后点击”筛选器 *** 作”选项卡中,把”使用添加向导”左边的钩去掉,点击”添加”按钮,进行”阻止” *** 作,在”新筛选器 *** 作属性”的”安全措施”选项卡中,选择”阻止”,然后点击”确定”
5进入”新规则属性”对话框,点击”新筛选器 *** 作”,选取左边的复选框,表示已经激活,点击”关闭”按钮,关闭对话框最后”新ip安全策略属性”对话框,在”新的ip筛选器列表”左边打钩,按确定关闭对话框在”本地安全策略”窗口,用鼠标右击新添加的ip安全策略,然后选择”指派”

问题一：如何做好一个服务器管理员？有哪些管理技巧 总体来说，服务器系统的管理是整个网络管理工作中的重中之重，特别是在小型单位网络中，单位的网络规模比较小，网络设备比较简单，基本上是属于傻瓜式的。
这里的服务器系统包括网络服务器和应用服务器系统两个方面。服务器系统的管理是整个网络管理工作中最重要的部分，因为它是整个网络的核心所在，无论是网络 *** 作系统本身，还是各种网络服务器和应用服务器。
具体来说，服务器系统管理主要是安装、配置和管理网络 *** 作系统、文件服务器、DNS、WINS、DHCP等网络服务器，以及像Web、FTP、E-mail、RAS、NAT等应用服务器。服务器系统管理的最终目标，就是要确保服务器各种协议和服务工作正常，确保服务器的各项性能指标正常发挥。另外，还需要及时地更新服务器系统的版本或补丁程序，这不仅关系到服务器的性能发挥，而且还关系到整个网络系统的安全性，因为现在的 *** 作系统不断有新的安全漏洞被发现，及时安装补丁可以有效地阻止、填补这些安全漏洞。
目前在服务器系统管理方面的重点与难点当然是各种网络 *** 作系统的管理了。在这其中又包括各种不同版本的主流Windows、Linux和UNIX网络 *** 作系统的管理了。而每个系统中所包括的具体管理工作又非常多，非常复杂，但这些又是网络管理员所必须掌握的。至少，在大多数中小型企业中，网络管理员应该掌握主流的Windows和Linux网络 *** 作系统的管理了。在一些较大企业，或者一些特殊行业（如金融、证券和保险等）中，UNIX、Linux系统又是最普遍采用的，所以UNIX和Linux系统管理对于专业网络管理员来说，又是必须要掌握的。当然，像其他应用服务器的管理也是非常重要，而且必须掌握。
2．关键设备的维护与管理
这也是整个网络管理中的重点之一，同时也是非常重要的工作，特别是在网络规模比较大，网络设备比较高档的单位网络中。因为单位网络系统更依赖这些关键设备的正常工作。
计算机网络的关键设备一般包括网络的核心交换机、核心路由器和服务器，它们是网络中的“节点”。对这些节点的维护和管理，除了需要经验积累外，还可以通过一些专门的网络管理系统来监视其工作状态，以便及时发现问题，及时进行维护和故障排除。
另外，为了提高网络的可用性，对一些关键设备进行冗余配置也是必不可少的。冗余包括两层含义，一是从端口角度进行，如对关键设备（如服务器、核心交换机）采取冗余链路连接，这样当其中一个端口出现故障时，另一个冗余链路就可以接替故障链路继续保持正常工作状态；另一层含义是对配置双份的设备或部件，如服务器中的电源、风扇、网卡，甚至内存等，核心交换机和路由器也可以配置两个。在正常工作时，这些冗余设备或部件起到负载均衡的作用，而在某部分出现故障时，则又起备份的作用。
在关键设备维护与管理中，服务器和网络总体性能的监控与管理是个技术重点和难点。要用到各种监控和管理工具，如流量监控工具MRTG、网络性能和通信监控的Sniffer类工具，带宽性能监控的Qcheck和IxChariot工具等。服务器性能方面的监控与管理还可利用 *** 作系统自带的性能和监控管理工具进行。
当然，网络设备的配置与管理是整个关键设备维护与管理的重点与难点，这一点几乎是所有从事网络管理，甚至网络工程技术人员的共识。目前在关键设备方面，主要是以Cisco、华为3等品牌为主，掌握这两个主要品牌设备的配置与管理方法是网络管理员所必需的。
3 用户管理
用户管理是网络管理中的一个重点和难点，所涉及到的方面非常多，如用户账户、密码、文件和网络访问权限、用户权利、用户配置文件及用户安全策略等。既要保证各用户的正常工作不受影响，同时又>>

问题二：win7服务器管理器怎么下载 如果之前在 控制面板 - 程序 - 打开或关闭Windows功能 里没有这个选项勾栏
到官网去下载一下AD的补丁
microsoft/d=7887

然后你再去看 控制面板 - 程序 - 打开或关闭Windows功能 就有如图的东西

希望能帮助你

问题三：如何打开服务管理器 这两个完全可以去掉一个，并不会影响你的计算机安全的，
打开控制面板---管理工具--服务

问题四：什么是服务器的管理ip？有什么作用？怎么配置？ 有的服务器限制不同地区的IP登录，因为不同地区的IP不同。也就是限制不同地区的IP段。

问题五：新手站长如何轻松管理服务器安全？ 在服务器上安装安全狗软件，并把服务器加入服云。
这样不仅可以为服务器提供防护功能，而且可以登陆服云管理服务器。
服云客户端有web版、pc版、手机端的，可以随时随地了解服务器实时情况并进行调整服务器安全策略来应对攻击。让服务器更安全。
请采纳，谢谢

问题六：如何控制服务器 你的电脑登陆的时候是要登陆到域服务器上吗 如果是的话 那就没办法了 除非你的电脑脱离了域控制器的管理了 也就是说你不登陆到域控制器上 而是登陆本地的账号 比如administrator 你如果登陆到域上 那就只能遵循域管理员设定的规则 除非域管理员给你解除了那些限制 否则你是无法摆脱的 要解除 让管理员给你更高的权限 或者破解你的局域网里的域服务器 给你的登陆账号提权 只有这几种办法 其他的都不行

问题七：系统服务管理器怎么打开 1XP 在 开始---->运行------>输入servicesmsc而win 7 直接在开始，然后--->输入 servicesmsc
如图所示：
2然后就可以打开服务管理器了。
可以点击名称，按照字母进行排序
3选择一个服务后，可以右击，进行开启/关闭 等 *** 作。

问题八：电脑的系统服务管理怎么进入 一、打开电脑的系统服务界面方法：
1、点击开始菜单点击运行（或在键盘上按WIN+R快捷键），打开运行界面，输入servicesmsc指令，按确定。
2、直接在我的电脑图标上右键在d出的菜单中选择管理，d出的计算机管理界面，点击服务和应用程序，就能看到服务选项，双击即可打开服务界面。
3、点击开始菜单，选择控制面板，在管理工具界面，找到服务并双击，即可打开服务界面。
二、启动系统服务
第1步：使用本文中的任何一种方法打开系统服务程序。
第2步：在系统服务窗口中找盯自己需要启动的系统服务，并双击此服务。如打开(DHCP Client)系统服务。
第3步：在打开的系统服务窗口中，单击“启动”按扭即可启动相关的系统服务了。

问题九：如何快速打开服务器管理器 常用方法 服务器管理器，右键，发送到桌面，建立快捷方式

问题十：如何管理服务器上的多个数据库 虽然这将减少托管所有这些数据库的成本，但是，这增加了管理这些系统的复杂性，因为你现在要处理多个服务级协议和维护窗口。当你决定在同一台服务器上托管多个数据库的时候，你要考虑的第一件事是这些系统是否有互补的维护窗口。如果一个系统不能在夜间放慢速度或者离线，另一个系统不能在白天放慢速度或者离线，这些系统就不适合共享一个服务器，因为你在需要为系统使用补丁或者处于其它原因要让系统离线的时候，你没有有效的维护时间窗。 你需要考察的下一个决定因素是这些系统的服务级协议。需要99%的开机时间的系统能够安排在一起，因为你可能会为这些系统(也许是集群解决方案)建立一个比非重要任务系统更强大的环境。这可以为你节省额外的成本，因为你现在不需要采购任何高端系统。具有更高的服务级协议的系统也可能会有同样的维护时间窗。因此，这些系统在一开始就是互补的。 承担工作量 对托管多个数据库的SQL服务器进行维护的最大难题是时机。 当然，当把多个数据库集中在一个SQL服务器的时候需要考虑的最重要的问题是，是否有足够的CPU和内存资源处理这些客户程序添加到这个数据库服务器的工作量。如果单个服务器不能提供需要的CPU和内存资源，那么，把这些数据库都集中在那台服务器上就不是一个好的选择。 当你经过这个整个决策过程并且把这些数据库都放在同一台服务器上之后，你如何保持这些系统的健康和在高峰期仍能运行与其它任何数据库解决方案一样，你仍需要处理自己的备份、索引碎片整理和重建、以及为 *** 作系统和SQL服务器使用补丁。 处理托管多个数据库的SQL服务器的维护的最大难题是时机。你需要保证你的维护任务能够在这个SQL服务器托管的全部数据库计划的维护时间窗内完成。在任何数据库的维护时间窗之外进行维护工作都将引起数据库运行缓慢，因为硬盘和CPU资源现在被维护活动占用了，而不是处理正常的数据库查询。 重新索引工作 已经证明是有用的一个技术是比正常运行重新索引指令更频繁地对你的索引进行碎片整理。整理碎片的指令比重新索引指令有更多的好处。第一，索引碎片整理指令是一种在线 *** 作，而重建索引是一种离线工作(除非你运行SQL服务器2005企业版或者更新的版本)。第二，如果你频繁地运行索引碎片整理指令，每一次运行这个指令的时候工作量都比较少。 例如，你每个星期检查一次索引碎片，它显示碎片是70%。这样，你就可以运行一个索引重建指令清除这些索引。 然而，你在第二天再检查索引碎片的时候会发生什么情况呢它可能是大约8%至10%的碎片。因此，如果你每天运行一个索引碎片整理指令而不是每个星期运行一次索引碎片整理指令，每一天要做的工作就很少，这个工作就能够更快地完成，可能在每天的维护时间窗内完成。 即使你在时间窗内不能让这个系统离线，由于碎片整理 *** 作是一种在线 *** 作，这个系统在整理碎片 *** 作的时间将继续发挥作用，只是反应速度比正常情况下稍微慢一点。 数据库备份 备份是在一台服务器上托管多个数据库的时候需要解决的另一个关键问题。 每一个数据库都有自己的备份要求。备份数据库也许是能够在SQL服务器运行时执行的最繁重的任务。并不是因为这种备份需要占用大量的CPU和内存资源(这个任务占用的资源一般是很低的，除非你在备份的时候对数据库进行压缩)，而是因为备份一个大型数据库需要占用大量的硬盘资源。 当进行全面备份的时候，整个数据库必须从硬盘读取。如果你的硬盘系统非常繁忙，这个备份会引起性能严重下降。这种备份的最佳解决方案是选择合适的时机。你还可以寻找能够在备份的同时允许对数据库备份进行压缩的第三方工具。由于这将增加SQL服务器上的CPU的工作量，它通>>

应用服务代理的安全策略基于访问控制、网络地址转换等方式。应用服务代理技术是指在web服务器上或某一台单独主机上运行代理服务器软件，对网络上的信息进行监听和检测，并对访问内网的数据进行过滤，从而起到隔断内网与外网的直接通信的作用，保护内网不受破坏。在代理方式下，内部网络的数据包不能直接进入外部网络，内网用户对外网的访问变成代理对外网的访问。同样，外部网络的数据也不能直接进入内网，而是要经过代理的处理之后才能到达内部网络。所有通信都必须经应用层代理软件转发，应用层的协议会话过程必须符合代理的安全策略要求，因此在代理上就可以实现访问控制、网络地址转换(NAT)等功能。

阿江的Windows 2000服务器安全设置教程

前言

其实，在服务器的安全设置方面，我虽然有一些经验，但是还谈不上有研究，所以我写这篇文章的时候心里很不踏实，总害怕说错了会误了别人的事。

本文更侧重于防止ASP漏洞攻击，所以服务器防黑等方面的讲解可能略嫌少了点。

基本的服务器安全设置

安装补丁

安装好 *** 作系统之后，最好能在托管之前就完成补丁的安装，配置好网络后，如果是2000则确定安装上了SP4，如果是2003，则最好安装上SP1，然后点击开始→Windows Update，安装所有的关键更新。

安装杀毒软件

虽然杀毒软件有时候不能解决问题，但是杀毒软件避免了很多问题。我一直在用诺顿2004，据说2005可以杀木马，不过我没试过。还有人用瑞星，瑞星是确定可以杀木马的。更多的人说卡巴司机好，不过我没用过。

不要指望杀毒软件杀掉所有的木马，因为ASP木马的特征是可以通过一定手段来避开杀毒软件的查杀。

设置端口保护和防火墙、删除默认共享

都是服务器防黑的措施，即使你的服务器上没有IIS，这些安全措施都最好做上。这是阿江的盲区，大概知道屏蔽端口用本地安全策略，不过这方面的东西网上攻略很多，大家可以擞出来看看，晚些时候我或者会复制一些到我的网站上。

权限设置

阿江感觉这是防止ASP漏洞攻击的关键所在，优秀的权限设置可以将危害减少在一个IIS站点甚至一个虚拟目录里。我这里讲一下原理和设置思路，聪明的朋友应该看完这个就能解决问题了。

权限设置的原理

WINDOWS用户，在WINNT系统中大多数时候把权限按用户（组）来划分。在开始→程序→管理工具→计算机管理→本地用户和组管理系统用户和用户组。

NTFS权限设置，请记住分区的时候把所有的硬盘都分为NTFS分区，然后我们可以确定每个分区对每个用户开放的权限。文件（夹）上右键→属性→安全在这里管理NTFS文件（夹）权限。

IIS匿名用户，每个IIS站点或者虚拟目录，都可以设置一个匿名访问用户（现在暂且把它叫“IIS匿名用户），当用户访问你的网站的ASP文件的时候，这个ASP文件所具有的权限，就是这个“IIS匿名用户所具有的权限。

权限设置的思路

要为每个独立的要保护的个体（比如一个网站或者一个虚拟目录）创建一个系统用户，让这个站点在系统中具有惟一的可以设置权限的身份。

在IIS的站点属性或者虚拟目录属性→目录安全性→匿名访问和验证控制→编辑→匿名访问→编辑填写刚刚创建的那个用户名。

设置所有的分区禁止这个用户访问，而刚才这个站点的主目录对应的那个文件夹设置允许这个用户访问（要去掉继承父权限，并且要加上超管组和SYSTEM组）。

这样设置了之后，这个站点里的ASP程序就只有当前这个文件夹的权限了，从探针上看，所有的硬盘都是红叉叉。

我的设置方法

我是先创建一个用户组，以后所有的站点的用户都建在这个组里，然后设置这个组在各个分区没病权限。然后再设置各个IIS用户在各在的文件夹里的权限。

因为比较多，所以我很不想写，其实知道了上面的原理，大多数人都应该懂了，除非不知道怎么添加系统用户和组，不知道怎么设置文件夹权限，不知道IIS站点属性在那里。真的有那样的人，你也不要着急，要沉住气慢慢来，具体的方法其实自己也能摸索出来的，我就是这样。当然，如果我有空，我会写我的具体设置方法，很傲能还会配上。

改名或卸载不安全组件

不安全组件不惊人

我的在阿江探针19里加入了不安全组件检测功能（其实这是参考7i24的代码写的，只是把界面改的友好了一点，检测方法和他是基本一样的），这个功能让很多站长吃惊不小，因为他发现他的服务器支持很多不安全组件。

其实，只要做好了上面的权限设置，那么FSO、XML、strem都不再是不安全组件了，因为他们都没有跨出自己的文件夹或者站点的权限。那个欢乐时光更不用怕，有杀毒软件在还怕什么时光啊。

最危险的组件是WSH和Shell，因为它可以运行你硬盘里的EXE等程序，比如它可以运行提升程序来提升SERV-U权限甚至用SERVU来运行更高权限的系统程序。

卸载最不安全的组件

最简单的办法是直接卸载后删除相应的程序文件。将下面的代码保存为一个BAT文件，

regsvr32/u C:WINNTSystem32wshomocx

del C:WINNTSystem32wshomocx

regsvr32/u C:WINNTsystem32shell32dll

del C:WINNTsystem32shell32dll

然后运行一下，WScriptShell, Shellapplication, WScriptNetwork就会被卸载了。可能会提示无法删除文件，不用管它，重启一下服务器，你会发现这三个都提示“×安全了。

改名不安全组件

需要注意的是组件的名称和Clsid都要改，并且要改彻底了。下面以Shellapplication为例来介绍方法。

打开注册表编辑器开始→运行→regedit回车，然后编辑→查找→填写Shellapplication→查找下一个，用这个方法能找到两个注册表项：“{13709620-C279-11CE-A49E-444553540000}和“Shellapplication。为了确保万无一失，把这两个注册表项导出来，保存为 reg 文件。

比如我们想做这样的更改

13709620-C279-11CE-A49E-444553540000 改名为 13709620-C279-11CE-A49E-444553540001

Shellapplication 改名为 Shellapplication_ajiang

那么，就把刚才导出的reg文件里的内容按上面的对应关系替换掉，然后把修改好的reg文件导入到注册表中（双击即可），导入了改名后的注册表项之后，别忘记了删除原有的`那两个项目。这里需要注意一点，Clsid中只能是十个数字和ABCDEF六个字母。

下面是我修改后的代码（两个文件我合到一起了）：

Windows Registry Editor Version 500

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}]

@="Shell Automation Service"

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}InProcServer32]

@="C:WINNTsystem32shell32dll"

"ThreadingModel"="Apartment"

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}ProgID]

@="ShellApplication_ajiang1"

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}TypeLib]

@="{50a7e9b0-70ef-11d1-b75a-00a0c90564fe}"

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}Version]

@="11"

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}VersionIndependentProgID]

@="ShellApplication_ajiang"

[HKEY_CLASSES_ROOTShellApplication_ajiang]

@="Shell Automation Service"

[HKEY_CLASSES_ROOTShellApplication_ajiangCLSID]

@="{13709620-C279-11CE-A49E-444553540001}"

[HKEY_CLASSES_ROOTShellApplication_ajiangCurVer]

@="ShellApplication_ajiang1"

你可以把这个保存为一个reg文件运行试一下，但是可别就此了事，因为万一黑客也看了我的这篇文章，他会试验我改出来的这个名字的。

防止列出用户组和系统进程

我在阿江ASP探针19中结合7i24的方法利用getobject("WINNT")获得了系统用户和系统进程的列表，这个列表可能会被黑客利用，我们应当隐藏起来，方法是：

开始→程序→管理工具→服务，找到Workstation，停止它，禁用它。

防止Serv-U权限提升

其实，注销了Shell组件之后，侵入者运行提升工具的可能性就很小了，但是prel等别的脚本语言也有shell能力，为防万一，还是设置一下为好。

用Ultraedit打开ServUDaemonexe查找Ascii：LocalAdministrator，和#l@$ak#lk;0@P，修改成等长度的其它字符就可以了，ServUAdminexe也一样处理。

另外注意设置Serv-U所在的文件夹的权限，不要让IIS匿名用户有读取的权限，否则人家下走你修改过的文件，照样可以分析出你的管理员名和密码。

利用ASP漏洞攻击的常见方法及防范

一般情况下，黑客总是瞄准论坛等程序，因为这些程序都有上传功能，他们很容易的就可以上传ASP木马，即使设置了权限，木马也可以控制当前站点的所有文件了。另外，有了木马就然后用木马上传提升工具来获得更高的权限，我们关闭shell组件的目的很大程度上就是为了防止攻击者运行提升工具。

如果论坛管理员关闭了上传功能，则黑客会想办法获得超管密码，比如，如果你用动网论坛并且数据库忘记了改名，人家就可以直接下载你的数据库了，然后距离找到论坛管理员密码就不远了。

作为管理员，我们首先要检查我们的ASP程序，做好必要的设置，防止网站被黑客进入。另外就是防止攻击者使用一个被黑的网站来控制整个服务器，因为如果你的服务器上还为朋友开了站点，你可能无法确定你的朋友会把他上传的论坛做好安全设置。这就用到了前面所说的那一大堆东西，做了那些权限设置和防提升之后，黑客就算是进入了一个站点，也无法破坏这个网站以外的东西。

Microsoft建立了一种既灵活又强大的安全管理机制，它能够对用户访问SQL Server服务器系统和数据库的安全进行全面地管理。按照本文介绍的步骤，你可以为SQL Server 70(或2000)构造出一个灵活的、可管理的安全策略，而且它的安全性经得起考验。
一、验证方法选择
本文对验证(authentication)和授权(authorization)这两个概念作不同的解释。验证是指检验用户的身份标识;授权是指 允许用户做些什么。在本文的讨论中，验证过程在用户登录SQL Server的时候出现，授权过程在用户试图访问数据或执行命令的时候出现。
构造安全策略的第一个步骤是确定SQL Server用哪种方式验证用户。SQL Server的验证是把一组帐户、密码与Master数据库Sysxlogins表中的一个清单进行匹配。Windows NT/2000的验证是请求域控制器检查用户身份的合法性。一般地，如果服务器可以访问域控制器，我们应该使用Windows NT/2000验证。域控制器可以是Win2K服务器，也可以是NT服务器。无论在哪种情况下，SQL Server都接收到一个访问标记(Access Token)。访问标记是在验证过程中构造出来的一个特殊列表，其中包含了用户的SID(安全标识号)以及一系列用户所在组的SID。正如本文后面所介绍 的，SQL Server以这些SID为基础授予访问权限。注意， *** 作系统如何构造访问标记并不重要，SQL Server只使用访问标记中的SID。也就是说，不论你使用SQL Server 2000、SQL Server 70、Win2K还是NT进行验证都无关紧要，结果都一样。
如果使用SQL Server验证的登录，它最大的好处是很容易通过Enterprise Manager实现，最大的缺点在于SQL Server验证的登录只对特定的服务器有效，也就是说，在一个多服务器的环境中管理比较困难。使用SQL Server进行验证的第二个重要的缺点是，对于每一个数据库，我们必须分别地为它管理权限。如果某个用户对两个数据库有相同的权限要求，我们必须手工设 置两个数据库的权限，或者编写脚本设置权限。如果用户数量较少，比如25个以下，而且这些用户的权限变化不是很频繁，SQL Server验证的登录或许适用。但是，在几乎所有的其他情况下(有一些例外情况，例如直接管理安全问题的应用)，这种登录方式的管理负担将超过它的优 点。
二、Web环境中的验证
即使最好的安全策略也常常在一种情形前屈服，这种情形就是在Web应用中使用SQL Server的数据。在这种情形下，进行验证的典型方法是把一组SQL Server登录名称和密码嵌入到Web服务器上运行的程序，比如ASP页面或者CGI脚本;然后，由Web服务器负责验证用户，应用程序则使用它自己的 登录帐户(或者是系统管理员sa帐户，或者为了方便起见，使用Sysadmin服务器角色中的登录帐户)为用户访问数据。
这种安排有几个缺点，其中最重要的包括：它不具备对用户在服务器上的活动进行审核的能力，完全依赖于Web应用程序实现用户验证，当SQL Server需要限定用户权限时不同的用户之间不易区别。如果你使用的是IIS 50或者IIS 40，你可以用四种方法验证用户。第一种方法是为每一个网站和每一个虚拟目录创建一个匿名用户的NT帐户。此后，所有应用程序登录SQL Server时都使用该安全环境。我们可以通过授予NT匿名帐户合适的权限，改进审核和验证功能。
第二种方法是让所有网站使用Basic验证。此时，只有当用户在对话框中输入了合法的帐户和密码，IIS才会允许他们访问页面。IIS依靠一个NT 安全数据库实现登录身份验证，NT安全数据库既可以在本地服务器上，也可以在域控制器上。当用户运行一个访问SQL Server数据库的程序或者脚本时，IIS把用户为了浏览页面而提供的身份信息发送给服务器。如果你使用这种方法，应该记住：在通常情况下，浏览器与服 务器之间的密码传送一般是不加密的，对于那些使用Basic验证而安全又很重要的网站，你必须实现SSL(Secure Sockets Layer，安全套接字层)。
在客户端只使用IE 50、IE 40、IE 30浏览器的情况下，你可以使用第三种验证方法。你可以在Web网站上和虚拟目录上都启用NT验证。IE会把用户登录计算机的身份信息发送给IIS，当 该用户试图登录SQL Server时IIS就使用这些登录信息。使用这种简化的方法时，我们可以在一个远程网站的域上对用户身份进行验证(该远程网站登录到一个与运行着Web 服务器的域有着信任关系的域)。
最后，如果用户都有个人数字证书，你可以把那些证书映射到本地域的NT帐户上。个人数字证书与服务器数字证书以同样的技术为基础，它证明用户身份标 识的合法性，所以可以取代NT的Challenge/Response(质询/回应)验证算法。Netscape和IE都自动在每一个页面请求中把证书信 息发送给IIS。IIS提供了一个让管理员把证书映射到NT帐户的工具。因此，我们可以用数字证书取代通常的提供帐户名字和密码的登录过程。
由此可见，通过NT帐户验证用户时我们可以使用多种实现方法。即使当用户通过IIS跨越Internet连接SQL Server时，选择仍旧存在。因此，你应该把NT验证作为首选的用户身份验证办法。
三、设置全局组
构造安全策略的下一个步骤是确定用户应该属于什么组。通常，每一个组织或应用程序的用户都可以按照他们对数据的特定访问要求分成许多类别。例如，会 计应用软件的用户一般包括：数据输入 *** 作员，数据输入管理员，报表编写员，会计师，审计员，财务经理等。每一组用户都有不同的数据库访问要求。

---