海东青's blog

      简介 　　可在域级别上应用所有的帐户策略组策略设置。在帐户策略、帐户锁定策略和 Kerberos 策略内置的默认域控制器中提供了默认值。请记住，在 Microsoft Active Directory 中设置这些策略时，Microsoft Windows 仅允许一个域帐户策略：应用于域树根域的帐户策略。域帐户策略将成为属于该域的任何 Windows 系统的默认帐户策略。此规则的唯一例外情况是，当为组织单位定义了另外一个帐户策略时。组织单位 (OU) 的帐户策略设置将影响到该 OU 中任何计算机上的本地策略。本模块将通篇讨论其中每种类型的设置。 　　帐户策略 　　帐户策略是在域级别上实现的。Microsoft Windows Server 2003 域必须有一个针对该域的密码策略、帐户锁定策略和 Kerberos V5 身份验证协议。在 Active Directory 中任何其他级别上设置这些策略将只会影响到成员服务器上的本地帐户。如果有要求单独密码策略的组，应根据任何其他要求将这些组分段到另一个域或目录林。

　　在 Windows 和许多其他操作系统中，验证用户身份最常用的方法是使用秘密通行码或密码。确保网络环境的安全要求所有用户都使用强密码。这有助于避免未经授权的用户猜测弱密码所带来的威胁，他们通过手动的方法或工具来获取已泄密用户帐户的凭据。这一点对于管理帐户尤其有用。随本指南提供的 Microsoft Excel 工作簿“Windows Default Security and Services Configuration”（英文）为默认设置编制了文档。请单击此处下载。 　　定期更改的复杂密码减少了密码攻击成功的可能性。密码策略设置控制密码的复杂性和寿命。本部分将讨论每个特定的密码策略帐户设置。 　　注意：对于域帐户，每个域只能有一个帐户策略。必须在默认域策略或链接到域根的新策略中定义帐户策略，并且帐户策略要优先于由组成该域的域控制器强制实施的默认域策略。域控制器总是从域的根目录中获取帐户策略，即使存在应用于包含域控制器的 OU 的其他帐户策略。域的根目录是该域的顶层容器，不要与目录林中的根域相混淆；目录林中的根域是该目录林中的顶层域。 　　默认情况下，加入域的工作站和服务器（即域成员计算机）还为其本地帐户接收相同的帐户策略。但是，通过为包含成员计算机的 OU 定义帐户策略，可以使成员计算机的本地帐户策略区别于域帐户策略。 　　可以在组策略对象编辑器中的以下位置配置帐户策略设置： 　　计算机配置\Windows 设置\安全设置\帐户策略\密码策略 　　强制密码历史 　　“强制密码历史”设置确定在重用旧密码之前必须与用户帐户关联的唯一新密码的数量。 　　该组策略设置可能的值是： 　　用户指定的值，在 0 至 24 之间 　　没有定义 　　漏洞 　　密码重用对于任何组织来说都是需要考虑的重要问题。许多用户都希望在很长时间以后使用或重用相同的帐户密码。特定帐户使用相同密码的时间越长，攻击者能够通过暴力攻击确定密码的机会就越大。如果要求用户更改其密码，但却无法阻止他们使用旧密码，或允许他们持续重用少数几个密码，则会大大降低一个不错的密码策略的有效性。 　　为此设置指定一个较低的数值将使用户能够持续重用少数几个相同的密码。如果还没有配置“密码最短使用期限”设置，用户可以根据需要连续多次更改其密码，以便重用其原始密码。 　　对策 　　将“强制密码历史”设置成最大值“24”。将此值配置为最大设置有助于确保将因密码重用而导致的漏洞减至最少。 　　由于此设置在组织内有效，因此不允许在配置“密码最短使用期限”后立即更改密码。要确定将此值设置为何种级别，应综合考虑合理的密码最长使用期限和组织中所有用户的合理密码更改间隔要求。 　　潜在影响 　　此设置的主要影响在于，每当要求用户更改旧密码时，用户都必须提供新密码。由于要求用户将其密码更改为新的唯一值，用户会为了避免遗忘而写下自己的密码，这就带来了更大的风险。 　　密码最长使用期限 　　“密码最长使用期限”设置确定了系统要求用户更改密码之前可以使用密码的天数。 　　此组策略设置可能的值是： 　　•用户指定的天数，在 0 至 999 之间 　　漏洞 　　任何密码都可以被破解。凭借当前的计算能力，甚至是破解最复杂的密码也只是时间和处理能力的问题。下列某些设置可以增加在合理时间内破解密码的难度。但是，经常在环境中更改密码有助于降低有效密码被破解的风险，并可以降低有人使用不正当手段获取密码的风险。可以配置密码最长使用期限，以便从不要求用户更改密码，但这样做将导致相当大的安全风险。 　　对策 　　将“密码最长使用期限”的天数设置在“30”和“60”之间。通过将天数设置为“0”，可以将“密码最长使用期限”设置配置为从不过期。 　　潜在影响 　　密码最长使用期限的值设置得太低将要求用户非常频繁地更改其密码。这实际上可能降低了组织的安全性，因为用户更可能为了避免遗忘而写下自己的密码。将此值设置太高也会降低组织的安全性，因为这可以使潜在攻击者有更充分的时间来破解用户的密码。

　　密码最短使用期限 　　“密码最短使用期限”设置确定了用户可以更改密码之前必须使用密码的天数密码最短使用期限的值必须小于密码最长使用期限的值。 　　如果希望“强制密码历史”设置有效，应将“密码最短使用期限”设置为大于 0 的值。如果将“强制密码历史”设置为“0”，用户则不必选择新的密码。如果使用密码历史，用户在更改密码时必须输入新的唯一密码。 　　此组策略设置可能的值是： 　　用户指定的天数，在 0 至 998 之间 　　没有定义 　　漏洞 　　如果用户可以循环使用一些密码，直到找到他们所喜欢的旧密码，则强制用户定期更改密码是无效的。将此设置与“强制密码历史”设置一起使用可以防止发生这种情况。例如，如果设置“强制密码历史”来确保用户不能重用其最近用过的 12 个密码，并将“密码最短使用期限”设置为“0”，则用户可以通过连续更改密码 13 次，以返回到原来使用的密码。因此，要使“强制密码历史”设置有效，必须将此设置配置为大于 0。 　　对策 　　将“密码最短使用期限”的值设置为“2 天”。将天数设置为“0”将允许立即更改密码，我们不建议这样做。 　　潜在影响 　　将“密码最短使用期限”设置为大于 0 的值时存在一个小问题。如果管理员为用户设置了一个密码，然后希望该用户更改管理员定义的密码，则管理员必须选择“用户下次登录时须更改密码”复选框。否则，用户直到第二天才能更改密码。



　　最短密码长度 　　“最短密码长度”设置确定可以组成用户帐户密码的最少字符数。确定组织的最佳密码长度有许多不同的理论，但是，“通行码”一词可能比“密码”更好。在 Microsoft Windows 2000 及更高版本中，通行码可以相当长，并且可以包括空格。因此，诸如“I want to drink a $5 milkshake”之类的短语都是有效的通行码，它比由 8 个或 10 个随机数字和字母组成的字符串要强大得多，而且更容易记住。 　　此组策略设置可能的值是： 　　• 用户指定的数值，在 0 至 14 之间 　　• 没有定义 　　漏洞 　　可以执行几种类型的密码攻击，以获取特定用户帐户的密码。这些攻击类型包括试图使用常见字词和短语的词典攻击，以及尝试使用每一种可能的字符组合的暴力攻击。另外，可通过获取帐户数据库并使用破解帐户和密码的实用程序来执行攻击。 　　对策 　　应该将“最短密码长度”的值至少设置为“8”。如果字符数设置为“0”，则不要求使用密码。 　　在大多数环境中都建议使用由 8 个字符组成的密码，因为它足够长，可提供充分的安全性，同时也足够短，便于用户记忆。此设置将对暴力攻击提供足够的防御能力。提高复杂性要求将有助于降低词典攻击的可能性。下一部分将讨论复杂性要求。 　　潜在影响 　　允许短密码将会降低安全性，因为使用对密码执行词典攻击或暴力攻击的工具可以很容易地破解短密码。要求很长的密码可能会造成密码输入错误而导致帐户锁定，从而增加了帮助台呼叫的次数。 　　 要求极长的密码实际上可能会降低组织的安全性，因为用户更有可能写下自己的密码以免遗忘。但是，如果教会用户使用上述通行码，用户应该更容易记住这些密码。 　　密码必须符合复杂性要求 　　“密码必须符合复杂性要求”设置确定密码是否必须符合对强密码相当重要的一系列原则。 　　启用此策略要求密码符合下列要求： 　　• 密码长度至少为 6 个字符。 　　• 密码包含下列四类字符中的三类： 　　• 英语大写字符 (A–Z) 　　• 英语小写字符 (a–z) 　　• 10 个基数 (0–9) 　　• 非字母数字（例如：!、$、# 或 %） 　　• 密码不得包含三个或三个以上来自用户帐户名中的字符。如果帐户名长度低于三个字符，因为密码被拒概率过高而不会执行此项检查。检查用户全名时，有几个字符被看作是将名称分隔成单个令牌的分隔符，这些分隔符包括：逗号、句点、短划线/连字符、下划线、空格、磅字符和制表符。对于包含三个或更多字符的每个令牌，将在密码中对其进行搜索，如果发现了该令牌，就会拒绝密码更改。例如，姓名“Erin M. Hagens”将被拆分为三个令牌：“Erin”、“M”和“Hagens”。因为第二个令牌仅包含一个字符，因而会将其忽略。因此，该用户密码中的任何位置都不能包含“erin”或“hagens”子字符串。所有这些检查都是区分大小写的。 　　这些复杂性要求在密码更改或新建密码时强制执行。 　　不能直接修改 Windows Server 2003 策略中包括的这些规则。但是，可以创建一个新版本的 passfilt.dll，以应用不同的规则集。关于 passfilt.dll 的源代码，请参阅 Microsoft 知识库文章 151082“HOW TO: Password Change Filtering & Notification in Windows NT”，其网址为：http://support.microsoft.com/default.aspx?scid=151082（英文）。 　　此组策略设置可能的值是： 　　• 启用 　　• 禁用 　　• 没有定义 　　漏洞 　　只包含字母数字字符的密码非常容易被市场上可以买到的实用程序所破解。要防止出现这种情况，密码应该包含其他字符和要求。 　　对策 　　将“密码必须符合复杂性要求”的值设置为“启用”。 　　将此设置与“最短密码长度”值为“8”的设置结合使用，可确保一个密码至少有 218,340,105,584,896 种不同的可能性。这样就很难使用暴力攻击，但也并非不可能，如果某个攻击者具有足够的处理能力，能够每秒测试 100 万个密码，则可以在七天半左右的时间内确定这样一个密码。 　　潜在影响 　　启用默认的 passfilt.dll 可能会因帐户锁定而导致帮助台的呼叫次数增加，因为用户可能并没有使用包含字母表以外的字符的密码。但此设置非常灵活，所有用户都应该能够通过短时间的学习来满足这些要求。 　　自定义的 passfilt.dll 中包括的其他设置是使用非上行符。上行符是指按住 Shift 键并键入任何数字（1 – 10）时键入的字符。 　　同时，使用 Alt 键字符组合可大大增加密码的复杂性。但是，要求组织中的所有用户都遵守如此严格的密码要求可能会导致用户不满，并将导致帮助台极度繁忙。考虑在组织内实现这样一种要求，即使用 0128 – 0159 范围内的 Alt 字符作为所有管理员密码的一部分。此范围之外的 Alt 字符可表示标准的字母数字字符，而不会另外增加密码的复杂性。

　　用可还原的加密来存储密码（针对域中的所有用户） 　　“用可还原的加密来存储密码（针对域中的所有用户）”设置确定 Microsoft Windows Server 2003、Windows 2000 Server、Windows 2000 Professional 和 Windows XP Professional 是否使用可还原的加密来存储密码。 　　此策略支持使用需要了解用户密码以便进行身份验证的协议的应用程序。根据定义，存储以可还原方式加密的密码意味着可以对加密的密码进行解密。能够破解这种加密的高水平攻击者然后可以使用已被破坏的帐户来登录到网络资源。出于此原因，请永远不要启用此设置，除非应用程序的要求比保护密码信息更为重要。 　　使用通过远程访问的 CHAP 身份验证或 Internet 验证服务 (IAS) 时要求启用此设置。质询握手身份验证协议 (CHAP) 是 Microsoft 远程访问和网络连接使用的一种身份验证协议。Microsoft Internet 信息服务 (IIS) 的摘要式验证也要求启用此设置。 　　此组策略设置可能的值是： 　　• 启用 　　• 禁用 　　• 没有定义 　　漏洞 　　此设置确定 Windows Server 2003 是否以更容易遭到暴力攻击的一种较弱格式来存储密码。 　　对策 　　将“用可还原的加密来存储密码（针对域中的所有用户）”的值设置为“禁用”。 　　潜在影响 　　使用通过远程访问的 CHAP 身份验证协议或 IAS 服务。IIS 中的摘要式身份验证要求将此值设置为“禁用”。将使用组策略逐个应用到每位用户是一种极其危险的设置，因为它要求在 Active Directory 用户和计算机管理控制台中打开适当的用户帐户对象。 　　警告：请永远不要启用此设置，除非业务要求比保护密码信息更为重要。



　　帐户锁定策略 　　试图登录到系统时多次不成功的密码尝试可能表示攻击者正在以试错法来确定帐户密码。Windows Server 2003 跟踪登录尝试，而且可以将操作系统配置为通过在预设时间段内禁用帐户来响应这种潜在攻击。随本指南提供的 Microsoft Excel 工作簿“Windows Default Security and Services Configuration”（英文）为默认设置编制了文档。 　　可以在组策略对象编辑器的以下位置配置帐户锁定策略设置： 　　计算机配置\Windows 设置\安全设置\帐户策略\帐户锁定策略 　　帐户锁定时间 　　“帐户锁定时间”设置确定在自动解锁之前锁定帐户保持锁定状态的时间。可用范围为从 1 到 99,999 分钟。通过将该值设定为“0”，可以指定在管理员明确解锁之前锁定帐户。如果定义了帐户锁定阀值，帐户锁定时间必须大于或等于复位时间。 　　此组策略设置可能的值是： 　　• 用户定义的值，在 0 至 99,999 分钟之间 　　• 没有定义 　　漏洞 　　如果攻击者滥用“帐户锁定阀值”并反复尝试登录到帐户，则可能产生拒绝服务 (DoS) 攻击。如果配置“帐户锁定阀值”，在失败尝试达到指定次数之后将锁定帐户。如果“帐户锁定时间”设置为 0，则在管理员手动解锁前帐户将保持锁定状态。 　　对策 　　将“帐户锁定时间”设置为“30 分钟”。要指定该帐户永不锁定，请将该值设置为“0”。 　　潜在影响 　　将此设置的值配置为永不自动解锁可能看上去是一个好主意，但这样做会增加组织支持专家收到的要求解锁意外锁定帐户的请求的数目。

　　帐户锁定阈值 　　“帐户锁定阀值”确定导致用户帐户锁定的登录尝试失败的次数。在管理员复位或帐户锁定时间到期之前，不能使用已锁定的帐户。可以将登录尝试失败的次数设置在 1 至 999 之间，或者通过将该值设置为“0”，使帐户永不锁定。如果定义了帐户锁定阀值，帐户锁定时间必须大于或等于复位时间。 　　在使用 Ctrl Alt Delete 或受密码保护的屏幕保护程序进行锁定的工作站或成员服务器上的失败密码尝试，将不作为失败的登录尝试来计数，除非启用了组策略“交互式登录：要求域控制器身份验证以解锁工作站”。如果启用了“交互式登录：要求域控制器身份验证以解锁工作站”，则因解锁工作站而重复的失败密码尝试次数将被计入“帐户锁定阀值”。 　　此组策略设置可能的值是： 　　• 用户指定的值，在 0 至 999 之间 　　• 没有定义 　　漏洞 　　密码攻击可能利用自动化的方法，对任何或所有用户帐户尝试数千甚至数百万种密码组合。限制可以执行的失败登录次数几乎消除了这种攻击的有效性。 　　但是，请务必注意，可能在配置了帐户锁定阀值的域上执行 DoS 攻击。恶意攻击者可编制程序来尝试对组织中的所有用户进行一系列密码攻击。如果尝试次数大于帐户锁定阀值，则攻击者有可能锁定每一个帐户。 　　对策 　　由于配置此值或不配置此值时都存在漏洞，因此要定义两种不同的对策。任何组织都应该根据识别的威胁和正在尝试降低的风险来在两者之间进行权衡。有两个选项可用于此设置。 　　• 将“帐户锁定阀值”设置为“0”。这可确保帐户永不锁定。此设置可防止故意锁定全部或一些特定帐户的 DoS 攻击。另外，此设置还有助于减少帮助台的呼叫次数，因为用户不会将自己意外地锁定在帐户外。 　　由于它不能阻止暴力攻击，因此只有在下列要求均得到明确满足时才可以选择此设置： 　　• 密码策略强制所有用户使用由 8 个或更多字符组成的复杂密码。 　　• 强健的审核机制已经就位，可以在组织环境中发生一系列失败登录时提醒管理员。 　　• 如果不满足上述要求，请将“帐户锁定阀值”设置为足够高的值，以便用户能够在意外地错误输入几次密码时不会锁定自己的帐户，但可确保暴力密码攻击仍然会锁定帐户。在这种情况下，将该值设置为 50 次无效登录尝试是一个不错的建议。如上所述，此设置可以避免意外的帐户锁定，从而降低了帮助台的呼叫次数，但不能防止 DoS 攻击。 　　潜在影响 　　启用此设置可防止使用已锁定的帐户，直到管理员将该帐户复位或帐户锁定时间到期。此设置很可能会生成许多其他的帮助台呼叫。事实上，在许多组织中，锁定帐户都会为公司帮助台带来数目最多的呼叫。 　　如果将帐户锁定阀值设置为“0”，则可能检测不到攻击者尝试使用暴力密码攻击来破解密码。



　　复位帐户锁定计数器 　　“复位帐户锁定计数器”设置确定在登录尝试失败后，将失败登录尝试计数器复位到 0 次失败登录尝试之前所必须经过的时间（以分钟为单位）。如果定义了“帐户锁定阈值”，则此复位时间必须小于或等于“帐户锁定时间”。 　　此组策略设置可能的值是： 　　• 用户定义的数值，在 1 至 99,999 分钟之间 　　• 没有定义 　　漏洞 　　如果多次错误地输入密码，用户可能会意外地将自己锁定在帐户之外。要减少这种可能性，“复位帐户锁定计数器”设置确定在登录尝试失败后，将无效登录尝试计数器复位到 0 之前所必须经过的时间。 　　对策 　　将“复位帐户锁定计数器”的值设置为“30 分钟”。 　　潜在影响 　　不设置此值，或者为此值设置的时间间隔太长都可能导致 DoS 攻击。攻击者对组织中的所有用户恶意执行大量的失败登录尝试，以锁定他们的帐户，如上所述。如果没有复位帐户锁定的策略，管理员必须手动解锁所有帐户。如果设置了合理的值，用户将被锁定

      　　对于大多数企业局域网来说，路由器已经成为正在使用之中的最重要的安全设备之一。一般来说，大多数网络都有一个主要的接入点。这就是通常与专用防火墙一起使用的“边界路由器”。  



　　经过恰当的设置，边缘路由器能够把几乎所有的最顽固的坏分子挡在网络之外。如果你愿意的话，这种路由器还能够让好人进入网络。不过，没有恰当设置的路由器只是比根本就没有安全措施稍微好一点。  



　　在下列指南中，我们将研究一下你可 以用来保护网络安全的9个方便的步骤。这些步骤能够保证你拥有一道保护你的网络的砖墙，而不是一个敞开的大门。  



　　1.修改默认的口令！  



　　据国外调查显示，80%的安全突破事件是由薄弱的口令引起的。网络上有大多数路由器的广泛的默认口令列表。你可以肯定在某些地方的某个人会知道你的生日。SecurityStats.com网站维护一个详尽的可用/不可用口令列表，以及一个口令的可靠性测试。  



　　2.关闭IP直接广播（IP Directed Broadcast）  



　　你的服务器是很听话的。让它做什么它就做什么，而且不管是谁发出的指令。Smurf攻击是一种拒绝服务攻击。在这种攻击中，攻击者使用假冒的源地址向你的网络广播地址发送一个“ICMP echo”请求。这要求所有的主机对这个广播请求做出回应。这种情况至少会降低你的网络性能。  



　　参考你的路由器信息文件，了解如何关闭IP直接广播。例如，“Central（config）#no ip source-route”这个指令将关闭思科路由器的IP直接广播地址。  



　　3.如果可能，关闭路由器的HTTP设置  



　　正如思科的技术说明中简要说明的那样，HTTP使用的身份识别协议相当于向整个网络发送一个未加密的口令。然而，遗憾的是，HTTP协议中没有一个用于验证口令或者一次性口令的有效规定。  



　　虽然这种未加密的口令对于你从远程位置（例如家里）设置你的路由器也许是非常方便的，但是，你能够做到的事情其他人也照样可以做到。特别是如果你仍在使用默认的口令!如果你必须远程管理路由器，你一定要确保使用SNMPv3以上版本的协议，因为它支持更严格的口令。  



　　4.封锁ICMP ping请求  



　　ping的主要目的是识别目前正在使用的主机。因此，ping通常用于更大规模的协同性攻击之前的侦察活动。通过取消远程用户接收ping请求的应答能力，你就更容易避开那些无人注意的扫描活动或者防御那些寻找容易攻击的目标的“脚本小子”（script kiddies）。  



　　请注意，这样做实际上并不能保护你的网络不受攻击，但是，这将使你不太可能成为一个攻击目标。  



　　5.关闭IP源路由  



　　IP协议允许一台主机指定数据包通过你的网络的路由，而不是允许网络组件确定最佳的路径。这个功能的合法的应用是用于诊断连接故障。但是，这种用途很少应用。这项功能最常用的用途是为了侦察目的对你的网络进行镜像，或者用于攻击者在你的专用网络中寻找一个后门。除非指定这项功能只能用于诊断故障，否则应该关闭这个功能。  



　　6.确定你的数据包过滤的需求  



　　封锁端口有两项理由。其中之一根据你对安全水平的要求对于你的网络是合适的。  



　　对于高度安全的网络来说，特别是在存储或者保持秘密数据的时候，通常要求经过允许才可以过滤。在这种规定中，除了网路功能需要的之外，所有的端口和IP地址都必要要封锁。例如，用于web通信的端口80和用于SMTP的110/25端口允许来自指定地址的访问，而所有其它端口和地址都可以关闭。  



　　大多数网络将通过使用“按拒绝请求实施过滤”的方案享受可以接受的安全水平。当使用这种过滤政策时，可以封锁你的网络没有使用的端口和特洛伊木马或者侦查活动常用的端口来增强你的网络的安全性。例如，封锁139端口和445（TCP和UDP）端口将使黑客更难对你的网络实施穷举攻击。封锁31337（TCP和UDP）端口将使Back Orifice木马程序更难攻击你的网络。  



　　这项工作应该在网络规划阶段确定，这时候安全水平的要求应该符合网络用户的需求。查看这些端口的列表，了解这些端口正常的用途。  



　　7.建立准许进入和外出的地址过滤政策  



　　在你的边界路由器上建立政策以便根据IP地址过滤进出网络的违反安全规定的行为。除了特殊的不同寻常的案例之外，所有试图从你的网络内部访问互联网的IP地址都应该有一个分配给你的局域网的地址。例如，192.168.0.1这个地址也许通过这个路由器访问互联网是合法的。但是，216.239.55.99这个地址很可能是欺骗性的，并且是一场攻击的一部分。  



　　相反，来自互联网外部的通信的源地址应该不是你的内部网络的一部分。因此，应该封锁入网的192.168.X.X、172.16.X.X和10.X.X.X等地址。  



　　最后，拥有源地址的通信或者保留的和无法路由的目标地址的所有的通信都应该允许通过这台路由器。这包括回送地址127.0.0.1或者E类（class E）地址段240.0.0.0-254.255.255.255。  



　　8.保持路由器的物理安全  



　　从网络嗅探的角度看，路由器比集线器更安全。这是因为路由器根据IP地址智能化地路由数据包，而集线器相所有的节点播出数据。如果连接到那台集线器的一个系统将其网络适配器置于混乱的模式，它们就能够接收和看到所有的广播，包括口令、POP3通信和Web通信。  



　　然后，重要的是确保物理访问你的网络设备是安全的，以防止未经允许的笔记本电脑等嗅探设备放在你的本地子网中。  



　　9.花时间审阅安全记录  



　　审阅你的路由器记录（通过其内置的防火墙功能）是查出安全事件的最有效的方法，无论是查出正在实施的攻击还是未来攻击的征候都非常有效。利用出网的记录，你还能够查出试图建立外部连接的特洛伊木马程序和间谍软件程序。用心的安全管理员在病毒传播者作出反应之前能够查出“红色代码”和“Nimda”病毒的攻击。  



　　此外，一般来说，路由器位于你的网络的边缘，并且允许你看到进出你的网络全部通信的状况。

      　　内网是网络应用中的一个主要组成部分，其安全性也受到越来越多的重视。据不完全统计，国外在建设内网时，投资额的15%是用于加强内网的网络安全。在我国IT市场中，安全厂商保持着旺盛的增长势头。运营商在内网安全方面的投资比例不如国外多，但依然保持着持续的增长态势。要提高内网的安全，可以使用的方法很多，本文将就此做一些探讨。 　　采用安全交换机 　　由于内网的信息传输采用广播技术，数据包在广播域中很容易受到监听和截获，因此需要使用安全交换机，利用网络分段及VLAN的方法从物理上或逻辑上隔离网络资源，以加强内网的安全性。 　　操作系统的安全 　　从终端用户的程序到服务器应用服务、以及网络安全的很多技术，都是运行在操作系统上的，因此，保证操作系统的安全是整个安全系统的根本。除了不断增加安全补丁之外，还需要建立一套对系统的监控系统，并建立和实施有效的用户口令和访问控制等制度。 　　对重要资料进行备份 　　在内网系统中数据对用户的重要性越来越大，实际上引起电脑数据流失或被损坏、篡改的因素已经远超出了可知的病毒或恶意的攻击，用户的一次错误操作，系统的一次意外断电以及其他一些更有针对性的灾难可能对用户造成的损失比直接的病毒和黑客攻击还要大。 　　为了维护企业内网的安全，必须对重要资料进行备份，以防止因为各种软硬件故障、病毒的侵袭和黑客的破坏等原因导致系统崩溃，进而蒙受重大损失。 　　对数据的保护来说，选择功能完善、使用灵活的备份软件是必不可少的。目前应用中的备份软件是比较多的，配合各种灾难恢复软件，可以较为全面地保护数据的安全。 　　使用代理网关 　　使用代理网关的好处在于，网络数据包的交换不会直接在内外网络之间进行。内部计算机必须通过代理网关，进而才能访问到Internet ，这样操作者便可以比较方便地在代理服务器上对网络内部的计算机访问外部网络进行限制。 　　在代理服务器两端采用不同协议标准，也可以阻止外界非法访问的入侵。还有，代理服务的网关可对数据封包进行验证和对密码进行确认等安全管制。 　　设置防火墙 　　防火墙的选择应该适当，对于微小型的企业网络，可从Norton Internet Security 、 PCcillin 、天网个人防火墙等产品中选择适合于微小型企业的个人防火墙。 　　而对于具有内部网络的企业来说，则可选择在路由器上进行相关的设置或者购买更为强大的防火墙产品。对于几乎所有的路由器产品而言，都可以通过内置的防火墙防范部分的攻击，而硬件防火墙的应用，可以使安全性得到进一步加强。 　　信息保密防范 　　为了保障网络的安全，也可以利用网络操作系统所提供的保密措施。以Windows为例，进行用户名登录注册，设置登录密码，设置目录和文件访问权限和密码，以控制用户只能操作什么样的目录和文件，或设置用户级访问控制，以及通过主机访问Internet等。 　　同时，可以加强对数据库信息的保密防护。网络中的数据组织形式有文件和数据库两种。由于文件组织形式的数据缺乏共享性，数据库现已成为网络存储数据的主要形式。由于操作系统对数据库没有特殊的保密措施，而数据库的数据以可读的形式存储其中，所以数据库的保密也要采取相应的方法。电子邮件是企业传递信息的主要途径，电子邮件的传递应行加密处理。针对计算机及其外部设备和网络部件的泄密渠道，如电磁泄露、非法终端、搭线窃取、介质的剩磁效应等，也可以采取相应的保密措施。 　　从攻击角度入手 　　目前，计算机网络系统的安全威胁有很大一部分来自拒绝服务(DoS)攻击和计算机病毒攻击。为了保护网络安全，也可以从这几个方面进行。 　　对付“拒绝服务”攻击有效的方法，是只允许跟整个Web站台有关的网络流量进入，就可以预防此类的黑客攻击，尤其对于ICMP封包，包括ping指令等，应当进行阻绝处理。 　　通过安装非法入侵侦测系统，可以提升防火墙的性能，达到监控网络、执行立即拦截动作以及分析过滤封包和内容的动作，当窃取者入侵时可以立刻有效终止服务，以便有效地预防企业机密信息被窃取。同时应限制非法用户对网络的访问，规定具有IP地址的工作站对本地网络设备的访问权限，以防止从外界对网络设备配置的非法修改。 　　防范计算机病毒 　　从病毒发展趋势来看，现在的病毒已经由单一传播、单种行为，变成依赖互联网传播，集电子邮件、文件传染等多种传播方式，融黑客、木马等多种攻击手段为一身的广义的“新病毒”。计算机病毒更多的呈现出如下的特点：与Internet和Intranet更加紧密地结合，利用一切可以利用的方式(如邮件、局域网、远程管理、即时通信工具等)进行传播；所有的病毒都具有混合型特征，集文件传染、蠕虫、木马、黑客程序的特点于一身，破坏性大大增强；因为其扩散极快，不再追求隐藏性，而更加注重欺骗性；利用系统漏洞将成为病毒有力的传播方式。 　　因此，在内网考虑防病毒时选择产品需要重点考虑以下几点：防杀毒方式需要全面地与互联网结合，不仅有传统的手动查杀与文件监控，还必须对网络层、邮件客户端进行实时监控，防止病毒入侵；产品应有完善的在线升级服务，使用户随时拥有最新的防病毒能力；对病毒经常攻击的应用程序提供重点保护；产品厂商应具备快速反应的病毒检测网，在病毒爆发的第一时间即能提供解决方案；厂商能提供完整、即时的反病毒咨询，提高用户的反病毒意识与警觉性，尽快地让用户了解到新病毒的特点和解决方案。 　　密钥管理 　　在现实中，入侵者攻击Intranet目标的时候，90%会把破译普通用户的口令作为第一步。以Unix系统或Linux 系统为例，先用“ finger远端主机名”找出主机上的用户账号，然后用字典穷举法进行攻击。这个破译过程是由程序来完成的。大概十几个小时就可以把字典里的单词都完成。 　　如果这种方法不能奏效，入侵者就会仔细地寻找目标的薄弱环节和漏洞，伺机夺取目标中存放口令的文件 shadow或者passwd 。然后用专用的破解DES加密算法的程序来解析口令。 　　在内网中系统管理员必须要注意所有密码的管理，如口令的位数尽可能的要长；不要选取显而易见的信息做口令；不要在不同系统上使用同一口令；输入口令时应在无人的情况下进行；口令中最好要有大小写字母、字符、数字；定期改变自己的口令；定期用破解口令程序来检测shadow文件是否安全。没有规律的口令具有较好的安全性。 　　结语 　　以上九个方面仅是多种保障内网安全措施中的一部分，为了更好地解决内网的安全问题，需要有更为开阔的思路看待内网的安全问题。在安全的方式上，为了应付比以往更严峻的“安全”挑战，安全不应再仅仅停留于“堵”、“杀”或者“防”，应该以动态的方式积极主动应用来自安全的挑战，因而健全的内网安全管理制度及措施是保障内网安全必不可少的措施。

      　自1988年莫氏放出第一个蠕虫病毒以来，计算机蠕虫病毒以其快速、多样化的传播方式不断给网络世界带来灾害。特别是网络的迅速发展令蠕虫造成的危害日益严重，造成一个谈毒色变的的网络世界。  



　　不同于一般的病毒，蠕虫病毒以计算机为载体，复制自身在互联网环境下进行传播，蠕虫病毒的传染目标是网络上所有计算机——局域网条件下的共享文件夹、电子邮件email、网络中的恶意网页、大量存在着漏洞的服务器等都成为蠕虫传播的良好途径。  



　　蠕虫的工作原理一般是这样的：  



　　首先，扫描：由蠕虫的扫描功能模块负责探测存在漏洞的主机。随机选取某一段IP地址，然后对这一地址段上的主机扫描。笨点的扫描程序可能会不断重复上面这一过程。这样，随着蠕虫的传播，新感染的主机也开始进行这种扫描，这些扫描程序不知道哪些地址已经被扫描过，它只是简单的随机扫描互联网。于是蠕虫传播的越广，网络上的扫描包就越多。即使扫描程序发出的探测包很小，积少成多，大量蠕虫程序的扫描引起的网络拥塞就非常严重了。  



　　其次，攻击：当蠕虫扫描到网络中存在的主机后，就开始利用自身的破坏功能获取主机的管理员权限。 最后，利用原主机和新主机的交互将蠕虫程序复制到新主机并启动。  



　　由此可见，蠕虫的危害有两个方面：  



　　一．蠕虫大量而快速的复制使得网络上的扫描包迅速增多，造成网络拥塞，占用大量带宽，从而使得网络瘫痪。  



　　二．网络上存在漏洞的主机被扫描到以后，会被迅速感染，使得管理员权限被窃取。方便黑客的攻击。  



　　魔高一尺，道高一丈，随着蠕虫的快速演变，解毒的的高手也不断涌现。艾泰科技宽带安全网关系列就采用了“检测——屏避”的简单防毒方法。  



　　首先，检测：这一步骤需要手工来操作，但极为简单，由于网络中的蠕虫病毒不断向外界计算机发出扫描包，这些扫描包是有显而易见的特点的。例如，被感染的计算机中的蠕虫病毒会向网络中的某段IP地址发送扫描包。由于网络所来往发送接收的包都要经过路由器，而通过路由器的WEB管理界面就可以轻松看到。所以，蠕虫病毒攻击的特点反映在上网监控页面上就是：感染的主机发出大量的NAT会话，会话中只有上传包，下载包很小或者为零。如果存在这样的主机，说明该主机已经被蠕虫病毒感染。  



　　这种情况下，就要进入第二步，对网络中的主机实施屏蔽。屏蔽的方法是：利用路由器的管理功能建立相应的策略，关闭病毒向外发包的端口。采取杀毒措施或者安装相应的补丁程序。这样，就可以轻松搞定蠕虫病毒。  

      　在系统漏洞层出不畹慕裉欤魑绻芾碓薄⑾低彻芾碓钡奈颐撬淙辉诜衿鞯陌踩隙枷铝瞬簧俟Ψ?诸如，及时的打上系统安全补丁、进行一些常规的安全配置,但是仍然不太可能每台服务器都会在第一时间内给系统打上全新补丁。因此我们必需要在还未被入侵之前，通过一些系列安全设置，来将入侵者们挡在“安全门”之外;下面就以本人一直以来所用到的最简单、最有效的防(Overflow)溢出、本地提供权限攻击类的解决办法给大家讲讲。  



　　1、如何可以防止溢出类的骇客攻击呢?  



　　① 尽最大的可能性将系统的漏洞补丁都打完;最好是比如Microsoft Windows Server系列的系统可以将自动更新服务打开，然后让服务器在您指定的某个时间段内自动连接到Microsoft Update网站进行补丁的更新。如果您的服务器为了安全起见 禁止了对公网外部的连接的话，可以用Microsoft WSUS服务在内网进行升级  



　　② 停掉一切不需要的系统服务以及应用程序，最大限能的降底服务器的被攻击系数。比如前阵子的MSDTC溢出，就导致很多服务器挂掉了。其实如果WEB类服务器根本没有用到MSDTC服务时，您大可以把MSDTC服务停掉，这样MSDTC溢出就对您的服务器不构成任何威胁了。  



　　③ 启动TCP/IP端口的过滤:仅打开常用的TCP如21、80、25、110、3389等端口;如果安全要求级别高一点可以将UDP端口关闭，当然如果这样之后缺陷就是如在服务器上连外部就不方便连接了，这里建议大家用IPSec来封UDP。在协议筛选中"只允许"TCP协议(协议号为:6)、UDP协议 (协议号为:17)以及RDP协议(协议号为:27)等必需用协议即可其它无用均不开放。  



　　④ 启用IPSec策略:为服务器的连接进行安全认证，给服务器加上双保险。如③所说，可以在这里封掉一些危险的端品诸如:135 145 139 445 以及UDP对外连接之类、以及对通读进行加密与只与有信任关系的IP或者网络进行通讯等等。(注:其实防反弹类木马用IPSec简单的禁止UDP或者不常用TCP端口的对外访问就成了,关于IPSec的如何应用这里就不再敖续，你可以到服安讨论Search "IPSec"，就会有N多关于IPSec的应用资料..)  



　　⑤ 删除、移动、更名或者用访问控制表列Access Control Lists (ACLs)控制关键系统文件、命令及文件夹:  





　1.黑客通常在溢出得到shell后，来用诸如net.exe net1.exe ipconfig.exe user.exe query.exe regedit.exe regsvr32.exe 来达到进一步控制服务器的目的如:加账号了，克隆管理员了等等;这里我们可以将这些命令程序删除或者改名。(注意:在删除与改名时先停掉文件复制服务 (FRS)或者先将 %windir%system32dllcache下的对应文件删除或改名。)  



　　2.也或者将这些.exe文件移动到你指定的文件夹,这样也方便以后管理员自己使用。  



　　3.访问控制表列ACLS控制:找到%windir%system32下找到cmd.exe、cmd32.exe net.exe net1.exe ipconfig.exe tftp.exe ftp.exe user.exe reg.exe regedit.exe regedt32.exe regsvr32.exe 这些黑客常用的文件，在“属性”→“安全”中对他们进行访问的ACLs用户进行定义，诸如只给administrator有权访问，如果需要防范一些溢出攻击、以及溢出成功后对这些文件的非法利用;那么我们只需要将system用户 在ACLs中进行拒绝访问即可。  



　　4.如果你觉得在GUI下面太麻烦的话，你也可以用系统命令的CACLS.EXE来对这些.exe文件的Acls进行编辑与修改，或者说将他写成一个.bat批处理 文件来执行以及对这些命令进行修改。(具体用户自己参见cacls /? 帮助进行，由于这里的命令太多我就不一一列举写成批处理代码给各位了!!)  



　　5.对磁盘如C/D/E/F等进行安全的ACLS设置从整体安全上考虑的话也是很有必要的，另外特别是win2k，对Winnt、WinntSystem、Document and Setting等文件夹。  



　　⑥ 进行注册表的修改禁用命令解释器: (如果您觉得用⑤的方法太烦琐的话，那么您不防试试下面一劳永逸的办法来禁止CMD的运行)  



　　通过修改注册表，可以禁止用户使用命令解释器(CMD.exe)和运行批处理文件(.bat文件)。具体方法:新建一个双字节 (REG_DWORD)执行 HKEY_CURRENT_USERSoftwarePolicies MicrosoftWindowsSystemDisableCMD，修改其值为1，命令解释器和批处理文件都不能被运行。修改其值为2，则只是禁止命令解释器的运行,反之将值改为0，则是打开CMS命令解释器。如果您赚手动太麻烦的话,请将下面的代码保存为*.reg文件，然后导入。  



　　Windows Registry Editor Version 5.00  



　　[HKEY_CURRENT_USERSoftwarePoliciesMicrosoftWindowsSystem]  



　　"DisableCMD"=dword:00000001  



　　⑦ 对一些以System权限运行的系统服务进行降级处理。(诸如:将Serv-U、Imail、IIS、Php、Mssql、Mysql等一系列以 System权限运行的服务或者应用程序换成其它administrators成员甚至users权限运行，这样就会安全得多了...但前提是需要对这些基本运行状态、调用API等相关情况较为了解. )  



　　其实，关于防止如Overflow溢出类攻击的办法除了用上述的几点以外，还有N多种办法:诸如用组策略进行限制，写防护过滤程序用DLL方式加载windows到相关的SHell以及动态链接程序之中这类。当然自己写代码来进行验证加密就需要有相关深厚的Win32编程基础了，以及对 Shellcode较有研究;由于此文仅仅是讨论简单的解决办法，因此其它办法就不在这里详述了。  



　　2、如何在防止被骇客溢出得到Shell后对系统的而进一步入侵呢?  



　　① 在做好1中上述的工作之后，基本上可以防目骇客在溢出之后得到shell了;因为即使Overflow溢出成功，但在调用CMDSHELL、以及对外联接时就卡了。 (为什么呢，因为:1.溢出后程序无法再调用到CMDSHLL我们已经禁止system访问CMD.exe了。2.溢出之后在进行反弹时已经无法对外部 IP进行连接了。所以，基本上要能过system权限来反弹shell就较困难的了...)  



　　② 当然世界上是不存在绝对的安全的，假设入侵者在得到了我们的shell之后，做些什么呢?一般入侵者在在得到shell之后，就会诸如利用系统命令加账号了通过tftp、ftp、vbs等方式传文件了等等来达到进一步控制服务器。这里我们通过1上述的办法对命令进行了限制，入侵者是没有办法通过tftp、 ftp来传文件了，但他们仍然可以能过echo写批处理，用批处理通过脚本BAT/VBS/VBA等从WEB上下载文件，以及修改其它盘类的文件等潜在破坏行为。所以我们需要将echo命令也限制以及将其它盘的System写、修改文件的权限进行处理。以及将VBS/VBA类脚本以及XMLhttp等组件进行禁用或者限制 system的运行权。这样的话别人得到Shell也无法对服务器上的文件进行删除以及进行步的控制系统了;以及本地提权反弹Shell了。  



　　后记:其它服务器、系统的安全是个整体的概念;有可能你其它一小点的疏忽就可以让你的网站、甚至服务器沦陷。因此安全策略必需走防患未然的道路，任何一个小地方都不能马虎、今天关于防Overflow的安全小技巧就为大家介绍到这里，关于其它方面的服务器安全配置经验我们在下一篇文章再见吧。

      微软发布的Windows Server 2003中文补丁包SP1除了对系统中存在的漏洞进行修补外，还新增了一些实用功能，特别是安全配置向导（Security Configuration Wizard，简称SCW）功能，它成为Windows 2003 SP1新增功能中的亮点。

    在Windows 2003 SP1系统中，安全配置向导（SCW）是一个新增的安全配置功能，它可以最大程度地缩小服务器的受攻击面。

　　利用SCW所提供的功能，网管能非常轻松地完成服务器角色的指定，禁用不需要的服务和端口，配置服务器的网络安全，配置审核策略、注册表和IIS服务器等工作，对巩固服务器的安全有极大的帮助。同时，由于整个配置过程都是在向导对话框中完成的，无需繁琐的手工设置，网管的工作负担会得到减轻。

　　现在，不妨让我们在这位安全“向导”的指引下，去巩固我们的服务器安全防护体系。

　　默认情况下，即使你的Windows 2003系统已安装了SP1补丁包，但这时还是无法使用SCW功能的。这是因为该组件没有被安装，用户需要通过“添加/删除Windows组件”功能手工安装SCW。

　　首先保证Windows 2003系统已经安装了SP1补丁包，接着进入“添加/删除Windows组件”页面。在“Windows组件向导”对话框中选中“安全配置向导”选项，点击“下一步”按钮后，就能轻松完成SCW组件的安装。

　　提示：完成该组件的安装后，运行SCW也很简单，主要有两种方法。进入“控制面板”中的“管理工具”窗口，运行“安全配置向导”即可；点击“开始→运行”，在运行对话框中运行“SCW.exe”命令。

      “万事俱备，只欠东风”，完成了“安全配置向导”组件的安装后。大家可利用SCW安全配置向导，一步步的对Windows 2003服务器的角色服务、网络安全、注册表、审核策略，以及IIS服务器进行配置，实现增强服务器安全的目的。

　　运行SCW后，弹出“欢迎使用安全配置向导”对话框，点击“下一步”按钮，进入“配置操作”对话框。

　　由于是第一次运行SCW功能，因此在“配置操作”对话框中要选择“创建新的安全策略”。











1.选择服务器

　　俗话说“有的放矢”，在进行安全配置之前，首先要选择目标，也就是选择将要进行安全配置的Windows 2003服务器。

　　点击“下一步”按钮后，进入“选择服务器”对话框。在这里选择要进行安全配置的Windows 2003服务器（可以是本地服务器，也可是网络中的其他服务器）。在“服务器”栏中输入要进行安全配置的Windows 2003服务器的机器名或IP地址。接着点击“下一步”按钮，SCW就开始处理安全配置数据库。完成后，进入“基于角色的服务配置”对话框，才真正开始SCW向导化的安全配置之旅。

　　2.我的“角色”，我做主

　　Windows 2003服务器提供了数量众多的服务器角色，如文件服务器、DHCP服务器等，但并不是所有的角色都是需要的。使用不慎，反而会增加服务器的安全隐患。利用SCW的“选择服务器角色”向导就能轻松完成角色的选择。

　　在“基于角色的服务配置”向导中可以对Windows 2003服务器角色、客户端功能、系统服务等内容进行配置。点击“下一步”按钮，进入“选择服务器角色”对话框（图1），在列表框中选择Windows 2003服务器所执行的角色（如文件服务器、打印服务器等）。根据自己的需要，在角色列表框中勾选需要的服务器角色选项后，才能使用相应的Windows 2003服务器功能并开放相应的服务端口。

　　当然，一个Windows 2003服务器可以担当一个或多个服务器角色，它可以是Web服务器，也可以是文件服务器。

　　点击“下一步”后，选择Windows 2003服务器的“客户端功能”。设置Windows 2003系统作为客户端所要扮演的角色（如Microsoft网络客户端、FTP客户端等），在列表框中勾选所需要的客户端功能即可。点击 “下一步”后，进入“选择管理和其它选项”对话框，选择所需要的Windows 2003服务。

　　下面还要配置Windows 2003系统的额外服务，配置完成后进入“处理未指定的服务”对话框。“未指定的服务”是指没有在安全配置数据库中列出的服务（如杀毒软件提供的服务）。建议大家选中“不更改此服务的启用模式”选项，这样该服务会按照以前的状态运行。

　　最后进入“确认服务更改”对话框，对以上所做的配置进行最终确认后，这样就完成了基于角色的服务配置。

　　3.开放端口，要注意网络安全

　　完成基于角色的服务配置后，各种服务器要在网络中为用户提供服务，就必须开放相应的服务端口。默认情况下，Windows防火墙是不允许这些服务端口通信的。因此，我们可以在SCW向导中开放通信端口。

　　进入“网络安全”对话框，在此可配置已经选中的服务器角色和其他Windows 2003服务所使用的端口。点击“下一步”按钮后，在“打开端口并允许应用程序”对话框中开放需要的端口（图2）。如FTP服务器需要的“20和21”端口，IIS服务需要的“80”端口等。只要在列表框中选择要开放的端口选项即可，最后确认端口配置。











　　4.修改注册表，增强服务器安全

　　很多网管利用修改注册表和组策略的方法增强服务器安全，但这种方法存在很大的风险性，错误修改了某个键值或安全策略，会导致服务器出现问题。利用SCW的注册表设置向导进行修改，既省事，又安全。

　　完成以上网络安全设置后，就进入到注册表设置向导对话框，利用设置向导来修改某些特殊的注册表键值，增强服务器安全。根据注册表设置向导的提示，分别完成对“出站身份验证方法”、“入站身份验证方法”等项目的设置即可。

　　5.配置审核策略，用好日志

　　Windows 2003服务器的日志就像一个“黑匣子”，可以记录系统中发生的一切，为服务器的稳定运行提供帮助。但记录太多的事件会浪费服务器资源，因此网管可以合理地选择审核目标，记录一些重要事件。

　　SCW提供了系统审核策略配置功能，免去了手工指定审核目标的麻烦。

　　进入“系统审核策略”配置对话框后，合理选择审核目标即可。建议大家选择“审核成功的操作”选项，这样一来，日志只记录成功的事件操作，而其他则会被忽略，节省了服务器资源。

　　当然，如果有特殊需要，也可以选择其他选项。如“不审核”或“审核成功或不成功的操作”选项。

　　6.IIS安全，要慎重

　　IIS服务器的脆弱性大家都知道，这次微软对IIS非常重视，在SCW中提供了“Internet信息服务”配置功能。

　　如果你的系统中已安装、运行了IIS服务器，完成了系统审核策略配置后，SCW就会对IIS服务进行安全配置，保证它能稳定运行。

　　进入“Internet信息服务”配置向导对话框后，按照提示和服务器的需要，分别设置IIS要启用的Web服务扩展、要保留的虚拟目录，以及设置匿名用户是否有写权限。以上设置过程比较简单，根据实际需要，启用所要的IIS项目即可。

　　完成以上配置后，还要保存配置的安全策略。在“安全策略文件名”对话框中，为配置的安全策略取名，最后在“应用安全策略”对话框中选择“现在应用”选项，使配置的安全策略生效。

　　现在，经过上述设置之后，Windows 2003服务器会变得更加安全、可靠，能够最大限度地抵御病毒和黑客的攻击。同时，使用SCW功能对Windows 2003系统进行安全方面的配置，非常简单，易于上手，极大地降低了网管的安全维护工作量。如果SP1补丁包已在你的Windows 2003系统中安家落户，不妨立刻试试SCW的神奇功效。

      
　　在网络上，一台主机可以由它的计算机名、域名等来定位，但是，一台主机的绝对位置最终还是由它的IP地址来决定的。在很多情况下，我们需要知道与我们通讯的对方的IP地址，那么怎样才能知道对方的IP地址呢？一些朋友可能会说，用系统自带的Netstat命令不就得了吗，但笔者认为，Netstat命令不够直观，如果你的电脑安装了天网防火墙，那么利用它查对方的IP地址就变得轻而易举。　　天网防火墙是天网安全实验室（http://www.sky.net.cn/）推出的专业软件防火墙，该软件的网络监控功能能够显示本地计算机全部的监听端口和已连接的端口，当然了，它也能显示全部和本地计算机已连接的主机的IP地址。下面，我们用RealLink来做个试验。　　RealLink是国产的一款P2P软件，该软件除了可以点对点地交换文件外，还提供了文字即时聊天功能（其实现在很多P2P软件都提供了这种功能，我们同样可以使用下面介绍的方法查出对方的IP地址），但是遗憾的是我们不能和显IP地址的QQ珊瑚虫版一样得到对方的IP地址。　　先打开天网防火墙的主界面，然后在RealLink的聊天窗口上给对方发送一条文字信息，这时我们会发现，在天网防火墙的主界面上会突然出现一条连接（如图1），稍时，这条连接会消失，用同的方法我们再发一条信息，该连接会再次出现，现在，我们就可以断定，该连接中的IP地址就是对方的IP地址，而且，我们还知道了对方使用1030端口与我们对话。


　　利用天网防火墙的这一功能，我们还可以查看自己是否中了黑客的木马，查看控制我们电脑的黑客的IP地址。　　天网防火墙内置了一个已知木马默认监听端口的列表，如果您的电脑开启了该列表中的监听端口，那么天网防火墙会提示使用该端口的木马，如图2所示，该电脑被开启了7626监听端口，于是天网防火墙提示冰河木马（冰河木马默认的监听端口是7626）监听此端口。从图2上我们以看出，该端口还处于监听状态，说明黑客还没连接该电脑，暂停天网防火墙的所有IP规则，我们继续开着电脑等待黑客来控制这台电脑。


　　如图3所示，这是黑客已连接上并下载被控端电脑中文件的截图，从图上我们可以看出，黑客的IP地址为“61.234.10.69”，记下这个IP地址，单击“结束进程”的图标结束冰河的进程（在紧急状态下您还可以单击“接通/断开”开关断开电脑与Internet的连接）。

　　 QQ的珊瑚虫版中有一个IP地址和地理位置互查的小工具，打开这个工具，输入黑客的IP地址，我们就可以得到黑客所处的地理位置（如图4）。

　　 提示：IP地址和地理位置互查的工具在网上比较多，一些网站也提供IP地址和地理位置互查的服务，但是这类查询都是基于一个人工收集的IP数据库，QQ的珊瑚虫版使用的是纯真的IP地址数据库，这个数据库收集的IP地址比全面，而且也比较准确，故笔者推荐使用QQ珊瑚虫版中的工具。

      原始连接：http://community.csdn.net/Expert/topic/4568/4568626.xml?temp=.4725305不要把xxx.com这样的解吸到服务器 只解吸2级域名 比如www.xxx.com shit.xxx.com服务器上如果绑定了不带www的域名就会被查到...而且不要做泛绑定