中小企业Windows Server安全异常状态诊断

关键 词 ：中小企业 ； ｎ ｏ ｓ ｅ ｅ ； Ｗｉｄｗ ｒ ｒ 安全异常状态 ； 断 Ｓｖ 诊
Ｄｉ ｇ ｏ ｅ ｆＡｂ ｏ ｍ ａ ｅ ｕ ｉ ｔ ｔ ｏ ｉ ｄ ｗｓＳ ｒ ｅ ｎ Ｓ Ｅ ａ ｎ ｓ ｓ ｏ ｎ ｒ ｌＳ ｃ ｒｔ Ｓ ａ ｅ ｆ ｒ Ｗ ｎ ｏ ｅ ｖ ｒ ｉ Ｍ ｙ
（）不 要使用 相关 人员 的 中英 文姓 名 、用户 名 、地 名 、 ３ 电话号码 、常用词汇作为密码 ： （）管理者不要与其他 系统密码共享使用 ： ４ （）密码需要定期更换 ，时间不能太长。 ５
２１ ．． ３其他 常见 保 护 方 法
系统常用端 口和协 议 ，系统管理 者要清楚 ，需要 使用 的 端 口就肩用 ，需要使用的协议就安装。 （）活动的端 口及其应用程序运行情况的诊 断 １
（）关闭不需要 的系统服务 ３
使 用 Ｗｉｄｗ ｅｖｒ ｎ ｏ ｓ ｒ 的服 务 控 制 台 关 闭 不需 要 的服 务 。系 Ｓ ｅ
Ｌ ｎ ｎｇｒ口令散列 算法 对 口令 的处 理采 用 的 １ ａＭａ ａｅ ４位 长 度 ，如 口令不足 １ 就用 ０ 口令补足 ，对 口令 中的字母转 ４位 把 换成 大写字母 后将 口令分成 两组 ７位 的数字 ，再 由这两 个 ７
橘皮书将计算机系统的安全划分为 ４个等级 ，安全级别低
ｃ ｎ ｕ ｔｄ ｓ ｍｅ ａ ａｙ ｅ ｆｔ ｅ ｆ ｑ ｅ ｔｏ ｃ ￣ｅ ｃ ｆｓ ｃ ｒｔ ｂ ｏ ｍａ ｔｔ ， ｎ ｒｅ ｕ ｒ ｒ ｏ ｏｕ ｉｎ ｏ ｔ ｅ ｏ ｄ ｃｅ ｏ ｎ ｌｓ ｓｏ ｅ ｕ ｎ ｃ ｕ ｎ ｅ ｏ ｅ ｕ ｙ ａ ｎ ｒ ｌ ｓａｅ ａ ｄ ｔ ｄ ｔ ｐ ｔｆ ｗａｄ ｓ ｍｅ ｓ ｌ ｔ ｓｔ ｈ ｈ ｒ ｉ ｉ ｏ ｏ ｏ
ＣＭ ＵＩＧＳＣＲＴ Ｃ ＮＱＥ Ｏ ＰＴ Ｕ Ｉ Ｔ Ｈ Ｉ Ｓ Ｎ Ｅ ＹＥ Ｕ
计算机安全技术
中小企业 Ｗｉｄｗ ｅｖｒ ｎ ｏ ｓ ｒｅ 黔南 民族职业技术学院，贵州 都匀 ５ ８ ０） ５ ０ ０ 摘 要 ：随着计算机 网络应 用的飞速发展 ，微软公 司的Ｗｉｄｗ ｅ ｅ ｎ ｏ ｓ ｒ ｒ系列产品 因为表现 出高可靠性 、高效率与较 Ｓｖ
Ａｂ ｔ ａ ｔ Ｗ ｉ ｈ ａ ｉ ｅ ｅｏ ｍｅ ｔｏ ｏ ｕ ｅ ｅｗｏｋ ａ ｐ ｉ ａ ｉｎ ， ｃ ｏ ｏ ｉ ｄ ｗｓ Ｓ ｒ ｅ ｅ ｉｓ ｏ ｒｄ ｃ ｓ ａ ｅ ｓｒ ｃ ： ｔ ｔｅ ｒ ｐ ｄ ｄ ｖ ｌｐ ｎ ｆｃ ｍｐ ｔｒ ｎ ｔ ｒ ｐ ｌ ｔ ｓ Ｍｉ ｒ ｓ ｆ Ｗ ｎ ｏ ｅ ｖ ｒ ｓ ｒ ｆｐ ｏ ｕ ｔ ｒ ｈ ｅ ｏ ｌ ｅ ｇ ｉｉ ｇ ｍｏ ｅ ｐ ｐ ｌｒ ｙ ａ ｄ ｗｉ ｅｙ ｕ ｅ ｎ Ｓ ｈ ｎ ｓ ｔ ｈ ｉ ｈ ｇ ｅ ｉｂ ｌ ｙ ｆ ｃｅ ｃ ｎ ｏ ｔ ｅ ｅ ｔ ｅ ｅ ｓ ｏ ｖ ｒ ａｎ ｎ ｒ ｏ ｕ ａ ｔ ｎ ｄ ｌ ｓ ｄ ｉ ＭＥ ｔ ａ ｋ ｏ ｔ ｅｒ ｉｈ ｒ ｌ ｉ ｔ，ｅｆ ｉｎ ｙ ａ ｄ ｃ ｓ － ｆ ｃ ｉ ｎ ｓ ；ｈ ｗｅ ｅ ｉ ａ ｉ ｉ ｖ ｓ ｃ ｒｔ ｎ ｉ ｅ ｔ ｏ ｃ ｒｆｅ ｕ ｎ ｙ ｄ ｅ ｔ ｕ ｄ ｎ ａ ｔ ｒ ｒ ｔｅ ｑ ａ ｉ ｆｈ ｍａ ｅ ｏ ｒ ｅ ． ｈ ｕ ｈ ｒ ｏ ｈ ｓ ｔ ｅ ｉ ａ ｅ ｕ ｙ ｉ ｃｄ ｎ ｓ ｃ ｕ ｑ ｅ ｆ ｕ ｏ ｆ ｎ ｉ ｇ ｆｃ ｏ ｓ ｏ ｈ ｕ ｌ ｙ ｏ ｕ ｎ ｒ ｓ ｕ ｃ ｓ Ｔ ｅ ａ ｔ ｏ ｆ ｔ ｉ ｈ ｓｓ ｈ ｓ ｉ ｌ ｔ
到 高 ：Ｄ级为最小保护 ，Ｃ级分 为选择的安全保护 ｃ 级和受 １ 控 的访问环境 ｃ 级 ，Ｂ级分为标号安全保护 Ｂ 级 、结构化安 ２ １
位数字分 别生成 ８位的数据加 密钥 匙 ，每个 数据 加密钥匙 又 再使用一个魔 法数字进行散列加密形成 ６ 的值 ，将两组 ６ ４位 ４
位 的值连在一起就构成 了 Ｌ 的 １８位 口令散列。从 上面的叙 Ｍ ２ 述可看出 ，如果 口令设置在 １ ４位以内 ，则密码破解 只需要分
１９ 中华人 民共和 国公安 部制定 了 《 ９ ９年 计算机信 息系统
安全保护等级划分准则》 国家标 准 ，已于 ２ ０ 年 由国家质量 ０１
技术监 督局发 布。这项标准将计 算机信 息系统 安全保 护等级
划分为 ５个级别 ：第 １ 级用户 自主保护 ，第 ２级系统 审计 保 护 ，第 ３级安全标 记保护 ，第 ４级结构 化保护 级 ，第 ５级访
统 作为计算 机系统 中最基本 、最重要 的软件 ，它在运 行过程
中可能会 出现各种各样 的异 常状态 ，这些异 常状态往 往会带 来安全威胁 ，对服务器 内的数据造成破坏。
１ 计算机安全等级标准
１１ 美 国 可 信计 算 机 系统 评 估 准 则 ．
被加 密 ， 目前 Ｗｉｄｗ 系统采 用有 ４种密 码加 密技术 ：Ｌ ｎ ｎｏ ｓ ａ— Ｍａａｅ 简 称 Ｌ ）口令 散 列算 法 、Ｎ Ａ ｎｇｒ（ 称 ｎｇｒ（ Ｍ Ｔ Ｌ Ｎ Ｍａａｅ 简
全保护 Ｂ ２级和安全域机制 Ｂ ３级 ，Ａ级为可验证 的安全设计 。
１ 中国计算机信息 系统安全保护等级划分准则 ． ２
开成 ２个 ７位来 考虑。Ｎ Ａ ａ ａｅ 口令算 法对 口令 的处 ＴＬ Ｎ Ｍ ｎ ｇｒ 理先转换 成 ｕ ｉ ｄ ｎｃ ｅ编码 ，再 使用 Ｍ ４算法 将 口令 加密 。对 ｏ Ｄ
重要 的 ，系统管理人 员对用户账 户和密码 、注册 表 、安全 事
管理 员对用户账户需要设置安全可靠 的密码 ：
件 、端 口和协议 的安全作为重点诊断项 目。
收 稿 日期 ：２ １— １ ０ ０２０—８
－ 美 Ｉ ｉ 螭
电脑编程技巧与维护
（）如需要最高级别的安全性 ，至少设置 １ １ ５个字符 ： （）密码应使用英文字母大小写 、数字 、字符组合构成 ： ２
好的经济性 ，中小企业服务器安装使 用它越 来越 多，但 受到 资金 、人 力的影响 ，安全 事件 的出现非 常频繁 ，对经 常
出现 的安 全异 常状 态的地方进行 了分析 ，提 出了一些 解决办 法，为现 阶段 中小企业构建 一个相对安全 的 Ｗｉｄ ｗ ｎｏｓ
Ｓ ｒｅ 服 务 器。 ｅｖ ｒ
Ｎ Ｌ ） Ｔ Ｍ ２ ｅ ｅｏ ５ Ｔ Ｍ 、Ｎ Ｌ ｖ 、Ｋ ｒ ｒｓ 。 ｂ Ｖ
１８ 年美 国国防部计算 机安全保 密中心制订 了第 一个计 ９３
算 机系统安 全评价标准 的技 术性法规 《 可信计 算机 系统评估
准 则》 （ｒｓ ｄＣ ｍｐ ｔ ｙｔｍ Ｅ ａｕｔ ｎ Ｃ ｔｒ Ｔ Ｓ Ｃ Ｔｕｔ ｏ ｕｅ Ｓｓ ｖｌａｉ ｒｅ ａ．Ｃ Ｅ ） ｅ ｒ ｅ ｏ ｉ ｉ 简称橘皮书 。
Ｗ ＡＮ ｎｇ ａ Ｄｏ ｃ ｏ
（ｈ ｃｕ ａｉ ａ Ｔ ｃｎ ｌｇ ｏ ｅｅｏ ｕｚｏ ｏ ｔ Ａｕｏ ｏ ｕ ｒｆｃ ｒ ｆ Ｔ ｅＯ ｃ ｐｔ ｎ ｌ ｅｈｏｏ ｙＣ ｌ ｇ ｆ ｉｈｕＳ ｕｈ ｔｎ ｍｏ ｓ ｅｅｔ ｅｏ ｏ ｌ Ｇ Ｐ ｕ
Ｂｕ ｉ Ｍ ｉｏＮａｉｎ ｌｉｓ． ｉｈ ｕＤｕ ｕ ５ ８ ０ ） ｙ ＆ ａ ｔ ａｉｅ Ｇｕｚ ｏ ｙ ｎ ５ ０ ０ ｏ ｔ
看 日忐 。
听程序运行 的端 口，可 以阻止除 自己计算 机发起 通信 的响应 之外 的所有访 问。启动 Ｉ ｅｕ ｔ，提供 通过加密和身份验证 ＰＳ ｃｒｙ ｉ
保 护访 问 。
使用 Ｓ ｓｅ 实用程序对 Ｓ Ｍ 安全 账户数据 库文件进行二 ｙｋ ｙ Ａ
次加 密 。
２２ 注 册 表 的诊 断 ．
在 Ｗｉｄｗ ｅｖｒ ｎ ｏ ｓＳｒｅ 系统 内 ，Ｓ Ｍ安 全账 户管理 器负责 保 Ａ
护用 户账户名 和密码 ，它是 系统注册表 的组成部 分 ，它保存 在％ｓｓ ｍｒ ｔ ｓｓ ｍ ２ｃｎ ｇ ａ ｙｔ ｏ ％＼ ｔ ３ ＼ｏｆ ￣ ｍ中 ，在域控制 器上它 保存 ｅ ｏ ｙｅ ｉｓ 在活动 目录中％ｓｓ ｍｒ ｔ Ｉｄ＼ｔｓ ｉ ｙｔ ０ ％＼ｔｓ ｄ． ｔ ｅ ｏ ｌ ｎ ｄ 。账户密码通过散列并
ｐ ｏ ｌ ｍｓ ａｍｉｇ ｔ ｎ ｕ ｅ山ｅ ｓ ｃ ｒ ｐ ｌ ａｉｎ ｆ ｉ ｄ ｗ ｅ ｅ ｏ ＭＥ． ｒ ｂ ｅ ． ｉ ｎ ｏ ｅ ｓ ｒ ｅ ｕ ｅ ａ ｐ ｉ ｔ ｓｏ ｎ ｏ ｓＳ ｒ ｒ ｒＳ ｃ ｏ Ｗ ｖ ｆ Ｋｅ ｒ ｓ ＭＥ ： ｉ ｄ ｗｓＳ ｒ ｅ Ａｂ ｏ ｍａ ｅ ｕ ｔ ｔｔ ： ｉ ｇ ｏ ｉ ｙ ｗｏ ｄ ：Ｓ Ｗ ｎ ｏ ｅ ｖ ｒ： ｎ ｒ ｌＳ ｃ ｒ ｙ Ｓ ａｅ Ｄ ａ ｎ ｓｓ ｉ
ｔ ｎＦｒｗ ｌ ０Ｃ ） ｉ ｉ ａｌ Ｆ ，它 可 防 止 外 部 入 侵 者 企 图 访 问 可 能 有 监 ｏ ｅ
对于 Ｇ ｅｔ 户可 以采用关 闭、停用 、重命名方式进行保 ｕ ｓ账 护 ，也可 以根据实际情况将 Ｇ ｅｔ ｕｓ账户列入拒绝从 网络访问名 单 中，防止 Ｇ ｅｔ ｕ ｓ账户从 网络访 问服务器 、关闭服务器 以及查
随 着计算 机 网络应用 的飞速 发展 ，微软 公 司的 Ｗｉｄｗ ｎｏ ｓ
２１用户账户和密码设置 ．
２１ Ａ 安 全 账 户 安 全机 制 ．．Ｓ Ｍ １
Ｓ ｒｅ 系列产 品因为表 现 出高 可靠性 、高 效率 与较好 的经 济 ｅ ｒ ｖ
性 ，中小企 业机房的服 务器安装使用 它是越来 越多 。操 作 系
（） 端 口访 问 的 限制 方 法 ２
对 于 Ａ ｍ ｎｓａｏ 账户可 以采用 重命名 的方式进 行保护 ， ｄ ｉｉｒｔｒ ｔ 也 可以在使用后 注意不要保 持在登录状 态或直接 关闭账 户来
进行保护 。
使用 Ｗｉｄ ｗ ｅｖｒ Ｔ ＰＩ 选器 ，根 据源或 目标 Ｉ ｎ ｏ ｓＳｒｅ 的 Ｃ ／ Ｐ筛 Ｐ 地 址 、端 口 、协议 来拒绝 或允许访 问。启用 Ｉｔｒｅ Ｃ ｎ ｅ— ｎｅｎｔ ｏ ｎｃ
于这两种 密码加密 技术使用 了较 弱的密钥 和算法 ，入侵者使 用常见的 Ｗｉ ｅ ａｓ ｃ ｓ ｔ、Ｌ ｐ ｔ ａｋ 、Ｅｃｍ ｏａ ａｃｄ ｎ ｒ ｌｏｋｍｉ ｔｕ ｌ ｈ ０ ｈｃ ｃ５ ｌｏ ｓｆ ｄ ｎｅ — ｒ ｌ
ｎｓｃ ｒｔ ｘ ｌｒｒ Ｗ ｉｄ ｗ Ｐ ２ ０ ／ ｅ 、 Ｊｈ ｈ ｐ ｅ ｔｅ ｕｉ ｅ ｐｏｅ 、 ｙ ｎ ｏ ｓ Ｘ ／０ ０ＮＴ ｋ ｙ ｏ ｎ ｔｅ ｒ ｐ ｒ ｉ
使 用 系 统 的 任 务 管 理 器 的 进 程 菜 单 了解 ，也 可使 用 Ｔ ｓｌｔ ａｋｉ 命令 、Ｔｉ 命令 、Ｎ ｔａ 命令来显示 运行在本 地或远 ｓ ｌｔ ｓ ｅ ｔｔ ｓ
程计算机上的所有进程 、任务 的应用程序和服 务列 表 、显示路 由表 、显示实 际网络连接及每一个 网络 接 口设备的状态信息 ， 通过本机各端 口的网络连接情况 ，诊断是否有安全异常状态 。
问验证 保护级。
等密码 破解工 具就可 以轻松破 解 ，所 以采用 Ｎ Ｌ ２加密技 Ｔ Ｍｖ 术可以使 中小企业 Ｗｉｄｗ ｅ ｅ 更加安全 。 ｎｏ ｓ ｒ ｒ Ｓｖ
２１ 密 码 设 置 要 求 ．２ ．
２ Ｗｉｄｗ ｅｖｒ ｎ ｏ ｓ ｒｅ 安全诊 断项 目 Ｓ
作为中小企业 Ｗｉｄ ｗ ｅ ｅ 用户 ，操作 系统安全是非常 ｎｏｓ ｒ ｒ Ｓｖ