windows server 2003安全管理实战的文档
windows+Server+2003+系统安全实训
湖南科技职业学院Windows Server 2003系统安全项目文档班级：网络3061指导老师：邓卫军组长：丁传华组员：刘宏谱曹伟李子霖严萌2008年12月目录一、配置域的基础结构 (2)1.1 创建一个用于管理的OU (2)1.2 组策略管理和安全模板的导入 (3)1.3 设置密码策略 (5)1.4 设置安全选项 (5)二、成员服务器基线 (7)2.1考察审核策略 (7)2.2考察用户权限 (9)2.3考察其他安全选项 (10)2.4统服务设置 (11)三、强化域控制器 (13)3.1重新部署数据― Active Directory 数据库和日志文件 (13)3.2配置使用Syskey保护帐户数据 (14)3.3禁用错误报告 (15)3.4用IPSec过滤器阻断端口 (15)四、强化IIS服务器 (19)4.1 Internet信息服务（IIS）6.0 (19)4.2 创建站点及访问设置 (19)4.3 配置DNS服务实现域名解析访问 (21)4.4 创建FTP站点及访问设置 (22)附一第九组项目任务分配 (25)一、配置域的基础结构1.1 创建一个用于管理的OU1)分别启动三台虚拟机Server、DC、RRAS。
依次在这三台虚拟机上安装DHCP服务、AD（）、WINS服务。
2)将三台服务器的ip改成同一网段（192.168.100.0/24）；将DHCP、WINS服务器的主机名改为DHCP、WINS，DNS指定为DC服务器的ip地址；将DHCP和WINS加入到域。
3)在DC上在打开Active Directory用户和计算机，创建两个组织单元和一个全局安全组分别定义为：基础结构、成员服务器、基础结构管理员。
4)点击域中的Computers，将DHCP、WINS移动到刚创建的组织单元“基础结构”。
如图1-1所示：图1-15)新建三个用户，名称分别为adminA、adminB、adminC；密码为list123/.,然后就这三用户添加到已建立的全局安全组—基础结构管理员。
windows2003服务器安全配置实战(经过验证)
最小的权限,请根据需要设置A.NTFS系统权限设置在使用之前将每个硬盘根加上Administrators 用户为全部权限(可选加入SYSTEM用户)删除其它用户.B.进入系统盘:权限如下C:\WINDOWS Administrators SYSTEM用户全部权限Users 用户默认权限不作修改.其它目录删除Everyone用户，注意以下文件夹保留Everyone用户,C:\Documents and Settings 下All Users\Default User目录及其子目录如C:\Documents and Settings\All Users\Application Data 目录默认配置保留了Everyone用户权限,C:\WINDOWS\PCHealth、C:\windows\Installer 也是保留了Everyone权限.删除C:\WINDOWS\Web\printers目录，此目录的存在会造成IIS里加入一个.printers的扩展名，可溢出攻击.默认IIS错误页面已基本上没多少人使用了。
建议删除C:\WINDOWS\Help\iisHelp目录.删除C:\WINDOWS\system32\inetsrv\iisadmpwd，此目录为管理IIS密码之用，如一些因密码不同步造成500,这里可以删掉,下面设置将会杜绝因系统问题.C,打开C:\Windows 搜索(可以不做)net.execmd.exetftp.exenetstat.exeregedit.exeat.exeattrib.execacls.exeregsvr32.exexcopy.exewscript.execscript.exeftp.exetelnet.exearp.exeedlin.exeping.exeroute.exefinger.exeposix.exersh.exeatsvc.exeqbasic.exerunonce.exesyskey.exe修改权限，删除所有的用户只保存Administrators 和SYSTEM为所有权限D.关闭445端口HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\netBT\Parameters新建“DWORD值”值名为“SMBDeviceEnabled”数据为默认值“0”禁止建立空连接HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa新建“DWORD值”值名为“RestrictAnonymous”数据值为“1”[2003默认为1]禁止系统自动启动服务器共享HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters新建“DWORD值”值名为“AutoShareServer”数据值为“0”禁止系统自动启动管理共享HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters新建“DWORD值”值名为“AutoShareWks”数据值为“0”禁止dump file的产生dump文件在系统崩溃和蓝屏的时候是一份很有用的查找问题的资料。
《Windows server 2003管理》实训大纲
《Windows Server 2003管理》实训大纲
一、实训目的
本课程实践性强，为了加强工程实践，配合教学，安排课程设计，培养学生实际操作的能力，要求独立操作，熟练使用Windows server 2003网络操作系统的基本管理方法。
二、实训要求
通过一周的Windows Server 2003管理课程设计，学生应能针对小型网络进行管理，达到以下目标：
1、学会Windows Server 2003的安装，掌握不同版本的安装方法。
2、掌握本地用户帐户和域用户帐户的创建和管理
3、掌握域控制器的管理
4、掌握域安全策略的设置
5、掌握磁盘配额和脱机文件
6、掌握基本磁盘和动态磁盘之间的相互转换，理解各种卷的特点
7、掌握打印机的添加和管理
三、考核办法
每人独立完成所有实训项目，将个人所做的各项设置在学生机上保存，并完成各个实验的课程设计报告。
学生的保存设置和课程设计报告各占50%，并在期末考试中记入总成绩。
制订人：梁秀清
1。
Windows2003Server安全配置完整篇（3）服务器教程-电脑资料
Windows2003Server安全配置完整篇（3）服务器教程-电脑资料四、磁盘权限设置C盘只给administrators和system权限，其他的权限不给，其他的盘也可以这样设置，这里给的system权限也不一定需要给，只是由于某些第三方应用程序是以服务形式启动的，需要加上这个用户，否则造成启动不了，。
Windows目录要加上给users的默认权限，否则ASP和ASPX等应用程序就无法运行。
以前有朋友单独设置Instsrv和temp等目录权限，其实没有这个必要的。
另外在c:/Documents and Settings/这里相当重要，后面的目录里的权限根本不会继承从前的设置，如果仅仅只是设置了C盘给administrators权限，而在All Users/Application Data目录下会出现everyone用户有完全控制权限，这样入侵这可以跳转到这个目录，写入脚本或只文件，再结合其他漏洞来提升权限；譬如利用serv-u的本地溢出提升权限，或系统遗漏有补丁，数据库的弱点，甚至社会工程学等等N多方法，从前不是有牛人发飑说："只要给我一个webshell，我就能拿到system"，这也的确是有可能的。
在用做web/ftp服务器的系统里，建议是将这些目录都设置的锁死。
其他每个盘的目录都按照这样设置，每个盘都只给adinistrators权限。
另外，还将：net.exe NET命令cmd.exetftp.exenetstat.exeregedit.exeat.exeattrib.execacls.exe ACL用户组权限设置，此命令可以在NTFS下设置任何文件夹的任何权限！format.exe大家都知道ASP木马吧，有个CMD运行这个的，这些如果都可以在CMD下运行..55，，估计别的没啥，format下估计就哭料~~~（：这些文件都设置只允许administrator访问。
Windows Server2003的安全管理
4.8.2 Netview 如果有了空IPC会话，网络入侵者也能获得网络共享列表，否则就无法 得到。为此，网络入侵者希望了解到在你的机器上有哪些可用的网络共 享。为了收集到这些信息，要采用下列这个标准的netview命令： c:\>netview\\[远程主机的IP地址] 根据目标机的安全约束规则，可以拒绝或不拒绝这个列表。
网络操作系统的安全是网络安全的核心，提高网络安全的基点应该 是从操作系统的安全进行着手，Windows系列服务器版目前最新版 为Server 2003，微软宣称其为迄今为止微软最强大的Windows服务 器操作系统。一个安全的网络操作系统的安全性特征是贯穿于整个 系统之中的，操作系统要安全就必须保证文件系统、用户帐户目录 、用户确认系统、存储管理、交换和环境子系统等的安全性。 Windows 的安全环境就是将保密性溶入每一个组件的创建过程中， Windows Server2003的安全设计有很大改进，主要体现在网络身份 验证、基于对象的授权、比较完整的安全策略、数据加密保护等， 以此来保证服务器的安全。
4.5 Windows Server 2003的授权管理器
授权管理器是Windows Server 2003的新功能。
4.6 Windows Server 2003的安全模式
在现在的网络应用中，信息的安全则显得更加重要。这里，我们从用户 的角度对Windows的安全性做一些探讨。 Windows Server 2003通过一系列的管理工具，以及对用户帐号，口令的 管理，对文件、数据授权访问，执行动作的限制，以及对事件的审核达 到C2级安全，从用户的角度看，通过这一套完整、可行、易用而非繁琐 的措施可以达到较好的效果。 Windows 的安全机制的基础是所有的资源和操作都受到选择访问控制的 保护，许多安全机制不是外加的，而是建立在操作系统内部的，可以通 过一定的设置使文件和其他资源免受在存放的计算机上工作的用户和通 过网络接触资源的用户的威胁（破坏、非法的编辑等等）。安全机制甚 至提供基本的系统功能，例如设置系统时钟。对用户帐号、用户权限及 资源权限的合理组合，可以有效地保证安全性。
实训：windows Server 2003安全配置
4. 清空远程可访问的注册表路径
（1）打开组策略编辑器， 依次展开“计算机配置 →Windows 设置→安全设 置→本地策略→安全选 项”，在右侧窗口中找到 “网络访问：可远程访问 的注册表路径”，如图622所示。 （2）然后在打开的窗口中， 将可远程访问的注册表路 径和子路径内容全部设置 为空即可，如图6-23所示。
图6-17 组策略编辑器 图6-18 添加脚本
2. 杜绝非法访问应用程序
（1）打开“组策略编辑器”窗
口。然后依次打开“组策略控
制台→用户配置→管理模板→
系统”中的“只运行许可的
Windows应用程序”并启用此 图6-19 只运行许可的Windows应用程序 策略，如图6-19所示。
（2）然后点击下面的“允许的
图6-27 TCP/IP属性
（2）关闭445端口
• 445端口可以让用户在局域网中轻松访问各种共享文件夹或 共享打印机，但它也是冲击波病毒最爱光顾的的端口。
• 1）运行regedit，找到项 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\S ervices\NetBT\Parameters]；
（3）选中“账户锁定策略”目录， 在右边窗口中列出了可设置的各 种账户锁定项目，如图6-31所示。
（4）在右侧的策略窗口中，双击 “账户锁定阈值”策略，显示 “账户锁定阈值属性”对话框， 如图6-32所示。
图6-31 账户锁定策略 图6-32 账户锁定阈值属性
（5）在“在发生以下情况之后，锁定账户”文本框中， 键入无效登录的次数，例如3，则表示3次无效登录后，锁 定登录所使用的账户。 （6）单击“确定”按钮，显示如图6-33所示的“建议的 数值改动“对话框。本策略的更改将同步更改其他关联策 略。单击“确定”按钮即可完成其他关联策略的设定。
WindowsServer2003的安全性和管理(补充内容)
4. Windows Server 2003的安全验证
安
全 策 略 配 置
Windows Server 2003
文件的压缩、加密与磁盘整理
文件、文件夹的压缩与解压缩 文件复制或移动对压缩属性的影响 文件与文件夹的加密、解密 磁盘整理与故障恢复
Windows Server 2003
文件、文件夹的压缩与解压缩(1)
Windows Server 2003
２．网络性能优化调整项目(1)
1.内存优化 合理使用内存 在内存一定的情况下，合理地使用内存可以提 高网络的性能。这要求管理员必须对系统中的内存 使用情况非常了解，对于那些不再需要的功能、应 用程序或服务应及时关闭，以便释放内存给其他应 用程序和服务。另外，管理员还可以通过系统设置 来决定内存的主要优化对象。一般，服务器的主要 优化对象应该是后台服务，而工作站和单个计算机 的主要优化对象应该是前台应用程序。
Windows Server 2003
２．网络性能优化调整项目(2)
2.设置虚拟内存
所谓虚拟内存就是系统把硬盘空间当作 额外的内存来使用。因为通过使用磁盘空间， 操作系统给进程分配比实际可用内存更多的 内存。
Windows Server 2003
Windows Server 2003
２．网络性能优化调整项目(3)
Windows Server 2003
２．网络性能优化调整项目(5)
6.网络接口优化
网卡和驱动程序的选择 服务和协议的设置
Windows Server 2003
２．网络性能优化调整项目(6)
7.服务器进程优化 进程是包含地址空间和程序运行资源的程序请求。当某 个应用程序启动时，系统就创建一个进程。这个进程所拥有 的内存、资源和执行线程与运行可执行应用程序的特定实例 相关联。在创建一个进程时，同时还会创建一个主线程。只 要还有一个线程与进程相关联，该进程就将继续运行。 线程是进程的实体，它是系统中最小的执行单位。线程 是一直与进程相关联的，并存在于特定的进程之中。尽管在 进程的整个生存周期内，许多进程都只有一个线程会始终伴 随它，但是进程在整个生存周期内可拥有多个线程。
《Windows Server 2003组网教程(管理篇)》第9章：安全的管理
9.3.3 Passport身份验证
Passport 身份验证是由 Microsoft 提供的集中服 务，可为成员网站提供单个的登录和核心配置文件服 务。由于不必重新登录即可访问其他受保护的资源或 网站，网站用户可从中获益。可通过使用 Passport 身份验证提供程序，使您的商务网站与 Passport 身 份验证和授权兼容。
图9-17 委派控制
图9-18 选择委派的权限
9.2.6 设计审核策略来自图9-21设计审核策略界面
9.3 设计身份验证
身份验证是系统安全的一个基础方面。它将对尝 试登录到域或访问网络资源的任何用户进行身份确认。 Windows Server 2003 家族身份验证启用对所有网络 资源的单一登录。单一登录允许用户使用一个密码或 智能卡一次登录到域，然后向域中的任何计算机验证 身份。
9.2 设计活动目录安全
设计活动目录安全包括一系列的内容，包括设置 组织单元、设置用户和用户组安全、设置密码、设计 委派权限和设计审核策略等。
9.2.1 设计组织单元（OU）
图9-1 新建一个组织单位
图9-3选择“新建对象→组织单位”
9.2.2 设置用户和用户组
1.为每个OU创建一个用户组
图9-6 新建用户组
9.3.1 Kerberos V5 身份验证
Kerberos V5 是在域中进行身份验证的主要安全 协议。Kerberos V5 协议同时要验证用户的身份和网 络服务。这种双重验证称为“相互身份验证。
图9-22 设定Kerberos V5身份验证界面
9.3.2 NTLM身份验证
NTLM 身份验证在网络环境中，NTLM 用作身份验证 协议以处理两台计算机（其中至少有一台计算机运行 Windows NT 4.0 或更早版本）之间的事务。
Windows Server 2003 資訊安全手冊
MMicrosoft 安全性解決方案Windows Server 2003資訊安全手冊目錄1. 簡介 Windows Server 2003 安全性手冊 (2)2. 設定網域基礎架構 (14)3. 建立成員伺服器基礎 (44)4. 補強網域控制站 (154)5. 補強基礎架構伺服器 (176)6. 補強檔案伺服器 (186)7. 補強列印伺服器 (193)8. 補強IIS伺服器 (201)9. 補強IAS伺服器 (224)10. 補強憑證服務伺服器 (229)11. 補強防禦主機 (243)12. 結論 (262)1. 簡介 Windows Server 2003 安全性手冊概觀歡迎閱讀這份 Microsoft Windows Server 2003 安全性手冊！這份手冊的設計，能提供給您最佳的資訊，以便您評估與了解在系統環境中 Microsoft® Windows Server TM 2003 所可能產生的安全性風險。
這份手冊中各章節都提供詳細的指引，並將重點放在在 Windows Server 2003 中各種可能的安全性設定組態與功能，使得您能夠處理在環境中所發現的安全性危機。
如果您是在 Windows Server 2003 環境中擔任顧問、設計師，或系統工程師，那麼本手冊可說是相當適合您。
這份指引的內容已經過 Microsoft 工程團隊、顧問、支援工程師，以及顧客和合作伙伴的檢閱與認可，因此它是：經證實的 – 以實戰經驗為基礎。
具權威性 – 提供可用的最佳意見。
具準確性 – 經過技術確認和測試。
可執行的 – 提供達到成功的步驟。
具相關性 – 提出真實世界的安全性考量。
與在各種不同的環境中導入Windows Server 2003、Windows® XP 和 Windows® 2000 的顧問及系統工程師一起工作，幫助我們能夠確立最新最佳的實施方針，來保護這些伺服器和用戶端的安全。
Windows Server 2003实训报告书(我的)
Windows Server 2003实训指导书Windows Server 2003实训指导书一、实训目的和要求目的：培养学生的动手能力，提高学生运用windows server 2003搭建应用服务器的能力，掌握windows server 2003关键技术的使用。
要求：掌握windows server 2003域模式的设计，E-MAIL、WEB服务器以及DNS、FTP 等服务器的正确配置及网络环境设计。
二、实训方式学生上机操作，教师指导。
三、实训报告要求认真填写实习鉴定表和实训报告，实训报告格式参照《实训报告规范格式》。
四、考核标准学生的实训成绩采用等级制，即：优：实训项目都完成无误，实训报告书写工整，无迟到早退现象。
良：实训项目基本完成，实训报告书写工整，无迟到早退现象五、实训内容1.场景描述现有一个单位，需要搭建一个网络环境。
具体如下：需要构建一web网站，提高对外形象宣传；内部搭建一个DNS服务器，提供对WEB站点的域名解析和对企业邮件服务器的域名解析。
单位计算机使用基于域模式的访问方式，每个职工按照其所属的部门分配不同的用户名和密码。
为了方便内部职工使用E-MAIL，单位搭建了一个E-MAIL服务器，给每个员工分配一个邮箱地址。
搭建一个FTP服务器，提供一个公共的文件交换平台和私有的网络硬盘。
2.具体要求●规划该单位网络环境。
●合理设计各台服务器的IP地址，正确安装相应windows组件和服务。
●WEB服务器首页要求包含学生的姓名、学号和专业班级，其它内容不限，可以自由发挥。
●搭建服务器，完成相关配置。
●进行调测，完成该企业需求。
●写出实训报告，报告中要写明详细的规划（包括网络拓扑结构，各服务器的配置和参数（提供截图），以及对各台服务器的测试界面截图等）。
严禁报告雷同，否则成绩按零分计。
报告要求详细的文字说明，不能只是相关的屏幕截图。
●三个人为一个单位进行实训。
●可以上网进行相关信息查询。
4.2 Window server 2003系统的安全管理
实验4.2 Windows Server 2003 实施系统安全的配置和定义实训目的熟练掌握Windows Server 2003 的文件及目录权限设置，能够管理共享目录。
实训环境WindowsServer 2003 Host（VMware7/Windows Server 2003/192RAM）实训内容及步骤一、系统安全设置系统安全设置是个全面、细致的配置，有效的安全配置可以提高系统的安全防范。
然而，网络服务的环境是复杂的，不能简单的认为下列操作可以彻底的防范系统的入侵、攻击，但可以明显提高防范的等级。
1.安装常用的软件✧配置杀毒软件✧扫描系统漏洞✧备份系统。
2.系统更新点击开始菜单—>所有程序—>Windows Update,按照提示进行补丁的安装，或使用第三方工具安装补丁。
3.开启防火墙，关闭不需要的端口在”网络连接”里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP），由于要控制带宽流量服务，额外安装了Qos数据包计划程序。
在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS（S）"。
在高级选项里，使用"Internet连接防火墙"，这是windows 2003 自带的防火墙。
4.修改3389远程连接默认端口修改注册表开始--运行--regedit依次展开 HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/TERMINAL SERVER/WDS/RDPWD/TDS/TCP右边键值中 PortNumber 改为你想用的端口号.注意使用十进制(例 10000 ) HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/TERMINALSERVER/WINSTATIONS/RDP-TCP/右边键值中 PortNumber 改为你想用的端口号.注意使用十进制(例 10000 ) 注意：在WINDOWS2003自带的防火墙给+上10000端口修改完毕.重新启动服务器.设置生效.步骤：打开“开始→运行”，输入“regedit”，打开注册表，进入以下路径：[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\Wds\rdpwd\Tds\tcp]，看见PortNamber值，其默认值是3389，修改成所希望的端口即可，例如1111。
WindowsServer2003管理员账号安全管理实践
作者简介 ： 张绍 洁 （ １ ９ ７ ９一） ， 女， 天 津 市人 ， 天 津 市 红桥 区职 工 大 学讲 师 ， 主要 从 事 计 算 机 类 课 程 和 电 子 商 务
类课 程 的教 学和 研 究 。
・ ５ ４ ・
不 管 选 择 哪 种 方式 ， 密码 必须 满 足 以规 范 ： （ １ ） 密 码 必 须 是无 规 律 ， 带 有 随机 性 ， 各 系统 密 码 也 不 能 相 同或 类 似 ；
第１ ５卷
第 ２期
天 津 职 业 院 校 联 合 学 报
Ｊ ｏ ｕ ｒ ｎ ａ ｌ ｏ ｆ Ｔ ｉ ａ ｎ ｊ ｉ ｎ Ｖｏ ｃ ａ ｔ ｉ ｏ ｎ ａ ｌ Ｉ ｎ ｓ ｔ ｉ ｔ ｕ ｔ ｅ ｓ
Ｎｏ ． ２ Ｖ Ｏ１ ．１ ５
２ ０ １ ３年 ２月
Ｆｅ ｂ．２ ０１ ３
Ｗ ｉ ｎ ｄ ｏ ｗｓ Ｓ ｅ ｒ ｖ ｅ ｒ ２ ０ ０ ３
管理 员账号安全管理实践
张 绍 洁
（ 天 津 市红桥 区职工大 学 ， 天 津 ３ ０ ０ １ ３ １ ）
摘 要 ： 作 者 以 Ｗｉ ｎ ｄ ｏ ｗ ｓ Ｓ ｅ ｒ ｖ ｅ ｒ ２ ０ ０ ３操 作 系统 管 理 员 账 号 与 密码 管理 、 系统帐 户数 据 库 保 护 作 为切 入 点 ， 深入
（ ２ ） 不 能使 用 与登 录 帐户 相 同 的密 码 ； （ ３ ） 不 应包 含 管理 员 或 用 户 生 日、 电话 、 姓名 （ 特别是简拼或全拼） 、 公 司名 等 真实 信 息 ； （ ４ ） 不 要使 用 常用 英 文 常用 词 组 ； （ ５ ） 不 可使 用 公 开 的特 殊 意 义 的 日期 ， 比如 节 日， 公 司 或 部 门 成 立 日期 等 ；
实验1 Windows Server 2003的管理
3．简述管理NTFS权限的类型、方法，完成课本132-136的实验内容，对关键环节进行截图（截图不少于3张）；
4．简述共享文件夹权限的设置过程，完成课本136-142的实验内容，对关键环节进行截图（截图不少于3张）。
4.选择安装分区后，系统会询问用户把分区格式化成哪个分区格式，由于需要在此计算机上安装域控制器，因此建议格式化为NTFS格式。
5.选择后【Enter】键，系统将从光盘复制安装文件到硬盘上。
6.输入用户的姓名和单位名称，输入完毕后单击【下一步】按钮继续安装。将软件的序列号输入到【产品密钥】文本框中，单击【下一步】按钮。
Englishteacher组赋予“写入”权限，只需选中权限列表中的【允许】复选框。
（7）如果对权限划分要求的更为细致，就需要借助于特殊访问权限了。在【安全】选项卡中，单击【高级】按钮，显示如下图。
（8）选中【englishteacher】组，单击【编辑】按钮，显示下图所示的【software的权限项目】对话框，在【应用到】下拉列表框中选择【该文件夹，子文件夹及文件】，在权限列表中为该用户分配权限。
（3）系统会自动设置其默认的权限，Everyone组的权限用阴影显示，说明这些权限是从父文件夹(此处为磁盘分区符D)继承来的。
（4）单击【添加】按钮。
（5）单击【高级】按钮，再单击【立即查找】按钮，选择【englishteacher】组，单击【确定】按钮，结果如下图。
（6）单击【确定】按钮，打开【software属性】对话框，如下图所示，为
7.对于单机用户直接单击【下一步】
8.设置计算机的名称和本机系统管理员密码。单击【下一步】
Windows_Server_2003的安全管理
20.1.3什么是right和permission
用户权力指派
20.1.4 安全选项
20.2 实现审ቤተ መጻሕፍቲ ባይዱ策略
审核提供了一种在Windows Server 2003中跟踪所有事 件从而监视系统访问和保证系统安全的方法。它是一个保 证系统安全的重要工具。审核允许跟踪特定的事件，具体 地说，审核允许跟踪特定事件的成败。例如，可以通过审 核登录来跟踪谁登录成功以及谁（以及何时）登录失败， 还可以审核对给定文件夹或文件对象的访问，跟踪是谁在 使用这些文件夹和文件以及对它们进行了什么操作。这些 事件都可以记录在安全日志中。 虽然可以审核每一个事件，但这样做并不实际。因为这将 会给系统带来不适当的负荷，如果设置或使用不当，它会 使一个服务器超载，从而最终得到巨大的日志文件或花掉 所有的时间为保存日志文件担忧。不提倡打开所有的审核， 也不建议完全关闭审核，而是有选择地审核关键的用户、 关键的文件和关键的事件和服务。
认识组策略
组策略是配置的集合，可以把它应用到Active Directory中的一个或 多个对象上，这些设置包含在组策略对象GPO（Group Policy Object）内。GPO在两个位置存储Group Policy信息：组策略容器 GPC（Group Policy Container）和组策略模板GPT（Group Policy Template）。作为一般原则，数量很少并且更改很少的策略 数据存储在GPC中，而数量很大而且经常更改的策略数据通常存储在 GPT中。 Windows Server 2003组策略（GP）应用程序层次通常首先是站 点，其次是域，再次是OU。换句话说，如果GP是为站点设置的，那 么这个站点中的所有对象都会受到该GP的影响，包括域及其所有成 员。如果接着将GP应用于域，那么域中所有对象的GP就是从站点和 域继承合并来的。如果GP是为站点和域设置的，将其进一步应用于 组织单位OU，那么组织单位OU中任何对象的GP就是这三者的结合。 所以，组织单位OU中的组合控制可能来源于域策略，也可能来源于 站点策略，除非继承的策略很明显被内在的覆盖机制阻碍，这个覆盖 机制可以被激活或者被禁用，或者被组和用户的访问控制机制阻碍。
安全实战：配置安全Windows Server 2003
Windows Server 2003提供了诸多强大的网络服务功能，而且极易上手，网管不需要太多的培训即可配置和管理。
不过，要配置一个安全的Windows Server 2003服务器，需要有经验的网管手动配置很长时间：需要在提供各种服务的同时，保证服务器的安全稳定运行，最大限度地抵御病毒和黑客的入侵，这是每个网管的基本追求。
随着Windows Server 2003 SP1的发布，网络安全随着进一步加强。
此次工具包中还增加了许多工具，网络安全配置向导（SCW）就是其中之一。
利用网络安全配置向导可以让网管轻松地配置服务器，使其安全性大大提高。
注意：在被认为“安全第一”的Windows Server 2003上，微软为增强其安全性，很多组件（服务）在默认情况下是不被安装的。
故此，如果要使用这些组件，就必须使用安装盘在“添加/删除Windows组件”中按需添加。
安全配置向导（SCW）也是一样。
1.启动安全配置向导在Windows Server 2003服务器中，可以通过以下两种方法之一启动。
方法一：单击“开始”→“运行”后，在运行对话框中执行“SCW.exe”命令。
方法二：单击“开始”→“程序”→“管理工具”→“安全配置向导”，启动“安全配置向导”对话框，开始安全策略配置过程。
2.建立安全策略在您第一次启用“SCW”时，先要为Windows Server 2003服务器创建一个安全策略。
我们可以根据实际需求为一个服务器配置多个“安全策略”文件，也可以对一个安全策略文件进行适当的编辑，以满足自己工作要求。
不过，一次只能加载一个策略文件。
在“欢迎使用安全配置向导”对话框中单击“下一步”按钮，进入到“配置操作”对话框。
因为是初次运行“SCW”，所以要选择“创建新的安全策略”选项。
单击“下一步”按钮，开始配置安全策略之旅。
3.基于角色服务器配置首先进入“选择服务器”对话框，在“服务器”栏中输入要进行安全配置的Windows Server 2003服务器的机器名或IP地址，单击“下一步”。
windows server 2003操作系统综合实训报告
windows server 2003操作系统综合实训报告一、实训目的《Windows Server系统配置与管理实训》是网络工程专业的一门专业实践课程。
本课程介绍了网络操作系统的基础知识和常用操作，并以Windows2003server操作系统为例进行的具体应用的讲解。
通过本课程的学习，学生能较全面了解常用网络操作系统现状及发展趋势，掌握Windows系统的安装、配置、管理维护等技能，为Windows系统上其他应用奠定基础。
通过此设计，强化学生的实践意识、提高其实际动手能力，从而为后续课程的学习，毕业设计环节以及将来的实际工作打好坚实的基础。
二、实训要求1、认真查阅参考资料2、遵守实训时间安排3、按时上机，认真完成实训项目4、遵守机房规则和要求5、按要求认真书写实训报告三、实训内容及时间安排主要有Windows系统基础知识和Windows系统安装配置、Windows系统常用网络服务配置、Windows配置环境和磁盘管理、Windows网络操作系统中的用户、组和域的管理、Windows组策略与组策略应用、Windows网络操作系统对系统资源管理、Windows监测和优化服务器性能等部分组成。
四、实训报告要求实训报告是学生对本次实训与实践的全面总结，应该反映每个实训阶段的设计思路和实训内容。
该实训报告，应作为整个实训评分的书面依据和存档材料。
实训报告一般要以固定规格的纸张(如A4)书写或打印并装订，字迹及图形要清楚，工整，规范。
内容及要求如下:(1)实训任务、要求及所用软硬件环境或工具介绍。
(2)实训内容中要求的分析设计结果。
(3)实现过程和结果(4)验收情况，总结五、实训成绩评定成绩包括平时检查(包括出勤)、考试成绩和实训报告三个部分。
由实训指导教师科学评定成绩，各项成绩按比例累加得到实训总成绩。
成绩包括平时检查、出勤情况、分项测试、实训报告四部分组成。
最终成绩由以上各项成绩综合评定，以上四项占总成绩比例如下:平时检查:15%;出勤情况:15%;分项测试:30%:实训报告:40%;如平时出勤或者实训报告不合格则总成绩为不及格。
第4章Windows Server 2003的安全管理
④Global：与Lmhosts/IPC映射一起使用的。
⑤local工具：向机器查询本地群组的成员，而不是全局群组的成员。
⑥NetDom工具：是一个向服务器查询它在域中的角色以及向机器查询其PDC的工具。与Lmhosts/IPC映射协同工作。
⑦NetWatch工具：是一个向调用该工具的用户提供远程机上的共享列表的工具。同样这个工具也能与Lmhosts/IPC映射一起使用。这个工具的缺点是，人们能够利用该工具来索远程机上的隐藏共享列表.
第四章Windows Server 2003的安全管理
１.TIS：信任安全架构。
包括：身份验证；授权与访问控制；审核与记账；密码管理；安全管理,包括鉴别与安全策略。(识别—验证—授权—审核)
２.Windows Server 2003
①新安全机制/功能：除了2000的安全机制外,内置了TSI架构,还增加了：1.授权管理器；2.存储用户名和密码;3.软件限制策略;4.证书颁发机构;5.受限委派;6.有效权限工具;7.Everyone成员身份;8.基于操作的审核;9.重新应用安全默认值;10.加密文件系统EFS。
③评估责任的两个指标：2.机制用来分配责任的强度。2.操作系统基于这个信息进行决策的能力。
１３.域
①定义：指网络服务器和其他计算机的逻辑分组，凡是在共享域范围内的用户都使用公共的安全机制和永和账号信息.每个用户有一个账号,每次登陆的是整个域,而不是服务器。
②最大优点：域中的控制器服务器形成了共享的安全机制和用户账号信息的单个管理单元,大大节省了管理员及用户的精力和时间,在管理上较方便,也显得集中。
⑧应用系统的安全
⑨取消TCP/IP上的NetBIOS绑定： 1.单击开始，选择连接到，然后打开所有连接，在本地连接处右击，在弹出的快捷键菜单中选择属性命令，进入属性对话框，然后去掉Microsoft网络的文件和打印机共享前面的选中标记；2.双击Internet协议，单击高级按钮，然后选择WINS选项卡，选中禁用TCP/IP上的NetBIOS单选按钮，这样就禁足了TCP/IP上的NetBIOS绑定。
Windows 2003安全管理实战
教员演示操作过程
26
案例4：使用X_Scan扫描系统漏洞 案例 ：使用 扫描系统漏洞
学员练习： 学员练习：
运行X_Scan 运行 设置扫描参数 执行安全扫描
15分钟内完成 15分钟内完成
27
案例5：使用工具软件加强系统安全 案例 ：
BENET上海分公司许多计算机经常感染木马、恶 上海分公司许多计算机经常感染木马、 上海分公司许多计算机经常感染木马 意软件和系统插件 管理员想为计算机安装一款安全工具软件， 管理员想为计算机安装一款安全工具软件，防止 木马、 木马、恶意软件和恶意插件的影响
12
常见木马的识别
手动识别
使用netstat命令 命令 使用 查看启动程序
13
常见木马的识别
手动识别
检查注册表启动项
查看 “HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows \CurrentVersion\Run”或“Run Once”； 或 ； 查看“ 查看“HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows \Current Version\Run”或“Run Once”或“Run Services”或 或 或 或 “RunServicesOnce”
16
案例2：计算机木马的识别与清除 案例 ：
执行“netstat –an | FIND‘LISTENING’” 命令，查看已 命令， 执行“ 开放的端口 使用任务管理器查看当前进程
教员演示操作过程
17
案例2：计算机木马的识别与清除 案例 ：
结束“Kernel32.exe” 进程 结束“ 找到并删除冰河的主程序Kernel32.exe和 找到并删除冰河的主程序 和 Sysexplr.exe 删除和修改注册表