Hardening Windows Systems中文版PDF电子书下载

目录 3

第1部分　马上行动 3

第1章　立即行动 3

1.1　强化密码策略 5

1.1.1　创建逻辑策略 6

1.1.2　改变本地账户策略 7

1.1.3　修改个人账户策略 7

1.2　锁定远程管理 9

1.3　锁定管理工作站 10

1.4　物理保护所有系统 11

1.5　保密 11

1.6　禁用EFS 12

1.7　禁用不满足严格安全策略要求的无线网络 12

1.9　使用Runas或Su 13

1.8　禁止无保护措施的笔记本和台式机连接局域网 13

1.10　禁用红外文件传输 14

第2部分　从顶端做起：系统地强化安全 17

第2章　强化认证——证明来宾身份 17

2.1　什么是认证 18

2.1.1　何时需要认证 18

2.1.2　在Windows安全框架内何处适合认证 19

2.2　认证的证书（credentials）选择 20

2.3　强化用户登录 21

2.3.1 登录类型 22

2.3.2 强化账户 23

2.3.3　强化账户策略 24

2.3.4　强化湿件 36

2.3.5　禁止自动登录 38

2.3.6　限制匿名访问 39

2.3.7　保护Windows 2000系统的密码安全 40

2.4.1 LM,NTLM,NTLMv2 41

2.4　强化网络认证 41

2.4.2 Kerberos协议 44

2.4.3　远程访问认证协议 45

2.4.4 Web服务器认证选择 47

2.4.5　加强无线认证 48

2.5　强化计算机和服务的认证过程 48

2.5.1 为服务账号制定强密码以及不允许用户使用服务账号登录 49

2.5.2　使用本地服务账号并不允许通过网络访问服务账号 50

2.5.3　使用服务账号的低特权账号 50

2.5.4　强化计算机账户 50

第3章　强化物理网络基础设施 51

3.1　网络分段 52

3.1.1　示例 52

3.1.2　决定合适网络分段的最好方法 55

3.2.1 防范性的控制措施 57

3.2　在分段边界安装防护性措施和检测性措施 57

3.2.2　检测性的控制措施 64

3.2.3　边界控制的最好措施 65

3.3　保护重要通信 76

3.3.1 保护活动目录和其他域之间的通信 76

3.4　保护重要服务器 86

3.4.1 保护域控制器 86

3.3.3 E-Mail保护 86

3.3.2 Web通信保护 86

3.4.2　保护基础设施服务器 89

3.5　保护网络基础设施 89

3.6　保护对客户端系统的访问 90

3.6.1　使用常驻计算机的防火墙 90

3.6.2　客户端物理安全选项 91

第4章　强化逻辑网络基础设施 93

4.1　工作组计算机安全基础 94

4.1.3　工作组网络资源 95

4.1.1　工作组基本要点 95

4.1.2　工作组用户账号 95

4.1.4　强化工作组 97

4.2 Windows NT 4.0类型的域的安全基础 99

4.2.1　中央管理 100

4.2.2　安全边界 100

4.2.3 NT 4.0类型的信任 101

4.2.4　强化Windows NT 4.0域 103

4.3　活动目录林安全基础 104

4.3.1 中央集权管理的优点 105

4.3.2 自治和隔离：域不是一个安全边界 107

4.3.3　建立基于安全需要的域 108

4.3.4　建立基于安全和管理需要的组织单元 108

4.3.5　将域控制器和全局目录服务器只放在需要的地方 109

4.3.6　配置远程Windows Server 2003域控制器以使用通用组高速缓存 109

4.3.7　创建最小数目的异常域信任 110

4.3.8　提升域和林功能级别到Windows Server 2003 113

4.3.9　使用选择性认证 116

4.3.10　如何建立一个外部信任（External Trust） 118

4.4　强化逻辑网络基础设施的备忘录 122

第5章　强化网络基础设施角色 124

5.1　开发安全基线 126

5.2　限制用户权限 127

5.2.1　用户权限基线的修改 127

5.2.2　使用本地安全策略修改用户权限 129

5.2.3　使用NT 4.0用户管理器修改用户权限 129

5.3　禁用可选择的子系统 130

5.4　禁用或删除不必要的服务 131

5.5　应用混合安全配置 138

5.5.1　不显示上次登录用户名 139

5.5.2　添加登录提示 139

5.6.2　强化DHCP 140

5.6　开发增量安全步骤（Incremental Security Steps） 140

5.6.1　强化基础设施组（Infrastructure Group） 140

5.6.3　强化DNS 144

5.6.4　强化WINS 152

5.7　选择安全部署的方法和模型 153

5.7.1　用工具在Windows NT 4.0系统进行常规安全设置 154

5.7.2　用安全模板定义安全设置 157

5.7.3　使用安全配置和分析或安全管理器 162

5.7.4　使用Secedit 163

第6章　保护Windows目录信息及其操作 164

6.1　保护DNS 166

6.2　将AD数据库和SYSVOL放在独立的磁盘上 167

6.3　物理保护域控制器 168

6.4　监视和保护活动目录状态 170

6.4.1　监视DNS 170

6.4.2　监视复制 177

6.4.3　监视组策略操作 184

6.4.4　强化域以及域控制器安全策略 189

6.4.5　保护活动目录通信 193

6.4.6　管理“管理权限”（Administrative Authority） 194

6.5　保护活动目录数据——理解活动目录对象权限 195

第7章　强化管理权限和操作 196

7.1　委托和控制管理权限 197

7.1.1　定义用户角色 198

7.1.2　定义技术控制 209

7.2　定义安全管理措施 217

7.2.1　非常高风险管理 217

7.2.2　高风险数据中心管理 226

7.2.3　高风险非数据中心管理 229

7.2.4　中等风险管理 229

7.2.5　低风险管理 232

第8章　按角色分别强化服务器和客户端计算机 233

8.1　基于角色的强化过程 234

8.2　决定计算机角色 235

8.2.1　顶级计算机角色 236

8.2.2　二级或三级计算机角色 236

8.3　设计基于角色的强化基础设施 237

8.3.1　用脚本自动使用多模板 237

8.3.2　使用活动目录体系和组策略方法 239

8.3.3 使用Windows NT 4.0系统策略 243

8.4　改编安全模板 250

8.4.1　检查及修改基线模板 251

8.4.2　检查以及修改基于角色的模板 254

8.5　用组策略执行强化计划 255

8.5.2　将模板导入合适的GPO 256

8.5.1　创建一个撤销计划（Back-out Plan） 256

第9章　强化应用程序访问和使用 260

9.1　通过管理模板限制访问 261

9.1.1 强化操作系统配置 263

9.1.2　强化用户设置 268

9.1.3　使用其他．adm文件 272

9.1.4　强化应用程序 273

9.2　通过软件限制策略限制访问 283

9.2.1 安全等级设置为Disallowed 283

9.2.2　设置策略选项 284

9.2.3　编写规则来允许和限制软件 287

9.3　开发与实施台式机与用户角色 289

9.4　使用组策略管理控制台复制GPO 291

第10章　强化数据访问 292

10.1　使用NTFS文件系统 293

10.2　使用DACL保护数据 294

10.2.1　使用继承管理权限 295

10.2.2　基于用户角色分配权限 297

10.2.3　维护合适权限 301

10.2.4　保护文件系统和数据 301

10.2.5　强化文件系统共享 305

10.2.6　保护打印机 309

10.2.7　保护注册表项 310

10.2.8　保护目录对象 312

10.2.9　保护服务 313

10.3　使用EFS保护数据 314

10.3.1　禁用EFS除非可被安全地使用 314

10.3.2　强化EFS规则 317

第11章　强化通信 322

11.1　保护LAN信息通信 323

11.1.1 为NTLM使用SMB消息签名和会话安全 323

11.1.2　使用IPSec策略 325

11.2　保护WAN信息通信 333

11.2.1 强化远程访问服务器 333

11.2.2　强化NT 4.0远程访问服务器配置 336

11.2.3　强化Windows Server 2000和Windows Server 2003 RRAS配置 338

11.2.4　使用L2TP/IPSec VPN 342

11.2.5　使用远程访问策略 343

11.2.6　强化远程访问客户端 345

11.2.7　使用IAS集中认证、账户和授权 345

11.2.8　保护无线访问 346

11.3　用SSL保护Web通信 351

第12章 使用PKI强化Windows及强化PKI自身 352

12.1 使用PKI强化Windows 353

12.1.1　使用PKI强化认证 353

12.1.2　用证书保护数据 359

12.2.3　保护根CA 360

12.2.2　实施CA分级结构 360

12.2　强化PKI 360

12.2.1　强化证书授权计算机 360

12.2.4　使用中间CA增加可靠性 366

12.2.5　在多个发行CA之间划分证书功能 368

12.2.6　为从属CA提供物理保护 368

12.2.7　要求证书批准 368

12.2.8　限制证书颁发 370

12.2.9　建立角色分离 372

12.2.10　强制角色分离 373

12.2.11　配置自动登记 374

12.2.12　培训用户证书请求程序 376

12.2.13　强化PKI策略、程序和规则 377

第3部分　一劳不能永逸 381

第13章　强化安全周期 381

13.1　创建业务连续性计划 382

13.1.2　进行业务影响评估 383

13.1.1　确定计划范围 383

13.1.3　进行风险分析 384

13.1.4　制定计划 385

13.1.5　测试 386

13.1.6　计划实施 386

13.1.7　计划维护 386

13.2　制定安全策略 386

13.3　强化操作系统安装 386

13.3.1　准备默认安全模板 387

13.3.2　使用Slipstreaming 387

13.3.3　安装过程中用RIS添加服务包 387

13.3.4　安装过程中安装Hotfix补丁 388

13.4　强化操作系统、应用程序和数据保护 390

13.5　用正规的变更管理程序管理变更 391

13.5.3　补丁 392

13.5.2　安全配置更改 392

13.5.1　升级、人员变动、变更和新的安装 392

13.6　准备灾难恢复 403

13.6.1　使用容错配置 403

13.6.2　计划备份以及执行备份 404

13.6.3　计划并进行特殊备份操作 407

13.6.4　实践恢复操作 408

13.7　监控与审计 410

13.7.1　配置系统审计 411

13.7.2　配置审计日志 414

13.7.3　保存审计日志文件 415

13.7.4　使用安全事件进行入侵检测与辩论分析 416

13.7.5　审计安全配置 418

13.7.6　审计补丁状态 420

第4部分　如何成功地强化Windows系统的安全性 425

第14章　强化湿件（Wetware） 425

14.1 诊断与改善安全策略 426

14.1.1 决定目前信息系统安全策略 427

14.1.2　评价策略 427

14.1.3　参与安全策略的构建与维护 428

14.2　学会商务谈吐 430

14.3　采取的第一个措施 431

14.4　通晓现行法律 431

14.4.1　所依赖的规则 432

14.4.2　现行立法掠影 433

14.5 了解Windows和其他操作系统的漏洞 436

14.6　了解并具体实施自愿性标准 437

14.6.1 ISO 17799 437

14.6.2 国家网络安全战略计划 438

14.7　启动或参与安全意识教育 438

14.7.1　安全意识目标 438

14.7.2　运作 439

附录　资源 440