《网络安全的实现和管理》由会员分享，可在线阅读，更多相关《网络安全的实现和管理（42页珍藏版）》请在金锄头文库上搜索。
1、第第6 6章章规划、配置和部署安全规划、配置和部署安全的成员服务器基线的成员服务器基线网络安全的实现和管理网络安全的实现和管理- -以以Windows Server 2003Windows Server 2003和和ISA Server 2004ISA Server 2004为例为例第第1 1章章 规划和配置授权和身份验证策略规划和配置授权和身份验证策略第第2 2章章 安装、配置和管理证书颁发机构安装、配置和管理证书颁发机构第第3 3章章 配置、部署和管理证书配置、部署和管理证书第第4 4章章 规划、实现和故障诊断智能卡证书规划、实现和故障诊断智能卡证书第第5 5章章 加密文件系统的规划、实现
2、和故障排除加密文件系统的规划、实现和故障排除第第6 6章章 规划、配置和部署安全的成员服务器基线规划、配置和部署安全的成员服务器基线第第7 7章章 为服务器角色规划、配置和部署安全基线为服务器角色规划、配置和部署安全基线第第8 8章章 规划、配置、实现和部署安全客户端计算机基线规划、配置、实现和部署安全客户端计算机基线第第9 9章章 规划和实现软件更新服务规划和实现软件更新服务第第1010章章 数据传输安全性的规划、部署和故障排除数据传输安全性的规划、部署和故障排除第第1111章章 部署配置和管理部署配置和管理SSLSSL第第1212章章 规划和实施无线网络的安全措施规划和实施无线网络的安全措
3、施第第1313章章 保护远程访问安全保护远程访问安全网络安全的实现和管理网络安全的实现和管理- -以以Windows Server 2003Windows Server 2003和和ISA Server 2004ISA Server 2004为例为例 第第1414章章 MICROSOFT ISA SERVER MICROSOFT ISA SERVER 概述概述第第1515章章 安装和维护安装和维护 ISA ServerISA Server第第1616章章 允许对允许对 Internet Internet 资源的访问资源的访问第第1717章章 配置配置 ISA Server ISA Server
4、 作为防火墙作为防火墙第第1818章章 配置对内部资源的访问配置对内部资源的访问第第1919章章 集成集成 ISA Server 2004ISA Server 2004和和Microsoft Exchange ServerMicrosoft Exchange Server第第2020章章 高级应用程序和高级应用程序和WebWeb筛选筛选第第2121章章 为远程客户端和网络配置虚拟专用网络访问为远程客户端和网络配置虚拟专用网络访问第第2222章章 实现缓存实现缓存第第2323章章 监视监视ISA Server2004ISA Server2004第第6 6章：规划、配置和部署安全的成员服务章：规划
5、、配置和部署安全的成员服务器基线器基线成员服务器基线概述成员服务器基线概述 规划安全的成员服务器基线规划安全的成员服务器基线 配置其他安全设置配置其他安全设置部署安全模板部署安全模板安全模板故障诊断安全模板故障诊断成员服务器基线概述成员服务器基线概述受信计算基受信计算基维护受信计算基的要求维护受信计算基的要求安全基线元素安全基线元素建立安全基线的指导方针建立安全基线的指导方针6.1 6.1 成员服务器基线概述成员服务器基线概述受信计算基受信计算基它包括组织的计算环境中所有元素的详细安全性要它包括组织的计算环境中所有元素的详细安全性要求求 受信计算基的安全机制：受信计算基的安全机制：包含硬件、软
6、件、Includeshardware,software,固件、和流程它是组织的安全策略 受信计算基受信计算基维护受信计算基的要求维护受信计算基的要求详细的配置和规程详细的配置和规程详细文档详细文档更改和配置管理更改和配置管理规程复核规程复核6.1.2 6.1.2 维护受信计算基的要求维护受信计算基的要求安全基线元素安全基线元素安全基线：安全基线：实现了一台特定计算机上的受信计算基组件 安全基线包含：安全基线包含：服务和应用程序设置操作系统组件的配置权限和权利分配管理规程6.1.3 6.1.3 安全基线元素安全基线元素建立安全基线的指导方针建立安全基线的指导方针记录计算机上的所有应用程序和服务记
7、录计算机上的所有应用程序和服务1 1将设置应用到每台计算机将设置应用到每台计算机3 3建立审核方法以发现基线更改建立审核方法以发现基线更改4 4通过文档记录操作系统、应用程序和通过文档记录操作系统、应用程序和服务所必需的安全设置服务所必需的安全设置2 26.1.4 6.1.4 建立安全基线的指导方针建立安全基线的指导方针第第6 6章：规划、配置和部署安全的成员服务章：规划、配置和部署安全的成员服务器基线器基线成员服务器基线概述成员服务器基线概述 规划安全的成员服务器基线规划安全的成员服务器基线 配置其他安全设置配置其他安全设置部署安全模板部署安全模板安全模板故障诊断安全模板故障诊断规划安全的成
8、员服务器基线规划安全的成员服务器基线为服务器规划安全基线的指导方针为服务器规划安全基线的指导方针预定义的安全模板预定义的安全模板Windows Server 2003 Windows Server 2003 中的安全性环境中的安全性环境其他安全模板其他安全模板保存安全模板的最佳实践保存安全模板的最佳实践其他安全设置其他安全设置管理组设计的最佳实践管理组设计的最佳实践 6.2 6.2 规划安全的成员服务器基线规划安全的成员服务器基线为每个角色使用模板为每个角色使用模板创建创建 OU OU 结构结构确定多项操作系统要求确定多项操作系统要求仅授予必需的权限仅授予必需的权限使用组策略以应用模板使用组策
9、略以应用模板监视基线监视基线6.2.1 6.2.1 为服务器规划安全基线的指导方针为服务器规划安全基线的指导方针为服务器规划安全基线的指导方针为服务器规划安全基线的指导方针预定义的安全模板预定义的安全模板模板模板描述描述缺省安全（缺省安全（Setup Setup security.infsecurity.inf）指定缺省安全设置域控制器缺省安全（域控制器缺省安全（DC DC security.infsecurity.inf）从Setupsecurity.inf模板更新到域控制器安全设置兼容（兼容（Compatws.infCompatws.inf）更改授予Users组的缺省文件和注册表权限来保证
10、最大程序兼容性安全（安全（Securedc.inf Securedc.inf 和和 Securews.infSecurews.inf）定义了对应用程序兼容性的影响可能最小的增强的安全设置。 高度安全（高度安全（Hisecdc.inf Hisecdc.inf 和和 Hicecws.infHicecws.inf） 是安全模板的超集 系统根目录安全性系统根目录安全性（Rootsec.infRootsec.inf）定义了系统驱动器根目录的权限6.2.2 6.2.2 预定义的安全模板预定义的安全模板预定义的安全模板预定义的安全模板6.2.2 6.2.2 预定义的安全模板预定义的安全模板因素因素 旧式客户
11、端环旧式客户端环境境 企业客户端环境企业客户端环境 高安全性环境高安全性环境 安全性安全性 安全性最低 安全性高于旧式客户端，但低于高安全性 安全性最高 支持的模板支持的模板 预定义模板 预定义或定制的模板 预定义或定制的模板 操作系统操作系统 包括Windows98、indowsNT4.0Workstation、indows2000Professional和WindowsXPProfessional Windows2000和WindowsXPProfessional Windows2000和WindowsXPProfessional6.2.3 6.2.3 Windows Server 200
12、3 Windows Server 2003 中的安全性环境中的安全性环境Windows Server 2003 Windows Server 2003 中的安全性环境中的安全性环境其他安全模板其他安全模板模板模板描述描述商业商业由一些机构提供了针对各种用途的模板，并提供不同程度的支持 这些模板包含文档，文档描述了如何使用模板、模板的用途以及应该如何应用模板自定义自定义创建定制的安全模板来适合该计算机所担任的各种角色 例如，可以为一台既是DHCP又是WINS服务器的分支机构域控制器创建一个定制模板 6.2.4 6.2.4 其他安全模板其他安全模板保存安全模板的最佳实践保存安全模板的最佳实践发生以
13、下情形时，需要保存安全模板发生以下情形时，需要保存安全模板确保在生产环境中使用的安全模板保存在一个确保在生产环境中使用的安全模板保存在一个只有负责实施组策略的管理员才能访问到的位只有负责实施组策略的管理员才能访问到的位置置 指定一台域控制器来保存安全模板的主副本，以指定一台域控制器来保存安全模板的主副本，以避免版本控制问题避免版本控制问题 确保只有管理员才拥有编辑和查看安全模板内确保只有管理员才拥有编辑和查看安全模板内容的权限容的权限6.2.5 6.2.5 保存安全模板的最佳实践保存安全模板的最佳实践其他安全设置其他安全设置控制惟一安全组的权利控制惟一安全组的权利保护公开账户保护公开账户配置服
14、务账户配置服务账户使用使用 NTSF NTSF 设置设置禁用错误报告禁用错误报告配置系统时间配置系统时间6.2.6 6.2.6 其他安全设置其他安全设置管理组设计的最佳实践管理组设计的最佳实践需要设计管理组的情形：需要设计管理组的情形： 根据组中的管理员将执行的任务创建根据组中的管理员将执行的任务创建 Active Active Directory Directory 服务管理员组服务管理员组 将特殊权限分配给将特殊权限分配给 Active Directory Active Directory 数据管理员数据管理员 达到资源管理简易性和资源组织复杂性之间的达到资源管理简易性和资源组织复杂性之间
15、的平衡平衡 确保对管理员进行背景调查确保对管理员进行背景调查6.2.7 6.2.7 管理组设计的最佳实践管理组设计的最佳实践目的：定可确保域中的新旧操作系统之间兼容性的最佳方式6.2.8 6.2.8 实验实验6-16-1：规划安全的成员服务器基线规划安全的成员服务器基线实验实验6-16-1：规划安全的成员服务器基线：规划安全的成员服务器基线第第6 6章：规划、配置和部署安全的成员服务章：规划、配置和部署安全的成员服务器基线器基线成员服务器基线概述成员服务器基线概述 规划安全的成员服务器基线规划安全的成员服务器基线 配置其他安全设置配置其他安全设置部署安全模板部署安全模板安全模板故障诊断安全模板
16、故障诊断配置其他安全设置配置其他安全设置手工将安全组添加到手工将安全组添加到“ “用户权限分配用户权限分配” ”重命名域中和服务器上的重命名域中和服务器上的 Administrator Administrator 和和 Guest Guest 账账户户时间同步过程时间同步过程配置时间同步配置时间同步6.3 6.3 配置其他安全设置配置其他安全设置演示：演示：演示如何手工将安全组添加到演示如何手工将安全组添加到“ “用户权限分配用户权限分配” ”6.3.1 6.3.1 手工将安全组添加到手工将安全组添加到“ “用户权限分配用户权限分配” ” 手工将安全组添加到手工将安全组添加到“ “用户权限分配
17、用户权限分配” ”重命名域中和服务器上的重命名域中和服务器上的 Administrator Administrator 和和 Guest Guest 账户账户演示如何重命名域中和服务器上的演示如何重命名域中和服务器上的 Administrator Administrator 和和 Guest Guest 账户账户创建一个新的组策略对象创建一个新的组策略对象配置组策略设置来更改帐户名称配置组策略设置来更改帐户名称6.3.2 6.3.2 重命名域中和服务器上的重命名域中和服务器上的 Administrator Administrator 和和 Guest Guest 账户账户时间同步过程时间同步过
18、程林根域中的主域控制器（林根域中的主域控制器（PDCPDC）仿真器操作主本）仿真器操作主本是组织中的权威时间源是组织中的权威时间源 1 1所有的成员服务器和客户端桌面计算机使用负责所有的成员服务器和客户端桌面计算机使用负责身份验证的域控制器来同步各自的时钟身份验证的域控制器来同步各自的时钟3 3域中的所有域控制器与域中的域中的所有域控制器与域中的 PDC PDC 模拟器操作模拟器操作主本同步时间主本同步时间2 26.3.3 6.3.3 时间同步过程时间同步过程配置时间同步配置时间同步演示如何配置时间同步演示如何配置时间同步 创建时间服务器列表创建时间服务器列表配置服务器使用时间服务器列表配置服
19、务器使用时间服务器列表6.3.4 6.3.4 配置时间同步配置时间同步实验实验6-26-2：配置时间服务配置时间服务目的：在域中配置时间服务6.3.5 6.3.5 实验实验6-26-2：配置时间服务配置时间服务第第6 6章：规划、配置和部署安全的成员服务章：规划、配置和部署安全的成员服务器基线器基线成员服务器基线概述成员服务器基线概述 规划安全的成员服务器基线规划安全的成员服务器基线 配置其他安全设置配置其他安全设置部署安全模板部署安全模板安全模板故障诊断安全模板故障诊断部署安全模板部署安全模板部署安全模板的方式部署安全模板的方式使用组策略在域环境中部署安全模板使用组策略在域环境中部署安全模板
20、在独立的计算机上部署安全模板在独立的计算机上部署安全模板使用脚本部署安全模板使用脚本部署安全模板部署安全模板的最佳实践部署安全模板的最佳实践6.4 6.4 部署安全模板部署安全模板部署安全模板的方式部署安全模板的方式方式方式描述描述组策略组策略允许你部署多台计算机拥有相同的安全配置需求计算机“ “安全配置和分析安全配置和分析” ”管理单元管理单元 可使管理员一次一台地分析和配置计算机的安全设置 脚本脚本允许你从命令行以批处理文件或任务计划的形式使安全配置的应用和分析工作自动化6.4.1 6.4.1 部署安全模板的方式部署安全模板的方式演示：演示：演示如何使用组策略在域环境中部署安全模板演示如何
21、使用组策略在域环境中部署安全模板6.4.2 6.4.2 使用组策略在域环境中部署安全模板使用组策略在域环境中部署安全模板使用组策略在域环境中部署安全模板使用组策略在域环境中部署安全模板演示：演示：演示在独立的计算机上部署安全模板演示在独立的计算机上部署安全模板本地安全策略本地安全策略安全配置分析工具安全配置分析工具6.4.3 6.4.3 在独立的计算机上部署安全模板在独立的计算机上部署安全模板在独立的计算机上部署安全模板在独立的计算机上部署安全模板使用脚本部署安全模板使用脚本部署安全模板演示：演示：演示如何使用脚本部署安全模板演示如何使用脚本部署安全模板6.4.4 6.4.4 使用脚本部署安全
22、模板使用脚本部署安全模板部署安全模板的最佳实践部署安全模板的最佳实践部署安全模板部署安全模板: :如果没有经过测试，不要使用预定义的安全如果没有经过测试，不要使用预定义的安全模板模板 跟踪计算机上所用的系统服务跟踪计算机上所用的系统服务 将将 Secedit.exe Secedit.exe 命令行工具用于频繁分析命令行工具用于频繁分析 为进行分析创建多个分开的安全数据库为进行分析创建多个分开的安全数据库6.4.5 6.4.5 部署安全模板的最佳实践部署安全模板的最佳实践第第6 6章：规划、配置和部署安全的成员服务章：规划、配置和部署安全的成员服务器基线器基线成员服务器基线概述成员服务器基线概述
23、 规划安全的成员服务器基线规划安全的成员服务器基线 配置其他安全设置配置其他安全设置部署安全模板部署安全模板安全模板故障诊断安全模板故障诊断安全模板故障诊断安全模板故障诊断解决与应用组策略有关的问题解决与应用组策略有关的问题解决不期望的安全设置问题解决不期望的安全设置问题解决系统策略问题解决系统策略问题6.5 6.5 安全模板故障诊断安全模板故障诊断分析问题流程分析问题流程6.5.1 6.5.1 解决与应用组策略有关的问题解决与应用组策略有关的问题解决与应用组策略有关的问题解决与应用组策略有关的问题分析多个分析多个 GPO GPO 将多个将多个模板应用到系统时会导模板应用到系统时会导致不期望的
24、安全设置分致不期望的安全设置分析流程析流程 6.5.2 6.5.2 解决不期望的安全设置问题解决不期望的安全设置问题解决不期望的安全设置问题解决不期望的安全设置问题解决不期望的安全设置问题解决不期望的安全设置问题最佳实践最佳实践验证想要应用的策略没有受阻验证在ActiveDirectory中的较高级别设置的不覆盖策略是否已经设置为“不覆盖”。如果同时使用了“不覆盖”和“阻止”，“不覆盖”优先验证用户或计算机不属于任何“应用组策略”权限被设置为“拒绝”的安全组验证用户或计算机至少属于一个“应用组策略”权限被设置为“允许”的安全组验证用户或计算机至少属于一个“读取”权限被设置为“允许”的安全组6.
25、5.2 6.5.2 解决不期望的安全设置问题解决不期望的安全设置问题解决系统策略问题解决系统策略问题系统系统策略未能成功应用到系统的原因：系统系统策略未能成功应用到系统的原因：1.是否正确命名了策略文件2.是否将.pol文件存放在了正确的文件夹中3.继承问题6.5.3 6.5.3 解决系统策略问题解决系统策略问题练习练习 1 1规划安全的成员服务器基线规划安全的成员服务器基线练习练习 2 2实施预定义的安全模板实施预定义的安全模板练习练习 3 3创建并实施定制的安全模板创建并实施定制的安全模板练习练习 4 4在非域成员的服务器上实施安全模板在非域成员的服务器上实施安全模板 实验实验 6-3 6-3：规划、配置和部署成员服务器基线规划、配置和部署成员服务器基线实验实验 6-3 6-3：规划、配置和部署成员服务器基规划、配置和部署成员服务器基线线 回顾回顾学习完本章后，将能够：学习完本章后，将能够：了解安全基线和成员服务器基线的重要性规划安全的成员服务器基线配置附加安全设置部署安全模板
