HARDENING Windows Systems中文版

第1部分 马上行动
第1章 立即行动 3
1.1 强化密码策略 5
1.1.1 创建逻辑策略 6
1.1.2 改变本地账户策略 7
1.1.3 修改个人账户策略 7
1.2 锁定远程管理 9
1.3 锁定管理工作站 10
1.4 物理保护所有系统 11
1.5 保密 11
1.6 禁用EFS 12
1.7 禁用不满足严格安全策略要求的无线网络 12
1.8 禁止无保护措施的笔记本和台式机连接局域网 13
1.9 使用Runas或Su 13
1.10 禁用红外文件传输 14
第2部分 从顶端做起：系统地强化安全
第2章 强化认证——证明来宾身份 17
2.1 什么是认证 18
2.1.1 何时需要认证 18
2.1.2 在Windows安全框架内何处适合认证 19
2.2 认证的证书（credentials）选择 20
2.3 强化用户登录 21
2.3.1 登录类型 22
2.3.2 强化账户 23
2.3.3 强化账户策略 24
2.3.4 强化湿件 36
2.3.5 禁止自动登录 38
2.3.6 限制匿名访问 39
2.3.7 保护Windows 2000系统的密码安全 40
2.4 强化网络认证 41
2.4.1 LM，NTLM，NTLMv2 41
2.4.2 Kerberos协议 44
2.4.3 远程访问认证协议 45
2.4.4 Web服务器认证选择 47
2.4.5 加强无线认证 48
2.5 强化计算机和服务的认证过程 48
2.5.1 为服务账号制定强密码以及不允许用户使用服务账号登录 49
2.5.2 使用本地服务账号并不允许通过网络访问服务账号 50
2.5.3 使用服务账号的低特权账号 50
2.5.4 强化计算机账户 50
第3章 强化物理网络基础设施 51
3.1 网络分段 52
3.1.1 示例 52
3.1.2 决定合适网络分段的最好方法 55
3.2 在分段边界安装防护性措施和检测性措施 57
3.2.1 防范性的控制措施 57
3.2.2 检测性的控制措施 64
3.2.3 边界控制的最好措施 65
3.3 保护重要通信 76
3.3.1 保护活动目录和其他域之间的通信 76
3.3.2 Web通信保护 86
3.3.3 E-Mail保护 86
3.4 保护重要服务器 86
3.4.1 保护域控制器 86
3.4.2 保护基础设施服务器 89
3.5 保护网络基础设施 89
3.6 保护对客户端系统的访问 90
3.6.1 使用常驻计算机的防火墙 90
3.6.2 客户端物理安全选项 91
第4章 强化逻辑网络基础设施 93
4.1 工作组计算机安全基础 94
4.1.1 工作组基本要点 95
4.1.2 工作组用户账号 95
4.1.3 工作组网络资源 95
4.1.4 强化工作组 97
4.2 Windows NT 4.0类型的域的安全基础 99
4.2.1 中央管理 100
4.2.2 安全边界 100
4.2.3 NT 4.0类型的信任 101
4.2.4 强化Windows NT 4.0域 103
4.3 活动目录林安全基础 104
4.3.1 中央集权管理的优点 105
4.3.2 自治和隔离：域不是一个安全边界 107
4.3.3 建立基于安全需要的域 108
4.3.4 建立基于安全和管理需要的组织单元 108
4.3.5 将域控制器和全局目录服务器只放在需要的地方 109
4.3.6 配置远程Windows Server 2003域控制器以使用通用组高速缓存 109
4.3.7 创建最小数目的异常域信任 110
4.3.8 提升域和林功能级别到Windows Server 2003 113
4.3.9 使用选择性认证 116
4.3.10 如何建立一个外部信任（External Trust） 118
4.4 强化逻辑网络基础设施的备忘录 122
第5章 强化网络基础设施角色 124
5.1 开发安全基线 126
5.2 限制用户权限 127
5.2.1 用户权限基线的修改 127
5.2.2 使用本地安全策略修改用户权限 129
5.2.3 使用NT 4.0用户管理器修改用户权限 129
5.3 禁用可选择的子系统 130
5.4 禁用或删除不必要的服务 131
5.5 应用混合安全配置 138
5.5.1 不显示上次登录用户名 139
5.5.2 添加登录提示 139
5.6 开发增量安全步骤（Incremental Security Steps） 140
5.6.1 强化基础设施组（Infrastructure Group） 140
5.6.2 强化DHCP 140
5.6.3 强化DNS 144
5.6.4 强化WINS 152
5.7 选择安全部署的方法和模型 153
5.7.1 用工具在Windows NT 4.0系统进行常规安全设置 154
5.7.2 用安全模板定义安全设置 157
5.7.3 使用安全配置和分析或安全管理器 162
5.7.4 使用Secedit 163
第6章 保护Windows目录信息及其操作 164
6.1 保护DNS 166
6.2 将AD数据库和SYSVOL放在独立的磁盘上 167
6.3 物理保护域控制器 168
6.4 监视和保护活动目录状态 170
6.4.1 监视DNS 170
6.4.2 监视复制 177
6.4.3 监视组策略操作 184
6.4.4 强化域以及域控制器安全策略 189
6.4.5 保护活动目录通信 193
6.4.6 管理“管理权限”（Administrative Authority） 194
6.5 保护活动目录数据——理解活动目录对象权限 195
第7章 强化管理权限和操作 196
7.1 委托和控制管理权限 197
7.1.1 定义用户角色 198
7.1.2 定义技术控制 209
7.2 定义安全管理措施 217
7.2.1 非常高风险管理 217
7.2.2 高风险数据中心管理 226
7.2.3 高风险非数据中心管理 229
7.2.4 中等风险管理 229
7.2.5 低风险管理 232
第8章 按角色分别强化服务器和客户端计算机 233
8.1 基于角色的强化过程 234
8.2 决定计算机角色 235
8.2.1 顶级计算机角色 236
8.2.2 二级或三级计算机角色 236
8.3 设计基于角色的强化基础设施 237
8.3.1 用脚本自动使用多模板 237
8.3.2 使用活动目录体系和组策略方法 239
8.3.3 使用Windows NT 4.0系统策略 243
8.4 改编安全模板 250
8.4.1 检查及修改基线模板 251
8.4.2 检查以及修改基于角色的模板 254
8.5 用组策略执行强化计划 255
8.5.1 创建一个撤销计划（Back-out Plan） 256
8.5.2 将模板导入合适的GPO 256
第9章 强化应用程序访问和使用 260
9.1 通过管理模板限制访问 261
9.1.1 强化操作系统配置 263
9.1.2 强化用户设置 268
9.1.3 使用其他.adm文件 272
9.1.4 强化应用程序 273
9.2 通过软件限制策略限制访问 283
9.2.1 安全等级设置为Disallowed 283
9.2.2 设置策略选项 284
9.2.3 编写规则来允许和限制软件 287
9.3 开发与实施台式机与用户角色 289
9.4 使用组策略管理控制台复制GPO 291
第10章 强化数据访问 292
10.1 使用NTFS文件系统 293
10.2 使用DACL保护数据 294
10.2.1 使用继承管理权限 295
10.2.2 基于用户角色分配权限 297
10.2.3 维护合适权限 301
10.2.4 保护文件系统和数据 301
10.2.5 强化文件系统共享 305
10.2.6 保护打印机 309
10.2.7 保护注册表项 310
10.2.8 保护目录对象 312
10.2.9 保护服务 313
10.3 使用EFS保护数据 314
10.3.1 禁用EFS除非可被安全地使用 314
10.3.2 强化EFS规则 317
第11章 强化通信 322
11.1 保护LAN信息通信 323
11.1.1 为NTLM使用SMB消息签名和会话安全 323
11.1.2 使用IPSec策略 325
11.2 保护WAN信息通信 333
11.2.1 强化远程访问服务器 333
11.2.2 强化NT 4.0远程访问服务器配置 336
11.2.3 强化Windows Server 2000和Windows Server 2003 RRAS配置 338
11.2.4 使用L2TP/IPSec VPN 342
11.2.5 使用远程访问策略 343
11.2.6 强化远程访问客户端 345
11.2.7 使用IAS集中认证、账户和授权 345
11.2.8 保护无线访问 346
11.3 用SSL保护Web通信 351
第12章 使用PKI强化Windows及强化PKI自身 352
12.1 使用PKI强化Windows 353
12.1.1 使用PKI强化认证 353
12.1.2 用证书保护数据 359
12.2 强化PKI 360
12.2.1 强化证书授权计算机 360
12.2.2 实施CA分级结构 360
12.2.3 保护根CA 360
12.2.4 使用中间CA增加可靠性 366
12.2.5 在多个发行CA之间划分证书功能 368
12.2.6 为从属CA提供物理保护 368
12.2.7 要求证书批准 368
12.2.8 限制证书颁发 370
12.2.9 建立角色分离 372
12.2.10 强制角色分离 373
12.2.11 配置自动登记 374
12.2.12 培训用户证书请求程序 376
12.2.13 强化PKI策略、程序和规则 377
第3部分 一劳不能永逸
第13章 强化安全周期 381
13.1 创建业务连续性计划 382
13.1.1 确定计划范围 383
13.1.2 进行业务影响评估 383
13.1.3 进行风险分析 384
13.1.4 制定计划 385
13.1.5 测试 386
13.1.6 计划实施 386
13.1.7 计划维护 386
13.2 制定安全策略 386
13.3 强化操作系统安装 386
13.3.1 准备默认安全模板 387
13.3.2 使用Slipstreaming 387
13.3.3 安装过程中用RIS添加服务包 387
13.3.4 安装过程中安装Hotfix补丁 388
13.4 强化操作系统、应用程序和数据保护 390
13.5 用正规的变更管理程序管理变更 391
13.5.1 升级、人员变动、变更和新的安装 392
13.5.2 安全配置更改 392
13.5.3 补丁 392
13.6 准备灾难恢复 403
13.6.1 使用容错配置 403
13.6.2 计划备份以及执行备份 404
13.6.3 计划并进行特殊备份操作 407
13.6.4 实践恢复操作 408
13.7 监控与审计 410
13.7.1 配置系统审计 411
13.7.2 配置审计日志 414
13.7.3 保存审计日志文件 415
13.7.4 使用安全事件进行入侵检测与辩论分析 416
13.7.5 审计安全配置 418
13.7.6 审计补丁状态 420
第4部分 如何成功地强化Windows系统的安全性
第14章 强化湿件（Wetware） 425
14.1 诊断与改善安全策略 426
14.1.1 决定目前信息系统安全策略 427
14.1.2 评价策略 427
14.1.3 参与安全策略的构建与维护 428
14.2 学会商务谈吐 430
14.3 采取的第一个措施 431
14.4 通晓现行法律 431
14.4.1 所依赖的规则 432
14.4.2 现行立法掠影 433
14.5 了解Windows和其他操作系统的漏洞 436
14.6 了解并具体实施自愿性标准 437
14.6.1 ISO 17799 437
14.6.2 国家网络安全战略计划 438
14.7 启动或参与安全意识教育 438
14.7.1 安全意识目标 438
14.7.2 运作 439
附录 资源 440