4.2 实例——Windows系统安全配置

4.2 实例——Windows系统安全配置

Windows操作系统安全配置包括：账号安全管理、网络安全管理、IE浏览器安全配置、注册表安全、Windows组策略、Windows权限管理和Windows安全审计等方面。

4.2.1 账号安全管理

1．重命名和禁用默认的账户

安装好Windows XP Professional后，系统会自动建立两个账户：Administrator和Guest。

在Windows XP Professional中，右键单击桌面上“我的电脑”图标，选择“管理”菜单项，打开“计算机管理”窗口，如图4.1所示。在左边列表中找到并展开“本地用户和组”，单击“用户”，可以看到系统中的账户。

1.图4.1 “计算机管理”窗口

（1）Administrator账户。

Administrator（管理员）账户拥有计算机的最高管理权限，每一台计算机至少需要一个拥有管理员权限账户，但不一定必须使用Administrator这个名称。黑客入侵计算机系统的常用手段之一就是试图获得管理员账户的密码。如果系统的管理员账户的名称没有修改，那么黑客将轻易得知管理员账户的名称，接下来就是寻找密码了。比较安全的做法是对系统的管理员账户的名称进行修改，这样，如果黑客要得到计算机系统的管理员权限，需要同时猜测账户的名称和密码，增加了黑客入侵的难度。

（2）Guest账户。

在Windows XP Professional中，Guest账户即所谓的来宾账户，只有基本的权限并且默认是禁用的。如果不需要Guest账户，一定禁用它，因为Guest也为黑客入侵提供了方便。

禁用Guest账户的方法是，在图4.1右边窗口中，双击Guest账户，在弹出的“Guest 属性”对话框中选中“账户已停用”。

注意：在Windows XP Home中，不允许停用Guest账户，那么一定要为Guest账户设置复杂的密码。不要忘记为所有账户设置足够复杂的密码。

2．可靠的密码

（1）密码策略。

尽管绝对安全的密码是不存在的，但是相对安全的密码还是可以实现的。在开始菜单中打开“运行”对话框，输入“secpol.msc”打开“本地安全设置”窗口，如图4.2所

示，展开“账户策略”，单击“密码策略”，右侧有6项关于密码的设置策略，通过这些策略的配置，就可以建立完备密码策略，这样密码就可以得到最大限度的保护。关于这6个策略的说明见表4.2。

2.图4.2 “本地安全设置”窗口

（2）操作系统的登录密码。

Windows XP的登录密码存放在系统的C:\WINDOWS\system32\config下的sam文件中，sam文件就是存放账号和密码的数据库文件。当登录系统时，系统会自动和sam进行比较，如果发现此账号和密码与sam文件中的加密数据符合，用户就会顺利登录，如果错误则无法登录。

注意：为了保障密码安全性，用户应该过一段时间就要更改自己的密码。

（3）给账户双重加密。

虽然为账户设置了复杂的密码，但密码总有被破解的可能。此时可以为账户设置双重加密。

在开始菜单中打开“运行”对话框，输入“syskey”打开“保证Windows XP账户数据库的安全”对话框，如图4.3所示，选中“启用加密”，单击“确定”按钮，这样程序就对账户完成了双重加密，不过这个加密过程对用户来说是透明的。

注意：该项操作是不可逆，一旦启用加密则不可以禁用。

如果想更进一步体验这种双重加密功能，那么可以在图4.3中单击“更新”按钮，打开“启动密码”对话框，如图4.4所示，这里有“密码启动”和“系统产生的密码”两个选项。

3.图

4.3 保证Windows XP账户数据库的安全图4.4 启动密码

如果选择“密码启动”，那么需要自己设置一个密码，这样在登录Windows XP之前需

要先输入这个密码，然后才能选择登录的账户。

如果选择“系统产生的密码”，那么又有两个选项，系统的默认选项是“在本机上保存启动密码”，如果选择该选项，那么程序仅在后台完成加密过程，在用户登录时不要求输入任何密码，因为密码就保存在计算机的内部。如果对安全要求很高，那么可以选择“在软盘上保存启动密码”，单击“确定”按钮之后会提示在软驱里放入一张软盘，创建完毕后会在软盘上生成一个StartKey.Key文件，以后每次启动系统时必须放入该软盘才能登录，此时相当于系统有了一张可以随身携带的钥匙盘。

注意：如果选择“在软盘上保存启动密码”，则建议创建一张备用盘。

3．最小特权原则

最小特权原则是系统安全中最基本的原则之一。

最小特权：指的是在完成某种操作时所赋予网络中每个主体（用户或进程）必不可少的特权。

最小特权原则：是指应限定网络中每个主体所必需的最小特权，确保可能的事故、错误、网络部件的篡改等原因造成的损失最小。

最小特权原则一方面给予主体“必不可少”的特权，这就保证了所有的主体都能在所赋予的特权之下完成所需要完成的任务或操作；另一方面，它只给予主体“必不可少”的特权，这就限制了每个主体所能进行的操作。

最小特权原则有效地限制、分割了用户对数据资料进行访问时的权限，降低了非法用户或非法操作可能给系统及数据带来的损失，对于系统安全具有至关重要的作用。但目前大多数系统的管理员对于最小特权原则的认识还不够深入。尤其是对于Windows系列操作系统，因为系统所赋予用户的默认权限是最高的权限，例如Windows下的目录和文件的默认权限是Everyone均具有完全的权限，而Administrator则有对整个系统的完全控制。如果系统的管理员不对此进行修改，则系统的安全性将非常薄弱。当然，最小特权原则只是系统安全的原则之一，如纵深防御原则、特权分离原则、强制存取控制等。如果要使系统达到相当高的安全性，还需要其他原则的配合使用。

4.2.5 Windows组策略

组策略设置定义了系统管理员需要管理的用户桌面环境的多种组件，例如，用户可用的程序、用户桌面上出现的程序以及“开始”菜单选项。组策略包括影响用户的“用户配置”策略设置和影响计算机的“计算机配置”策略设置。如图4.47所示，“计算机配置”是对整个计算机中的系统配置进行设置的，是对计算机中所有用户的运行环境起作用；“用户配置”则是对当前用户的系统配置进行设置的，它仅对当前用户起作用。

下面介绍组策略与安全有关的一些设置。

第1步：打开“组策略”窗口。在开始菜单中打开“运行”对话框，输入“gpedit.msc”打开“组策略”窗口，如图4.47所示。

4.图4.47 “组策略”窗口

第2步：隐藏电脑的驱动器。在图4.47中，依次展开“用户配置”→“管理模板”→“Windows组件”，然后单击“Windows资源管理器”，双击右侧窗口中的“隐藏‘我的电脑’中这些指定的驱动器”，在弹出的对话框中选择“已启用”，请从下拉列表上选择一个驱动器或几个驱动器。

注意：这项策略删除驱动器图标。用户仍可通过使用其他方式继续访问驱动器的内容，如通过在映射网络驱动器对话框、运行对话框或命令窗口上输入一个驱动器的目录路径。同时，此策略不会防止用户使用程序访问这些驱动器或其内容，也不会防止用户使用“磁盘管理”管理单元查看并更改驱动器特性。

第3步：防止访问驱动器。在第2步隐藏电脑的驱动器后，发现我的电脑里指定的磁盘驱动器不见了，但在地址栏输入盘符后，仍然可以访问，为了解决该问题，在图4.47中，双击右侧窗口中的“防止从‘我的电脑’访问驱动器”，在弹出的对话框中选择“已启用”，从下拉列表中选择一个驱动器或几个驱动器。如果你启用了这项设置，用户可以浏览在“我的电脑”或Windows资源管理器中所选择的目录结构，但是不能打开文件夹或访问其中的内容。同时，他们也无法使用运行对话框或映射网络驱动器对话框来查看在这些驱动器上的目录。

注意：如果没有第2步，那么这些代表指定驱动器的图标仍旧会出现在“我的电脑”中，但是如果用户双击图标，会弹出“限制”对话框，提示本次操作受限。不过这一设置不会防止用户使用程序访问本地和网络驱动器。并且不防止他们使用磁盘管理单元查看和更改驱动器特性。

第4步：隐藏文件夹选项。

平时隐藏文件夹后，别人只需在文件夹选项里显示所有文件，就可以看见了，从Windows 资源管理器菜单上删除文件选项项目并且从控制面板上删除文件夹选项项目。这样做用户就不能使用文件夹选项对话框。可以在组策略里删除这个选项。

在图4.47中，双击右侧窗口中的“从‘工具’菜单删除‘文件夹选项’菜单”，在弹出

的对话框中选择“已启用”。

第5步：关闭缩略图缓存。

有时候在文件夹中浏览过图片，以后虽然删除了，但是缩略图缓存可能会被其他人读取。如果启用该设置，缩略图视图将不被缓存。

在图4.47中，双击右侧窗口中的“关闭缩略图的缓存”，在弹出的对话框中选择“已启用”。

第6步：关闭自动播放。

一旦将媒体插入驱动器，自动运行就开始从驱动器中读取。这会造成程序的设置文件和在音频媒体上的音乐会立即开始。在默认的情况下，自动运行在软盘驱动器和网络驱动器上禁用（但不在CD-ROM驱动器上禁用）。如果启动这项设置，还可以在CD-ROM驱动器禁用自动运行或在所有驱动器上禁用自动运行。

在图4.48中，依次展开“用户配置”→“管理模板”，然后单击“系统”，双击右侧窗口中的“关闭自动播放”，在弹出的对话框中选择“已启用”，请从下拉列表上选择一个驱动器或几个驱动器。

5.图4.48 “组策略”窗口

注意：这个设置出现在“计算机配置”和“用户配置”两个文件夹中。如果两个设置都配置，“计算机配置”中的设置比“用户配置”中的设置优先。此设置不阻止自动播放音乐CD。

组策略的功能非常强大，本节仅介绍了其中很少的一部分功能，希望能够起到抛砖引玉的作用。

注意：为了防止其他用户通过组策略来更改自己的设置，可以在C:\WINDOWS\ System32下把gpedit.msc更名，比如改为groupedit.msc，以后在开始菜单中打开“运行”对话框，输入“groupedit.msc”即可，不影响正常使用。

4.2.6 Windows权限

Windows NT/2000/XP/2003/Vista/2008提供了非常细致的权限控制项，能够精确定制用户对资源的访问控制能力，大多数的权限从其名称上就可以基本了解其所能实现的内容。

权限是针对资源而言的，设置权限只能以资源为对象，比如“设置某个文件夹有哪些用户可以拥有相应的权限”，而不能以用户为主，比如不能“设置某个用户可以对哪些资源拥

有权限”。这就意味着权限必须针对资源而言，脱离了资源去谈权限毫无意义。

利用权限可以控制资源被访问的方式，如User组的成员对某个资源拥有“读取”操作权限、Administrators组成员拥有“读取＋写入＋删除”操作权限等。

1．与Windows权限密切相关的3个概念是：安全标识符、访问控制列表和安全主体

（1）安全标识符（Security Identifier，SID）。

在Windows中，系统是通过SID对用户进行识别的，而不是用户名。SID可以应用于系统内的所有用户、组、服务或计算机，因为SID是一个具有唯一性、绝对不会重复产生的数值，所以，在删除了一个账户ZTG后，再次创建这个ZTG账户时，前一个ZTG与后一个ZTG账户的SID是不相同的。这种设计使得账户的权限得到了最基础的保护，杜绝盗用权限的情况。

（2）访问控制列表（Access Control List，ACL）。

访问控制列表是权限的核心技术。这是一个权限列表，用于定义特定用户对某个资源的访问权限，实际上这就是Windows对资源进行保护时所使用的一个标准。

在访问控制列表中，每一个用户或用户组都对应一组访问控制项（Access Control Entry，ACE），在“组或用户名称”列表中选择不同的用户或组时，通过下方的权限列表设置项是不同的这一点就可以看出来。显然，所有用户或用户组的权限访问设置都将会在这里被存储下来，并允许随时被有权限进行修改的用户进行调整。

（3）安全主体（Security Principal）。

在Windows中，可以将用户、用户组、计算机或服务都看成是一个安全主体，每个安全主体都拥有相对应的账户名称和SID。根据系统架构的不同，账户的管理方式也有所不同：本地账户被本地的SAM管理，域的账户则会被活动目录进行管理等。

一般来说，权限的指派过程实际上就是为某个资源指定安全主体（即用户、用户组等），使其可以拥有指定操作的过程。因为用户组包括多个用户，所以多数情况下，建议为资源指派权限时使用用户组来完成，这样可以统一管理。

2．权限管理的4项基本原则

在Windows中，针对权限的管理有4项基本原则，即拒绝优于允许原则、权限最小化原则、累加原则和权限继承性原则。这4项基本原则对于权限的设置来说，将会起到非常重要的作用，下面介绍权限管理的4项基本原则。

（1）拒绝优于允许原则。该原则是一条非常重要且基础性的原则，它可以非常完美地处理好因用户在用户组的归属方面引起的权限冲突。

例如：用户ztg既属于ztgs用户组，也属于guangs用户组，当对guangs组中某个资源进行“写入”权限的集中分配时，该组中ztg用户将自动拥有“写入”权限。

但是ztg用户在实际操作中却无法执行写入操作。原来，在ztgs组中同样也对ztg用户进行了针对这个资源的权限设置，设置的权限是“拒绝写入”。基于“拒绝优于允许”的原则，ztg在ztgs组中被“拒绝写入”的权限将优先guangs组中被赋予的允许“写入”权限。因此，在实际操作中，ztg用户无法对这个资源进行写入操作。

（2）权限最小化原则。保持用户最小的权限是非常有必要的。这条原则可以确保资源得到最大的安全保障。

例如：系统中新建的受限用户ztg在默认状态下对DIRECT目录没有任何权限的，现在需要为ztg用户赋予对DIRECT目录有读取的权限，那么就必须在DIRECT目录的权限列表中为ztg用户添加读取权限。

（3）权限继承性原则。权限继承性原则可以让资源的权限设置变得更加简单。假设现在

有个DIRECT目录，在这个目录中有DIRECT1、DIRECT2、DIRECT3等子目录，现在需要对DIRECT目录及其下的子目录均设置ztg用户有写入权限。因为有继承性原则，所以只需对DIRECT目录设置ztg用户有写入权限，其下的所有子目录将自动继承这个权限的设置。

（4）累加原则。这个原则比较好理解，假设现在ztg用户既属于ztgs用户组，也属于guangs用户组，它在ztgs用户组对DIRECT目录的权限是读取，在guangs用户组中对DIRECT 目录的权限是写入，那么根据累加原则，ztg用户对DIRECT目录的实际权限将会是读取＋写入。

总之，拒绝优于允许原则是用于解决权限设置上冲突问题的；权限最小化原则是用于保障资源安全的；权限继承性原则是用于权限设置的自动化的；累加原则是让权限的设置更加灵活多变。

注意：Administrators组的全部成员都可以从其他用户手中夺取其身份的权力。

3．文件与文件夹权限

文件与文件夹依据是否被共享到网络上，其权限可以分为NTFS权限与共享权限两种，这两种权限既可以单独使用，也可以相辅使用。两者之间既能够相互制约，也可以相互补充。

（1）NTFS权限。

只要是在NTFS分区上的文件夹或文件，无论是否被共享，都具有此权限。此权限对于使用FAT16/FAT32分区上的文件与文件夹无效。

NTFS权限有两大要素：一是标准访问权限；二是特别访问权限。

标准访问权限将一些常用的系统权限选项比较笼统地组成7组权限，分别是：完全控制、修改、读取和运行、列出文件夹目录、读取、写入、特别的权限。

在大多数情况下，标准访问权限是可以满足管理需要的，但对于权限管理要求严格的环境，往往就不能满足要求了，比如只想赋予某用户有建立文件夹的权限，而不赋予该用户建立文件的权限；又比如只想赋予某用户只能删除当前目录中的文件，却不能删除当前目录中的子目录的权限等，此时，就可以使用特别访问权限了，特别访问权限不再使用简单的权限分组，可以实现更具体、全面、精确的权限设置。

①设置标准访问权限。以Windows 2003系统的NTFS分区中名为Inetpub的文件夹为例，可以按照如下方法进行操作。

第1步：右键单击Inetpub文件夹，在右键菜单中选择“共享与安全”，显示“Inetpub 属性”对话框，如图4.49所示。

第2步：在图4.49中，选择“安全”选项卡，针对资源进行的NTFS权限设置就是通过这个选项卡来实现的，此时应首先在“组或用户名称”列表中选择需要赋予权限的用户名或组，然后在下方的“权限”列表中设置该用户可以拥有的权限。

注意：Windows XP在安装后默认状态下是没有激活安全选项卡设置功能的，所以需要首先启用系统中的安全选项卡设置功能。方法是：单击资源管理器的“工具”菜单中的“文件夹选项”，弹出“文件夹选项”对话框，如图4.50所示，打开“查看”选项卡页，在“高级设置”选项列表中清除“使用简单文件共享（推荐）”选项前的复选框，然后单击“确定”按钮即可。

6.图4.49 “Inetpub属性”对话框图4.50 “文件夹选项”对话框

表4.7简单介绍了图4.49中7个权限选项的含义。

②设置特别访问权限。

第1步：在图4.49中，单击“添加”按钮，弹出“选择用户或组”对话框，如图4.51所示，选择ztg用户，单击“确定”按钮后再单击“确定”按钮，返回“Inetpub属性”对话框，如图4.52所示。

7.图4.51 “选择用户或组”对话框图4.52 “Inetpub属性”对话框

第2步：在图4.52中，单击“高级”按钮，弹出“Inetpub的高级安全设置”对话框，如图4.53所示，去掉“允许父项的继承权限传播到该对象和所有子对象。包括那些在此明确定义的项目”前面的对钩，这样可以断开当前权限设置与父级权限设置之间的继承关系。在随即弹出的“安全”对话框（图4.54）中单击“复制”或“删除”按钮（单击“复制”按钮可以首先复制继承的父级权限设置，然后再断开继承关系），返回“Inetpub的高级安全设置”对话框，如图4.55所示，然后单击“应用”按钮。

第3步：在图4.55中，选中ztg用户（读者要根据具体情况选择用户）并单击“编辑”按钮，弹出“Inetpub的权限项目”对话框，如图4.56所示，首先单击“全部清除”按钮，

然后在“权限”列表中选择“遍历文件夹/运行文件”、“列出文件夹/读取数据”、“读取属性”、“创建文件/写入数据”、“创建文件夹/附加数据”和“读取权限”，然后单击“确定”按钮完成设置。

8.图4.53 “Inetpub的高级安全设置”对话框图4.54 “安全”对话框

9.图4.55 “Inetpub的高级安全设置”对话框图4.56 “Inetpub的权限项目”对话框

在经过上述设置后，ztg用户在对Inetpub文件夹进行删除操作时，就会弹出提示框警告操作不能成功。显然，相对于标准访问权限设置上的笼统，特别访问权限则可以实现更具体、全面、精确的权限设置。

表4.8对图4.56中的特别权限列表中的权限含义做了说明。

（2）共享权限。

只要是共享出来的文件夹就一定具有此权限。如该文件夹存在于NTFS分区中，那么它将同时具有NTFS权限与共享权限，如果这个资源同时拥有NTFS和共享两种权限，那么系统中对权限的具体实施将以两种权限中“较严格的权限”为准（拒绝优于允许原则）。

比如某个共享资源的NTFS权限设置为完全控制，而共享权限设置为读取，那么远程用户对共享资源只具有读取权限了。

设置共享权限的方法是右键单击Inetpub文件夹，在右键菜单中选择“共享与安全”，在弹出的“Inetpub属性”对话框（图4.57）中选择“共享”选项卡，选中“共享此文件夹”，此时将使用默认的权限设置（即Everyone用户拥有读取权限）。如果想对共享权限进行具体

设置，那么单击“权限”按钮，弹出的“Inetpub的权限”对话框，如图4.58所示，可以看到权限列表中有完全控制、更改和读取，这3个权限的含义见表4.9。

10.图4.57 “Inetpub属性”对话框图4.58 “Inetpub的权限”对话框

在图4.58中，可以单击“添加”按钮将需要设置权限的用户或用户组添加进来。在默认情况下，当添加新的组或用户时，该组或用户将具备读取权限，可以根据实际情况在下方的权限列表中进行复选框的选择与清空。

注意：如果是FA T16/FA T32文件系统中的共享文件夹，那么将只能受到共享权限的保护，这样一来就容易产生安全性漏洞。这是因为共享权限只能够限制从网络上访问资源的用户，并无法限制直接登录本机的人，即用户只要能够登录本机，就可以任意修改、删除FA T16/FA T32分区中的数据了。因此，从安全角度来看，不推荐使用FA T16/FA T32文件系统。

4．复制或移动资源时权限的变化

设置权限的资源需要复制或移动时，资源的权限会如何变化呢？

（1）复制资源。复制资源时，原资源的权限不会发生变化，新生成的资源，将继承其目标位置父级资源的权限。

（2）移动资源。在移动资源时，一般会遇到两种情况：

一是如果资源的移动发生在同一驱动器内，那么对象保留本身原有的权限不变（包括资源本身权限及原先从父级资源中继承的权限）。

二是如果资源的移动发生在不同的驱动器之间，那么不仅对象本身的权限会丢失，而且原先从父级资源中继承的权限也会被从目标位置的父级资源继承的权限所替代。实际上，移动操作就是首先进行资源的复制，然后从原有位置删除资源的操作。

（3）非NTFS分区。上述复制或移动资源时产生的权限变化只是针对NTFS分区而言的，如果将资源复制或移动到FAT16/FAT32分区，那么所有的权限均会自动全部丢失。

5．内置安全主体与权限

在Windows XP中，有一群不为人知的用户，他们的作用是可以让我们指派权限到某种“状态”的用户，如匿名用户、网络用户等，而不是某个特定的用户或组（如ztg这类用户）。这样一来，对用户权限的管理就更加容易精确控制了。这群用户在Windows XP中，统一称为内置安全主体。

下面介绍为Inetpub文件夹设置内置安全主体中的“Network”类用户权限的方法。

第1步：右键单击Inetpub文件夹，在右键菜单中选择“共享与安全”，显示“Inetpub 属性”对话框，如图4.59所示，单击“添加”按钮，在弹出的“选择用户或组”对话框（图4.60）中单击“对象类型”按钮。弹出“对象类型”对话框，如图4.61所示。

第2步：在图4.61中，只保留列表中的“内置安全主体”，然后单击“确定”按钮。返回“选择用户或组”对话框（图4.60），单击“高级”按钮后接着单击“立即查找”按钮，如图4.62所示，图中列出了系统中的所有内置安全主体。

11.图4.59 “Inetpub属性”对话框图4.60 “选择用户或组”对话框

12.图4.61 “对象类型”对话框图4.62 内置安全主体

第3步：在图4.62中，选择“NETWORK”类用户，然后单击“确定”按钮。返回“Inetpub 属性”对话框（图4.59），可以按照前面讲述的内容为“NETWORK”类用户指派对于Inetpub 文件夹的NTFS权限或者共享权限。

图4.62中主要的安全主体的作用说明见表4.10。