windows 2000安全配置方案高级篇

第一:关闭DirectDraw:关于这项配置,对安全没有什么影响,关闭只是可以提高系统性能.

         C2级安全标准对视频卡和内存有要求,关闭DirectDraw可能对一些需要用到

DirectX的程序有影响,如:游戏,但是对于绝大多数商业网站不需要.

        修改注册

表:HKLM/System/CurrentControlset/Control/GraphicsDrivers/DCI/Timeout    将键

值"0"改为"1"即可

第二:关闭默认共享

         注:在windows2000中可以用这条命令net share ipc$ /del 把ipc$关闭.但是在

windows xp 中是不可以的.

第三:禁用Dump文件

         在系统崩溃和蓝屏的时候,dump文件是一份很有用的资料,可以帮助查找问题.然而

,却可以给黑客提供一些资料如应用程序的密码等.关闭的方法如下:控制面板---系统属性-

---高级----启动和故障恢复----把写入调试信息改成无即可.

第四:文件加密系统

          windows2000强大的加密系统能够给磁盘,文件夹,文件加上一层安全保护,这样可

以防止别人把硬盘挂载到其它计算机上从而读取里面的数据.

第五:加密Temp文件

        一些应用程序在安装和升级的时候,会把一些东西拷贝到Temp文件夹,但安装结束以

后,并不会自己清除Temp里面的内容.

第六:锁住注册表

          注意:锁住之前一定要建立一个解锁注册表文件,不然自己以后就不能打开了哟!

        windows 2000 中只有administrators和backup operators组里面的用户才能有从

网络上访问注册表的权限.

        HKCU/Software/Microsoft/Windows/Currentversion/Policies/System把

DisableRegistry的值改为"0",类型为Dword

第七:关机时清除文件

         页面文件也是调度文件,是windows 2000用来存储没有装入内存的程序和数据文件

的隐藏文件.

        HKLM/System/CurrentControlset/control/session  manager/Memory  

Management   把clearpagefileatshutdown的值改为"1".

        关闭页面文件的作用:1.提高性能.2.防止泄露密码.

第八:一些三方软件的工具能够通过引导系统来绕过原来的安全机制.当系统启动时候,sam文

件不可以拷贝等操作,所以我们可以通过光盘或者软盘启动系统,从而把sam文件拷贝下来,再

利用工具把SAM文件解密,从而取出里面的管理员帐户密码.

          注意:windows 2000的密码文件在:%systemroot%/winnt/config/sam

                   windows xp的密码文件在:%systemroot%/windows/config/sam

第九:使用智能卡

          对于密码文件,总是使安全管理员进退两难,容易受到一些工具的攻击,如果密码

太复杂,用户为了记住密码,会把密码到处乱写等.

           如果条件允许,用智能卡来找替复杂的密码是一个很好的解决办法.

第十:使用IPsec

          IPsecr提供IP数据包的安全性,在发送数据的时候,加密数据,在接收到了数据的

时候,解密数据.ipsec提供身份验证,完整性和可选择的机密性.利用IPsec可以使得系统的安

全性能大大提高.

第十一:禁止判断操作系统类型.

           黑客得用TTL(time-to-live,活动时间)值可以签别操作系统类型.

                                 操作系统                                    TTL

返回值

                       window2000                                        128

                       windownt                                              

107

                       window98                                             

128OR127

                       ATX                                                      

    247

                       LINUX                                               

241OR240

 

      修改TTL值的方法:新建一个双字

节.HKLM/System/CurrentControlset/services/Tcpip/PARAMETERS/   在键的名称必须输入

"defaultTTL",然后双击改键值,选择单选框"十进制",在文本框中输入你想改的值.

第十二:抵抗DDOS攻击

第十三:禁止GUEST访问日志

              1.禁止GUEST访问应用日志

                 HKLM/SYSTEM/Currentcontrolset/services/Eventlog/Application下添

加键值名称为:RestrictGuestAccess ,类型为:dword,将值设为"1"

             2.禁止GUEST访问系统日志

                 HKLM/SYSTEM/Currentcontrolset/services/Eventlog/system下添加键

值名称为:RestrictGuestAccess ,类型为:dword,将值设为"1"

              3.禁止GUEST访问安全日志

                 HKLM/SYSTEM/Currentcontrolset/services/Eventlog/security下添加

键值名称为:RestrictGuestAccess ,类型为:dword,将值设为"1"

第十四:恢复数据软件

             比较优秀的软件有:(easy   recovery),可以恢复删除的文件,丢失的硬盘分

区等等.