科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网软件频道在K-12网络保护Windows XP

在K-12网络保护Windows XP

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

对Windows XP进行保护是一项挑战,也是一个复杂的过程,无法在一个上网的工作站完成最初安装后立刻就做好。在教育环境和公司环境下,对Windows XP进行保护的过程比较类似,但是起因有些时候却并不相同。

作者:ZDNet软件频道 来源:ZDNet软件频道 2007年8月10日

关键字: 操作系统 Windows xp Windows

  • 评论
  • 分享微博
  • 分享邮件
对Windows XP进行保护是一项挑战,也是一个复杂的过程,无法在一个上网的工作站完成最初安装后立刻就做好。在教育环境和公司环境下,对Windows XP进行保护的过程比较类似,但是起因有些时候却并不相同。对绝大多数的企业环境来说,要保护一台工作的主要理由一般是为了防止对系统未经授权的访问——这包括了对数据的保护,以及禁止“非官方”的软件安装。在某些情况下,由于缺乏相关的经验或者合适的人员,某些公司甚至根本不对工作站进行任何保护。他们仅仅依赖于Windows XP操作系统自带的那些“普通”安全防护措施。

在K-12的环境中,有一些额外的起因。简单的说,教育环境,特别是K-12,指的是操作系统加上所有本地软件的总体集合。而网络管理员工作中的很大一部分是用于防止意外或故意的篡改。至于工作站上的数据安全,对人们来说则是一个很罕见的概念,因为所有的数据几乎都不是存储在K-12环境本地中的。同样,为了维护操作的稳固性,也是一个关键性的因素。在K-12环境中,新手终端用户一般是那些老师,而熟练终端用户一般是那些学生。正确的防护措施可以为所有组群的终端用户提供益处。对老师而言,它提供了一个坚固可靠的接口以及相关功能。而对学生而言,它提供了一个受到控制的环境,无法对之进行任何篡改。

在K12环境中保护Windows XP——过程
在K12环境中保护Windows XP的过程相当复杂。网络管理员必须从网络管理员、技术人员、行政管理人员,教师,以及学生的不同角度来考虑客户端操作系统。在操作系统中的防护必须有效、可靠,其保护的软件除了一开始就安装上去的那些,还需要包括后来安装的部分。要做到这些,必须使用:ACLs(许可)

通过使用Windows XP的“存取控制列表(ACL)”部件,网络管理员可以对工作站上的每一个驱动器,文件夹,以及文件进行保护。仅有必要的权限才会被给予,而必要时也可以去除相关的权限。默认情况下,大部分操作系统以及相关软件对终端用户来说是开放的。使用ACL,对管理员和系统来说,操作系统所创建的所有文件夹和文件必须被设置为“完全控制”权限,而对用户则应当设置为“读取和执行”。这些权限必须被继承到所有的子目录和文件上(包括Program Files文件夹,以及系统根驱动器上的Windows文件夹)。唯一需要保留一定层次写权限的文件夹是:

C:Temp (未必存在)
C:Documents and SettingsAll Users
C:Documents and SettingsDefault User
C:WINDOWSDebug
C:WINDOWSPrefetch
C:WINDOWSTemp
C:WINDOWSsystem32MsDtc
C:WINDOWSsystem32spool

上文的过程需要为了用户本地组,将全部ACL替换为“读取和执行”权限(不过,上面所列出的这些目录除外)

注:在C:Program Files中的程序显然需要写权限,这样才能保证它们的正常运行。

本地用户组
一个ACL仅可以被实施于一个用户或者一个用户组上。通常来说,使用本地组来创建权限总是最好的(你应当很少有机会使用实际的用户帐户)。通过使用本地组来设置权限,对许多网络管理员来说是一个标准操作,也是微软所推荐的做法。之所以不推荐使用全局组,因为一旦当工作站同域控制器失去联络时,它的效力就会消失了。

混合
你应当仅仅在绝对必要时才使用远程管理(Terminal服务)。同样,你也应当将其设置为仅有网络管理员才具有存取权限。你最好应当禁止一切无必要的系统服务。这可能是一个复杂的任务,因为你必须仔细进行,并执行正确的测试。最后,任何非必要的软件应当被从工作站中清除掉。这同样也包括Windows操作系统本身可以移除的软件部分。

在K12环境中保护Windows XP——排除疑难以及监控

审核工具与记录(Windows XP内置)

正确的使用,审核以及记录,在进行排除疑难杂症时分外有用,也可以用于确认操作系统上的防护设置是否正确。

FileMon(文件监控)与RegMon(注册表监控)
Windows XP中内置的审核工具功能强大,能提供很高的价值。而Sysinternals(现在由微软收购)提供的一套工具,则是这些内置工具的绝佳补充。这些工具中的两个是FileMon和RegMon,用于监控文件系统以及注册表活动的实时图形工具。通常情况下,它们所能轻易提供的信息,常常是操作系统的审核工具所无法单独提供的。在测试一个新建/修改后的Windows XP工作站的安装时,这些工具分外有用。传统软件,或者那些有本地数据存储的软件,通常会和上文那些推荐的安全设置产生冲突。那么这些工具就可以帮助系统管理员迅速的发现和解决问题。

在K12环境中保护Windows XP——结果
在K12环境中对Windows XP进行保护绝不是一个轻松的任务。网络管理员必须考虑整体的方方方面,以及各种特殊需求。你必须对使用本地组设置正确的权限,并关闭任何不必要的软件或功能。你必须使用内置的或者第三方的工具,对所有的修改进行测试。其结果就是你获得了一台安全可靠,不会被恶意篡改的Windows XP工作站。

(责任编辑:陈毅东

查看本文的国际来源

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章