对Windows Server 2008的组策略进行安全设置（一）

众所周知，由于拜“Windows高级防火墙”、“IPSec”等一些功能的提升和强化所赐，Windows Server 2008系统的安全性比其他操作系统进行了昂首阔步的前进。但是问题也随之而来，那就是“双刃剑效应”：系统缺省状态下过高的安全级别往往令很多用户无法顺利的在Windows Server 2008系统环境下进行各种操作。于是乎许多用户只好采用人工设置的办法来降低Windows Server 2008系统的安全访问级别，以达到便于操作的目的。但是，这种“便捷换安全”的做法却使Windows Server 2008系统遭到安全攻击的几率大大增加。由此，我们会想，有没有一个两全其美的办法呢？那就是如何在系统安全访问级别不高的情况下，我们仍然能够让Windows Server 2008系统的安全性得到保证呢?我们可以利用Windows Server 2008系统强大的组策略功能，来设置相关的选项，以达到上述目的。
一、 对恶意程序的阻止
在Windows Server 2008系统中使用IE浏览器上网浏览网页内容时，一些恶意程序往往会成为不速之客，不请自来的下载到本地硬盘上，这样的后果轻则浪费硬盘资源，重则会给系统安全问题带来很大的困扰。
而为了增加Windows Server 2008系统的安全性，我们往往需要安装专业的软件才能保证应用程序的自动下载行为被禁止。其实，在Windows Server 2008系统中，我们只要简单地进行一下系统组策略参数的设置，就能禁止恶意程序自动下载并保存到本地了，步骤如下：
首先以特权帐号进入Windows Server 2008系统环境，依次点击系统桌面中的“开始”“运行”命令，然后输入gpedit.msc命令，打开本地计算机的组策略编辑窗口。

其次在组策略编辑窗口左侧区域展开“计算机配置”分支，再依次选择该分支下面的“管理模板”“Windows组件”“Internet Explorer”“安全功能”“限制文件下载”选项，然后双击右侧对话框中“限制文件下载”目录下的“Internet Explorer进程”选项，打开目标组策略属性设置窗口。 

我们单击“已启用”选项，然后确定。如此这般设置后我们就能成功启用限制Internet Explorer进程下载文件的策略设置。

 
随后Windows Server 2008系统就会自动弹出阻止Internet Explorer进程的非用户初始化的文件下载提示，单击提示对话框中的“确定”按钮，恶意程序就不会通过IE浏览器窗口随意下载到本地了。

 
二、安全审核重要文件夹
Windows Server 2008系统的一个特性是能够使用安全审核的方法来跟踪访问重要文件夹或其他对象的登录尝试、用户账号等事件。如果我们可以充分利用Windows Server 2008对文件夹的审核功能，就可以有效保证其安全性。步骤如下：
首先以特权帐号进入Windows Server 2008系统环境，依次点击系统桌面中的“开始”“运行”命令，然后输入gpedit.msc命令，打开本地计算机的组策略编辑窗口。
其次在组策略编辑窗口左侧区域展开“计算机配置”分支，再依次选择该分支下面的“Windows设置”“安全设置”“本地策略”“审核策略”选项，在“审核策略”选项右侧显示区域中找到“审核对象访问”目标组策略项目。

 
而后我们用鼠标右键单击该项目，执行右键菜单中的“属性”命令打开目标组策略项目的属性设置窗口。选中该属性设置窗口中的“成功”和“失败”复选项，再单击“确定”按钮。

 
如此这般设置后，对访问重要文件夹或其他对象的登录尝试、用户账号等其他一些事件的行为无论成功与失败，都会被Windows Server 2008系统自动记录保存到对应的日志文件中。

我们只要及时查看服务器系统的相关日志文件，就能知道重要文件夹以及其他一些对象是否遭受过非法访问或攻击了，一旦发现系统存在安全隐患，我们只要根据日志文件中的内容及时采取针对性措施进行安全防范即可。