第八章节操作系统安全配置幻灯片.pptVIP

3 禁用Dump文件 在系统崩溃和蓝屏的时候，Dump文件是一份很有用资料，可以帮助查找问题。然而，也能够给黑客提供一些敏感信息，比如一些应用程序的密码等 需要禁止它，打开控制面板系统属性高级启动和故障恢复，把写入调试信息改成无，如图7-20所示。 4 文件加密系统 Windows2000强大的加密系统能够给磁盘，文件夹，文件加上一层安全保护。这样可以防止别人把你的硬盘挂到别的机器上以读出里面的数据。 微软公司为了弥补Windows NT 4.0的不足，在Windows 2000中，提供了一种基于新一代NTFS：NTFS V5（第5版本）的加密文件系统（Encrypted File System，简称EFS）。 EFS实现的是一种基于公共密钥的数据加密方式，利用了Windows 2000中的CryptoAPI结构。 5 加密Temp文件夹 一些应用程序在安装和升级的时候，会把一些东西拷贝到Temp文件夹，但是当程序升级完毕或关闭的时候，并不会自己清除Temp文件夹的内容。 所以，给Temp文件夹加密可以给你的文件多一层保护。 6 锁住注册表 在Windows2000中，只有Administrators和Backup Operators才有从网络上访问注册表的权限。当帐号的密码泄漏以后，黑客也可以在远程访问注册表，当服务器放到网络上的时候，一般需要锁定注册表。修改Hkey_current_user下的子键 Software\microsoft\windows\currentversion\Policies\system 把DisableRegistryTools的值该为0，类型为DWORD，如图7-21所示。 7 关机时清除文件 页面文件也就是调度文件，是Windows 2000用来存储没有装入内存的程序和数据文件部分的隐藏文件。 一些第三方的程序可以把一些没有的加密的密码存在内存中，页面文件中可能含有另外一些敏感的资料。要在关机的时候清楚页面文件，可以编辑注册表 修改主键HKEY_LOCAL_MACHINE下的子键： SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management 把ClearPageFileAtShutdown的值设置成1，如图7-22所示。 8 禁止软盘光盘启动 一些第三方的工具能通过引导系统来绕过原有的安全机制。比如一些管理员工具，从软盘上或者光盘上引导系统以后，就可以修改硬盘上操作系统的管理员密码。 如果服务器对安全要求非常高，可以考虑使用可移动软盘和光驱，把机箱锁起来仍然不失为一个好方法。 9 使用智能卡 对于密码，总是使安全管理员进退两难，容易受到一些工具的攻击，如果密码太复杂，用户把为了记住密码，会把密码到处乱写。 如果条件允许，用智能卡来代替复杂的密码是一个很好的解决方法。 10 使用IPSec 正如其名字的含义，IPSec提供IP数据包的安全性。 IPSec提供身份验证、完整性和可选择的机密性。发送方计算机在传输之前加密数据，而接收方计算机在收到数据之后解密数据。 利用IPSec可以使得系统的安全性能大大增强。 11 禁止判断主机类型 黑客利用TTL（Time-To-Live，活动时间）值可以鉴别操作系统的类型，通过Ping指令能判断目标主机类型。Ping的用处是检测目标主机是否连通。 许多入侵者首先会Ping一下主机，因为攻击某一台计算机需要根据对方的操作系统，是Windows还是Unix。如过TTL值为128就可以认为你的系统为Windows 2000，如图7-23所示。 从图中可以看出，TTL值为128，说明改主机的操作系统是Windows 2000操作系统。表7-6给出了一些常见操作系统的对照值。 操作系统类型 TTL返回值 Windows 2000 128 Windows NT 107 win9x 128 or 127 solaris 252 IRIX 240 AIX 247 Linux 241 or 240 修改TTL的值，入侵者就无法入侵电脑了。比如将操作系统的TTL值改为111，修改主键HKEY_LOCAL_MACHINE的子键： SYSTEM\CURRENT_CONTROLSET\SERVICES\TCPIP\PARAMETERS 新建一个双字节项，如图7-24所示。 在键的名称中输入“defaultTTL”，然后双击改键名，选择单选框“十进制”，在文本框中输入111，如图7-25所示。 设置完毕重新启动计算机，再用Ping指令，发现TTL的值已经被改成111了，如图7-26所示。 12 抵抗DDOS 添加注册表的一些键值，可以有效的抵抗DDOS的攻击。在键值 [HKE