ProjectCHAPVPPT课件.ppt

BENET3 0第一学期课程 第六章Windows2008安全管理实战 2 内容回顾 如何监视Web服务器性能 如何优化Web服务器性能 如何加强Web服务器安全性 如何实现站点到站点VPN 3 技能展示 掌握安全策略的配置掌握加密和数据保护的应用掌握部署NAP服务掌握PKI高级应用掌握RODC的配置 4 本章结构 5 Windows2008安全设置 Windows2008安全配置向导为了简化安全配置过程 Windows2008提供了安全配置向导 6 案例1 加强Windows2008系统安全性 BENET公司有一台计算机中保存了许多重要文件 管理员发现经常有人试图访问这些文件 为了保证该计算机的安全 管理员打算对这台计算机进行安全设置 7 案例1 加强Windows2008系统安全性 运行 scw 命令 启动安全配置向导新建安全策略 进行安全配置 新建安全策略 处理安全配置数据库 为选定服务器选择要执行的服务器角色 为选定服务器选择要执行的客户端功能 选择选定的服务器需要的额外服务 是否改变为指定的服务的启动模式 要改变启动模式的服务 以及当前和策略的启动模式 检查网络策略 可以添加 修改 删除 验证方法 选择审核策略 新建安全策略的名称 立刻应用安全策略 安全策略应用完成 8 案例1 加强Windows2008安全性 学员练习 运行 scw 命令 启动安全配置向导新建安全策略 进行安全配置 25分钟内完成 9 数据加密和数据保护 EFS简介EFS全称为加密文件系统 可以为系统中的文件提供加密保护EFS的加密过程是完全透明的 加密后不会影响用户访问文件 10 案例2 保证文件服务器数据安全 BENET公司的网络中有一台文件服务器 该服务器的E Data文件夹中保存了大量机密文档 为了防止这些文件外泄 公司要求禁止无关人员取读 复制和修改这些文件 11 案例2 保证文件服务器数据安全 加密E Data文件夹 使用不同用户访问该文件夹备份密钥 导出密钥 恢复密钥 导入密钥 双击导出的密钥文件 更换用户 并且用户对该文件有权限 但是访问被拒绝 路径与名称 导出的证书 导出时设置的密码 12 案例2 保证文件服务器数据安全 学员练习 加密E Data文件夹 使用不同用户访问该文件夹备份密钥 导出密钥 恢复密钥 导入密钥 25分钟内完成 13 部署NAP服务 NAP服务简介为了保证企业网安全 企业通常要在局域网中推行一定的安全策略 这可以通过NAP技术实现NAP不是防范网络攻击的技术 而是用于维护计算机健康 在网络中推行安全策略的一种手段 14 案例3 通过NAP加强企业网安全 BENET公司的网络是一个Windows域 域名为 域中所有客户机通过一台DHCP服务器动态获得IP地址 为了加强安全性 管理员希望只有启用了Windows防火墙的计算机能访问网络 否则不能访问 15 案例3 通过NAP加强企业网安全 环境要求 域控制器Windows2008网络策略服务器DHCP服务器DNS服务器WindowsVista客户机 16 案例3 通过NAP加强企业网安全 实验准备 使用三台计算机完成本实验 计算机DC01 IP地址为192 168 100 1 充当域控制器和DNS服务器计算机NPS01 IP地址为192 168 100 2 充当DHCP服务器和NPS服务器计算机Client01 充当客户机 自动获得IP地址 17 案例3 通过NAP加强企业网安全 配置活动目录域 在计算机DC01中安装活动目录域服务和DNS服务 并将该计算机配置为域控制器 域名为将计算机NPS01加入域 成为成员服务器为计算机Client01配置静态IP 加入域 18 案例3 通过NAP加强企业网安全 安装网络策略服务器 在NPS01计算机上安装网络策略服务器配置网络策略服务器 在NPS01计算机上配置网络策略服务器安装和配置DHCP服务器 在NPS01计算机安装和配置DHCP服务器配置组策略 通过AD组策略配置Client01客户机 19 案例3 通过NAP加强企业网安全 测试实验效果 在Client01计算机中启用防火墙 该计算机能够从DHCP服务器获得IP地址在Client01计算机中关闭防火墙 再次检查网络配置 子网掩码为255 255 255 255 说明网络不正常 20 PKI高级应用 加密恢复代理简介使用EFS加密文件后 默认情况下 只有加密者本人能打开加密文件通过设置加密恢复代理 可以让指定用户打开别人加密的文件 21 案例4 设置加密恢复代理 为了保证公司财务数据的保密性 BENET公司财务部要求每个员工对自己所涉及的数据加密为了防止员工离职后加密数据无法打开 公司希望财务部主管可以打开别人加密的文件 22 案例4 设置加密恢复代理 准备实验环境 建立Windows域 域名为 建立财务部组织单位Finance OU财部主管 UserA财务部员工B UserB财务部员工C UserC将这三个账户加入DomainAdmins组在域控制器中安装 ActiveDirectory证书服务 以UserB登录域控制器建立一个文件夹 在文件夹中建立一个文本文件加密建立的文件夹及文件以UserA和UserC登录域访问UserB建立的文件 系统提示 拒绝访问 23 案例4 设置加密恢复代理 申请证书 以财务主管的帐户UserA登录域建立MMC管理控制台 添加 证书 工具 申请证书导出刚刚申请的证书在域控制器上设置组策略 24 案例4 设置加密恢复代理 数据解密 UserB登录域控制器在所加密文件夹建立002 txt 文件自动被加密UserA登录域控制器能够打开UserB加密的文件 并且可以取消加密状态UserA是加密恢复代理UserC登录域控制器打开UserB加密的文件 仍然提示 拒绝访问 25 案例4 设置加密恢复代理 学员练习 准备实验环境申请证书导出刚刚申请的证书在域控制器上设置组策略数据解密 35分钟内完成 26 配置RODC RODC简介RODC全称为只读域控制器 其中保存只读的ActiveDirectory数据库 无论普通用户还是管理员都不能修改活动目录的内容RODC使分支机构在域的管理和安全方面有了新的选择 27 案例5 配置RODC BENET公司的网络是一个Windows域 域名为 该域中有一台Windows2008域控制器公司新成立一个部门 并为该部门组建了单独的局域网 公司打算在不增加管理负担的基础上 专门为该部门安装一台域控制器 但是不允许该部门的人修改域控制器的配置 28 案例5 配置RODC RODC安装准备 以Administrator登录现有域控制器将林功能级别提升为WindowsServer2003或更高执行 adprep rodcprep 命令安装RODC 将要安装为RODC的计算机加入域在RODC计算机中安装 ActiveDirectory域服务 运行 dcpromo