电子商务网络与安全上机报告(1)

- 电子商务网络与安全上机报告专 业 班 级： 商务101班 学 生 姓 名： 王雪波 学 号： 100207109 指 导 教 师： 袁再健 2012年 12 月 28 日一 上机内容1 Windows安全1.1 帐户和密码的安全设置1.1.1 删除不再使用的账户，禁用Guest帐户检查和删除不再使用的帐户。在“计算机管理”窗口中列出了系统所有的帐户。检查各帐户是否仍需使用，删除其中不再使用的帐户。禁用Guest帐户。右键单击Guest帐户，选择“属性”，在弹出的“Guest”属性对话框中将“帐户已停用”一栏打对勾，这样就无法使用该帐号登陆系统了。1.1.2启用帐号策略依次打开“控制面板”“管理工具”“本地安全策略”。在弹出的“本地安全设置”窗口中，选择“帐户策略”中的“密码策略”，密码策略用于决定系统的安全规则。 帐户策略中的第2项是帐户锁定策略，它决定系统锁定帐户的时间等相关设置。选中“帐户策略”下的“帐户锁定策略”，其中，有三个设置选项。“帐户锁定阈值”定义了用户在进行多少次登陆后自动锁定帐户，设置这个阈值能从根本上抵御入侵者对用户密码的暴力猜测，推荐值为3次。“复位帐户锁定计数器”定义了帐户在锁定后多长时间可被系统复位为零，推荐值为3分钟。“帐户锁定时间”，该值设置当用户的帐户被锁后，多长时间才能重新使用，推荐值为10分钟。1.1.3不自动显示上次登陆的帐户名Windows XP默认情况下，系统会自动显示上次登陆的账户名。这使得攻击者很容易得到系统的一些用户名，从而进行密码猜测，这对系统是很不安全的。因此，应禁止自动显示上次登陆的帐户名。在“管理工具”中的“本地安全策略”中“本地安全设置”窗口，选择“本地策略”中的“安全选项”，并在窗口右侧列表中选择“交互式登录：不显示上次的用户名”。1.1.4 启动密码设置 在运行中输入CMD；在命令提示符中，输入“syskey”命令，弹出“保证Windows XP帐户数据库的安全”对话框，点击“更新”按钮，则弹出“启动密码”对话框，选择“密码启动”单选按钮，输入用户想设置的密码。在“启动密码”对话框中选择“在本机上保存启动密码”，可以取消刚才设置的系统密码。1.2 启用审核与日志查看功能安全审核是Windows操作系统基本的入侵检测方法。如果攻击者通过某种方式入侵时，恰当的审核策略所生成的日志文件将会包含有关本次入侵的重要信息。1.2.1 启用审核策略打开“控制面板”中的“管理工具”，选择“本地策略”中的审核策略，就可以看到审核策略在默认情况下是没有开启的。双击每项策略可以选择是否启用该策略。 “审核策略更改”，用于确定是否对更改用户权限分配策略、审核策略或信任策略的每个事件进行审核；“审核登录事件”用于确定是否对用户记录审核事件的计算机登录、注销或建立网络的每个实例进行审核；“审核过程跟踪”则用于对每次启用或者退出的程序或者进程进行记录，根据需要启用相关审核策略。审核策略启用后，审核结果将放在各种事件日志中。1.2.2 事件查看器打开“控制面板”中的“管理工具”，双击“事件查看器”，可以看到Windows操作系统的3种类型日志，在事件查看器中，“安全性”日志用来记录审核策略中所设置的安全事件。双击“安全日志”可以看到各种安全事件的详细记录。1.3 启用安全模板Windows提供了安全模板工具，可以方便地组织网络安全设置的建立和管理。用户可以根据实际需要选择启用必要的安全模板，系统可以自动完成相应的安全配置。1.3.1 启用预定义的安全模板在命令提示符下输入“mmc”命令，打开系统控制台。选择“文件”菜单中的“添加/删除管理单元”，单击“添加”按钮，分别选择“安全模板”、“安全配置和分析”在系统控制台根节点下添加了“安全模板”、“安全配置信息”两个文件夹。打开“安全模板”，可以看到系统中预定义的安全模板。单击某一个模板，在右侧窗口则会出现该模板中的安全策略，双击每种安全策略可以看到其相关配置并可以进行修改。右键单击某一个模板，选择“设置描述”，可以看到对该模板进行描述的信息。右键单击“安全配置分析”，选择“打开数据库”，在弹出的对话框中输入欲新建安全数据库名称（例如secdata.sdb）。单击“打开”按钮，在弹出的窗口中，根据需要配置的安全级，选择一个安全模板（例如securede.inf）右键单击“安全配置和分析”，选择“立即分析计算机”，系统则开始按照上一步中选中的安全模板对系统当前的安全设置进行分析。分析完毕后，可以在目录中选择查看各种安全设置的分析结果。右键单击“安全配置和分析”，选择“立即配置计算机”，系统则会按照第四步中所选的安全模板的要求对当前的系统进行安全配置。1.3.2 自定义安全模板在“安全模板”节点右键单击，选择“新加模板搜索路径”，在弹出的窗口中指定一个保存定义的安全模板的文件夹，单击“确定”按钮，“安全模板”节点上出现了一个刚才设置的路径，在该路径上右键单击“新加模板”，并在弹出的对话框中输入新加入的模板名称，然后，单击“确定”按钮，则会在自行设置的路径下出现新建的模板。展开这个新建的模板，在显示的安全策略列表中双击“帐户策略”下的“密码策略”，可以发现其中任何一项均显示“没有定义”。双击预设值的安全策略（如：“密码必须符合复杂性要求”）。在“在模板中定义这个策略设置”前打勾并选中“已启动”单项按钮。根据实际需要，依次设置其它安全选项策略，直至完成自定义安全模板为止。1.4 禁用不必要的协议和端口1.4.1 禁用不必要的协议在配置系统协议时，不需要的协议都可以删除。对于服务器和主机来说，一般只要安装TCP/IP协议就够了。NetBIOS是很多安全缺陷的源泉，对于不需要提供文件和打印共享的主机，可将绑定在TCP/IP协议的NetBIOS关闭，以避免对NetBIOS的攻击。点击“网上邻居”，在“本地连接属性”窗口，卸载不必要的协议，选择“TCP/IP”协议，进入“高级TCP/IP设置”对话框，选择“WINS”选项卡，勾选“禁用TCP/IP上的NetBIOS”一项，关闭NetBIOS。1.4.2 禁用不必要的端口在“本地连接属性”窗口中选中“TCP/IP”协议，依次选择“属性”-“高级”-“选项”-“TCP/IP筛选”-“属性”，在弹出得“TCP/IP筛选”窗口中，勾选“启用TCP/IP筛选”，并通过“只允许”单选按钮分别添加TCP、UDP、IP等网络协议允许的端口，通过该设置，可以屏蔽不必要的端口。1.5 屏蔽不必要的服务组件服务组件一方面可以使用户享受更多的服务功能，但另一方面Windows默认启用了许多不一定要用到的服务，为黑客的系统入侵提供了可乘之机。因此，建议屏蔽那些不必要的服务组件。另外，禁用服务不但可让系统更加安全，还可让计算机运行速度更快。进入控制面板的“管理工具”，运行“服务”进入服务窗口。双击窗口右侧列表中需要禁用的服务，在弹出的对话框中“启动类型”一栏，点击小三角按钮选择“已禁用”，点击“停止”按钮再点击“确定”按钮，这样就屏蔽了Telnet服务。1.6 文件系统加密NTFS能够支持其他文件系统所不支持的特性，例如支持文件系统的加密等。NTFS比FAT32文件系统的安全性要高，建议把磁盘重要分区都改为NTFS格式。1.6.1 对文件夹的加密打开磁盘格式为NTFS的磁盘，选择要进行加密的文件夹，打开“属性”窗口，单击“常规”选项卡中的“高级”按钮，选中“加密内容以便保护数据”，单击“确定”按钮，选择“将更改应用于该文件夹、子文件夹和文件”，单击“确定”按钮后完成对文件夹的加密。1.6.2 证明该文件夹已经被加密加密完毕后，保存当前用户（系统管理员）下的文件。注销当前用户，并以普通用户身份重新登录系统，再次访问该文件夹，打开其中的文件，则弹出错误窗口。这说明该文件夹已经被加密，没有授权的用户就无法访问其中的文件。1.6.3 为当前的加密系统文件系统设置证书以系统管理员帐户登录系统，在命令提示符中输入“mmc”命令，可以打开系统控制台。在“文件”菜单中选择“添加/删除管理单元”，在弹出的对话框中单击“添加”按钮，出现“添加独立管理单元”窗口，选择“证书”为当前的加密系统文件系统设置证书。单击“添加”按钮，完成证书的添加后，在控制台根节点的目录树中依次选择“证书”-“当前用户”-“个人”-“证书”，可以看到用于加密文件系统的证书显示在右侧的窗口中，双击该证书，则可以看到证书中的详细信息，主要包括证书所包含的公钥、有效起始和终止日期等。1.6.4 证书的导出选中用于加密文件系统的证书，单击右键，选择“所有任务”，在展开的菜单中单击“导出”，弹出“证书导出向导”对话框，单击“下一步”按钮，选择“是，导出密钥”，单击“下一步”按钮，设置保护私钥的密码。然后选择证书文件的保存路径，完成证书的导出。1.6.5 其他用户打开文件其他用户登录系统，在控制台根节点的目录树中依次选择“证书-当前用户”-“个人”，右键单击“所有任务”中的“导入”命令，然后根据证书导入向导导入证书。当证书导入完成后，该用户则成为加密文件系统的授权用户。再次双击加密文件夹中的dd文件，文件可以正常打开。1.7 VPN服务器配置Windows Server 2003 的VPN服务包含在路由和远程访问服务中。当Windows Server 2003服务器安装完毕后，VPN被自动安装，当VPN服务处于停止状态，如果建立VPN连接，必须启用和配置路由和远程访问服务。选择“控制面板”“管理工具”“路由和远程访问”命令，在打开的“路由和远程访问”窗口中选择“服务器状态”选项，可看到其状态处于“已停止（未配置）”。1.7.1 配置并启用路由和远程访问在“路由和远程访问”窗口的左边窗格中，选中要配置的服务器名称，单击右键，在弹出的快捷菜单上选择“配置并启用路由和远程访问”。进入配置向导后，单击“下一步”按钮，进入“配置”界面，选中“自定义配置”单选按钮，单选“下一步”按钮。进入“自定义配置”界面后，选中“VPN访问”复选框，依次单击“下一步”按钮、“完成”按钮。1.7.2 设置IP地址VPN服务启动成功后，需要设置IP地址。右击右边树形目录中的本地服务器名，在弹出的快捷菜单中选择“属性”命令，在打开的对话框中切换到IP选项卡。选中“静态地址池”单选按钮，其起始IP地址和结束IP地址的设置可自行定义，如局域网段“192.168.10.x”。1.7.3 VPN用户设置选择“控制面板”“管理工具”“计算机管理”命令，选择“系统工具”“本地用户和组”“用户”，进入用户管理界面。在右侧窗口可建立用于VPN连接的用户。建立后选中该用户，鼠标右键“属性”，打开该用户的“属性”窗口。在“拨入”选项卡中选中“远程访问权限（拨入或VPN）”设置中的“允许访问”。则该用户可用于远程VPN访问。1.8 VPN客户端配置客户端配置相对简单得多，只需建立一个到VPN服务端的专用连接即可。首先保证客户端也要接入Internet网络，以Windows XP为例。在客户计算机上，确认与Internet并选择的连接配置正确。在 “控制面板”中选择“网络连接”命令，在打开的“网络连接”窗口中的“网络任务”栏单击“创建一个新的连接”链接，在弹出的“新建连接向导”对话框中单击“下一步”按钮。在弹出的“网络连接类型”界面中，选中“连接到我的工作场所的网络”单选按钮，然后单击“下一步”按钮。在弹出的“网络连接方式”界面中，选中“虚拟专用网络连接”单选按钮，然后单击“下一步”按钮，弹出“连接名”界面。在“连接名”界面中输入该VPN连接的描述性名称，然后单击“下一步”按钮，弹出“公用网络”界面。如果计算机永久连接到Internet，请选中“不拨初始连接”单选按钮。如果计算机通过Internet服务提供商（ISP）连接到Internet，则选中“自动拨此初始连接”单选按钮，然后选择与ISP连接的名称。单击“下一步”按钮。在出现的“VPN服务器选择”界面中，输入要连接的VPN服务器的主机名或IP地址；然后单击“下一步”按钮。弹出“连接向导结束”界面，选中“在我的桌面上添加一个到此连接的快捷方式”复选框，单击“完成”按钮以保存连接。1.9 VPN客户端的连接及属性设置双击桌面上的VPN连接的快捷方式，或选择“开始”“程序”“控制面板”“网络连接”命令，找到新建的VPN连接并双击其图标，输入访问VPN服务的合法用户名和密码后单击“连接”按钮，即可与远程VPN服务器建立连接。在本地计算机与远程VPN服务器成功连接后，即可通过网上邻居查找VPN服务器的共享目录，也可以在浏览器里输入VPN服务器端的IP地址或