企业网络安全策略白皮书

1、微软金业网络安全策略作站的安全策略工作站软件的安装限制限制用户对网络工作站软件的安装权限，进一步防止病毒或某些 破坏程序利用工作站使用者的账号进行口行传播。匸作站软件的版木跟踪对各个工作站上安装的软件定期实施自动扫描，监测安装软件的 类型和版木，判断是否安装了合法的软件、是否安装了最新的软 件补丁包、以及是否有可疑的“软件”入侵企业网络。软件补丁包的强行安装対没有安装最新的软件补丁包的工作站，实施强行安装机制；利 用“推”的原则或在川户登陆网络时，白动安装软件的补丁包。匸作站登陆的安全设置对所有工作站的登陆实施登陆的安全设置，只有有权限和合法的 用户才能登陆工作站。工作站信息的安全设置对工作站

2、存储的内容设査用户访问的权限和共亨的权限，确保有 足够权限的用户才能访问可访问的信息。防毒软件的强制安装和 自动更新对所有的工作站强制安装有效的防毒软件，并门口动更新工作站 防毒软件的版本和相关的病毒库。不必要的工作站服务的 禁用对工作站上的某些不必要的应用服务，实施禁用政策；比如：不 必在工作站上启用iis服务。工作站的浏览器的安全 设置（强行）设置工作站中的浏览器的内容安全级别，防止可执行 script语句和相关控件对客户端或网络可能造成的伤害。匸作站应用软件的安全 设置对工作站上安装的应用软件，开启札1应的安全选项，以保证其对 系统运行的安全，女山微软office的宏安全性设置等。工作站

3、个人防火墙的部 署在工作站上部署个人防火墙，特别是笔记本、家庭pc等，以基 于各种协议和端口设置，來防止各种恶意破坏的程序对工作站的 入侵。匚作站的安全列表监测对所有基于 windows nt/windows 2000/windows xp 的工作站， 按照工作站的安全列表（见附件一），逐项监测。服务器的安全策略服务器/域的口令策略制定相应的服务器/域的口令策略，并要求所有的川户定期更改口 令。服务器操作的口志纪录对服务器的关键的操作和运行状况，实行口志纪录；用以检测某 些无意或恶意的人为的操作。软件补丁包的定期安装定期检测服务器的软件版本和补丁包的版本，及时安装相应的补 丁包。服务器信息的安

4、全设置对服务器存储的内容设置用户访问的权限和其享的权限，确保有 足够权限的用户才能访问可访问的信息。服务器性能的监测和警 告机制白动监测服务器的各项性能指标，并警报各种异常状况，以及时 发现各种可能的破坏性的恶意操作。防毒软件的安装和更新对所有的服务器安装有效的防毒软件，并j1 口动/定期更新防毒软 件的版本和相关的病毒库。加密策略的制定和实施对服务器中的内容，如：文件、数据、邮件等，定制和实施相应 的加密策略，以防止机密信息的外洩。备份策略的定制和实施对服务器中的内容，如：文件、数据、邮件等，定制和实施相应 的备份策略，以最小化有不可抗力造成的损失。web服务器的安全列表 检测对企业所有的基

5、于iis的web服务器施行web服务器的安全列表 （见附件二）检测，以加强对web服务器的保护。服务器的对外安全发布对internet可以访问的服务器,实行安全的发布措施,如:ip地 址的转换等，以防止外界对服务器的直接存取和访问，如：电了 邮件服务器。电子邮件的病毒过滤对进出金业的电子邮件实行病毒过滤的措施，防上某些病毒通过 电子邮件的方式入侵企业网络。电子邮件及其附件的限 制策略対进出企业的电子邮件实行和应的限制策略，如：限制邮件的大 小、限制附件的类型等。数据库服务器的女全策 略对企业屮的数据可服务器，实行和应的安全策略，如：字段、索 弓1、表、试图、库等不同级别的安全等级等服务器的安全

6、列农监测对所有基丁 windows nt/windows 2000的服务器，按照服务器的 安全列表（见附件三），逐项监测。网络访问的安全策略企业防火墙的部署在企业局域网与外界网络（如：internet等）或企业的各个子网z 间部署防火墙，并实施相应的通讯协议、ip包和端口的过滤。企业防毒墙的部署在企业局域网与外界网络（$n： internet等）或企业的各个子网之 间部署防毒墙，对通过的任何信息实行病毒的检测。半军事化管制区（dmz） 的部暑部署金业的半军事化管制区（dmz）,以保护对外界公开的服务器、 工作站，网络设备，以及相应的文件、数据和信息等。网络监测、警告和入侵检 测机制部署网络监测

7、和警告设备，及时捕获某些界常的网络通讯悄况， 以防止各种恶意的和非法的网络访问和各种对网络通讯的破坏。网络通讯的加密策略在企业的子网之间，以及基于internet联接的虚拟专川网屮，实 施基于ip包的加密技术，防止网络中传输的信息被窃取。远程用八访问的女全策 略制定相应的远程用户访问的安全策略，如：用户验证、定时访问 和冋拨策略等。无线网络的安全策略对公司部署的无线网络实施高度的安全策略，如川户口令的加密 验证、采用802.ix协议传输等。网络冗余性策略对网络的关键部分，实施冗余性策略，以确保企业网络的不间断 运作，如：服务器的冗余、防火墙的冗余、路由器的冗余等。网络安全工具iis锁合工具该工

8、具使您能够立即将您的iis 4.0或5.0服务器配置为安全配 置。该工具同时提供了快速（express）锁合模式和高级模式，允 许您挑选web站点将提供的服务。microsoft个人安全性顾 问这个新的工具让您确保您的工作站安装了所有最新的补丁，并为 安全操作进疔了配置。hfnetchkhfnetchk允许管理员扫描他们的服务器（包括远程服务器），确 保这些服务器安装了 windows nt 4.0, windows 2000, iis 4.0, iis 5.0, ie and sql server的最新安全性补丁。红色代码ii蠕虫清除工 具该工具消除红色代码ii蠕虫明显的彩响。企业网络安全策

9、略附件一：工作站的安全列表windows nt 4.0 workstation 安全列表verify that the administrator account has a strong passworddisable unnecessary servicesdisable or delete unnecessary accountsmake sure the guest account is disabledprotect files and directoriesprotect the registry from anonymous accessapply appropriate reg

10、istry aclsrestrict access to public local security authority (lsa) informationenable syskey protectionset stronger password policiesset account lockout policyconfigure the administrator accountremove all unnecessary file sharesset appropriate acls on all necessary file sharesinstall antivirus softwa

11、re and updatesinstall the latest service packinstall the appropriate post-service pack security hotfixeswindows 2000/windows xp 安全列表verify that all disk partitions arc formatted with ntfsverify that the administrator account has a strong passworddisable unnecessary servicesdisable or delete unnecess

12、ary accountsprotect files and directoriesmake sure the guest account is disabledprotect the registry from anonymous accessapply appropriate registry aclsrestrict access to public local security authority (lsa) informationset stronger password policiesset account lockout policyconfigure the administr

13、ator accountremove all unnecessary file sharesset appropriate acls on all necessary file sharesinstall antivirus software and updatesinstall the latest service packinstall the appropriate post-service pack security hotfixes企业网络安全策略附件二：web服务器的安金列表i nternet i nform ation server 4 安全设置安装所需的最小internet服务

14、设正确的身份验证方式设呂止确的虚拟日录权限并划分web应用程序空i'可设置正确的iis 口,忐文件访问权限列表川川口志安装 ssl (secure sockets layer)禁用或删除所冇示例程序删除iisadmpwd丿、启扌以门 录删除未使用的脚本映射禁川rds支持i nternet i nformation server 5 安全设置为虚拟ri录设胆正确的acl为iis丨丨志文件设置正确的acl 启用日志禁用或删除所有示例程序删除iisadmpwd虚拟目录删除未使川的脚木映射企业网络安全策略附件三：服务器的安全列表windows nt 4.0 server 安全列表verify

15、that all disk partitions are formatted with ntfsverify that the administrator account has a strong passworddisable unnecessary servicesdisable or delete unnecessary accountsmake sure the guest account is disabledprotect files and directoriesprotect the registry from anonymous accessapply appropriate

16、 registry aclsrestrict access to public local security authority (lsa) informationenable syskey protectionset stronger password policiesset account lockout policyconfigure the administrator accountremove all unnecessary file sharesset appropriate acls on all necessary file sharesinstall antivirus so

17、ftware and updatesinstall the latest service packinstall the appropriate post-service pack security hotfixeswindows 2000 server 安全列表verify that all disk partitions are formatted with ntfsverify that the administrator account has a strong passworddisable unnecessary servicesdisable or delete unnecessary accountsprotect files and directoriesmake sure the guest account is disabledprotect the registry from anonymous accessapply appropriate registry aclsrestrict access to public local security authority (lsa) informationset stronger password