信息安全技术与实施-09-01操作系统安全防范---实训9指导课件

1、部署与管理Active Directory域服务实训内容任务1搭建Windows Server学习环境任务2桌面管理与网络配置任务3配置远程登录服务器任务4配置防火墙任务5创建域控制器任务6客户端加入活动目录任务7使用组策略对域成员进行统一管理任务8 Windows操作系统安全加固任务1搭建Windows Server学习环境1.3 项目实施搭建Windows Server 2012 R2学习环境有以下三种方式:安装独立的Windows Server 2012 R2系统。安装Windows与Linux并存的多操作系统,即在一台计算机上同时安装Windows与Linux操作系统,在系统启动时通过

2、菜单选择本次要启动的操作系统。在虚拟机中安装Windows Server 2012 R2系统。任务1搭建Windows Server学习环境在VMware Workstation上创建虚拟机:任务1搭建Windows Server学习环境任务1搭建Windows Server学习环境任务2桌面管理与网络配置1. 将“计算机”等图标添加到桌面按【】键切换到【开始】屏幕单击【控制面板】打开【所有的控制面板项】窗口,在【搜索控制面板】编辑框中输入“桌面图标”进行搜索在显示的搜素结果中单击【显示或隐藏桌面上的通用图标】打开【桌面图标设置】任务2桌面管理与网络配置2.更改计算机名任务2桌面管理与网络配置

3、3.启用/关闭防火墙任务2桌面管理与网络配置4.使用任务管理器查看资源的使用情况任务2桌面管理与网络配置4.使用任务管理器查看资源的使用情况【进程】：在该选项卡上显示了当前正在运行的程序(及进程)及其占用的CPU和内存的资源数量。可以通过窗口右下角的【结束任务】结束选定的进程。【性能】：用来查看计算机的CPU、内存和以太网的使用情况。单击其中的【打开资源监视器】后,可以更清楚地查看本计算机的CPU、内存、磁盘和网络等资源的使用情况。【用户】：用来查看登录到本计算机的用户,并可对选定的用户中断连接、注销或发送信息给用户。【详细信息】：可以查看每个执行的应用程序的用户、CPU使用率、占用内存等。【

4、服务】：可以查看系统中包括的服务及其状态（如,正在运行或已停止）。任务2桌面管理与网络配置5. 关机方法【方法1】:将鼠标在桌面的右下角稍微停留一会儿系统弹出隐藏的功能窗口,单击【设置】进入系统设置窗口(前面步骤也可用快捷键【Windows徽标+i】组合键实现)单击【电源】按钮,选择【关机】按钮,即可关闭计算机。【方法2】:同时按下【Windows徽标+R】组合键在打开的【运行】对话框中输入“cmd”单击【确定】按钮在打开的命令窗口中输入“shutdown”命令按【Enter】键后可以看到shutdown的语法,其中：关机是“/s”,强制关机是“/f”,定时关机是“/d 时间”,如:让机器每天

5、下午六点自动关机的命令为“shutdown /s /f /d 18:00”。此外,也可以把定时关机的命令保存到扩展名为bat的文件后放在计划任务或启动项中,这样系统每天都会在定点准时关机。【方法3】:在桌面上没有活动窗口时,按【Alt+F4】组合键可以直接调出关机界面。任务2桌面管理与网络配置6.网络的设置与测试(1)网络连接的设置任务2桌面管理与网络配置6.网络的设置与测试(2)网络位置的设置当计算机连接到网络时,必须选择一个网络位置。类型有以下三种:公用:是指计算机放置于机场、咖啡厅等公共场合。在此位置下,系统会自动关闭网络发现,即本机对周围的计算机不可见,从而保护计算机免受来自Inter

6、net的任何恶意软件的攻击。专用:是指计算机在办公室、家庭等专用场所。默认情况下,网络发现处于启用状态,它允许本机与网络上的其他计算机和设备相互查看。域:是指本机连接到域作为了域中的成员,此时,本机用户将无法更改网络位置类型,而由域管理员账号控制,本书项目3将专门介绍域的管理。任务3 Windows Server 2012的桌面管理与网络配置任务2桌面管理与网络配置6.网络的设置与测试(3)网络发现的设置网络发现是一组协议/功能,能使计算机和其它计算机互相发现对方,网络发现通常是计算机之间文件共享的基础,要能发现对方才能方便地使用对方的共享文件。网络发现具有以下三种状态：启用:该状态下允许本机

7、与其他网络中的计算机和设备实现双向查看。这使共享文件和打印机变得更加容易。关闭:此状态下阻止本机查看其他网络计算机和设备,并阻止其他网络计算机上的用户查看本机。自定义:这是一种混合状态,在此状态下与网络发现有关的部分设置已启用,但不是所有设置都启用。例如,可以启用网络发现,但用户或系统管理员可能已经更改了影响网络发现的防火墙设置。任务2桌面管理与网络配置6.网络的设置与测试(3)网络发现的设置任务3 Windows Server 2012的桌面管理与网络配置任务2桌面管理与网络配置(4)利用ipconfig命令查看TCP/IP设置6.网络的设置与测试任务2桌面管理与网络配置6.网络的设置与测试

8、(4) 利用ipconfig命令检查ip设置任务2桌面管理与网络配置任务3配置远程登录服务器远程登录就是允许用户通过网络中的另一台计算机登录进入到Windows Server 2012 R2服务器。远程管理软件终端服务(Terminal Service);远程桌面连接;远程协助;第三方开发的远程管理软件Remote Admin(RA);Putty;VNC;Webmin;其他：Symantec公司的PC Anywhere、remot anywhere、灰鸽子远程管理软件VIP等。任务3配置远程登录服务器1. 服务器端开启远程桌面和选择登录用户任务3配置远程登录服务器2.从远程的客户端登录到服务器

9、任务3配置远程登录服务器任务4配置防火墙任务4配置防火墙任务4配置防火墙任务4配置防火墙任务5创建域控制器 要把一台计算机加入域，必须要由网络管理员尽行相应的设置，在Windows Server 2012上创建域需要满足以下条件：1、必须具有一个静态的IP地址，如00；2、必须有一个磁盘分区是NTFS格式的，用于放置存储域公共文件服务器副本的共享文件夹（SYSVOL文件夹），且有足够多的空闲磁盘空间（至少250MB）；3、安装活动目录时的登录用户必须有管理员组（Administrators）权限；4、符合DNS规格的域名，如；5、有相应DNS服务器的支持，用于解析域名而且当前服务器的TCP/I

10、P设置里的DNS地址需要配置成该DNS服务器地址；任务5创建域控制器必要条件1、启动“服务器管理器”，选择“配置此本地服务器”；任务5创建域控制器安装活动目录2、点击“添加角色和功能”，进入“添加和角色功能向导”，点击“下一步”，选择“基于角色或基于功能的安装”；任务5创建域控制器安装活动目录3、点击“下一步”，选择“从服务器池中选择服务器”，安装程序会自动检测与显示这台计算机采用静态IP地址设置的网络连接，然后点击“下一步”，在“服务器角色”中，选择“Active Directory 域服务”;任务5创建域控制器安装活动目录4、勾选“Active Directory 域服务”后，会自动弹出“

11、添加Active Directory 域服务所需的功能”，点击“添加功能”；任务5创建域控制器安装活动目录5、点击“下一步”继续，在此处选择需要添加的功能，如无特殊需求，此处默认即可；任务5创建域控制器安装活动目录6、点击“下一步”继续，后点击“安装”开始活动目录的安装过程；任务5创建域控制器安装活动目录7、完成安装后，需要做一些初始化配置才能正常打开活动目录服务，回到“服务器管理器”，按照提示点击“将此服务器提升为域控制器”；任务5创建域控制器安装活动目录8、打开域服务配置向导后，开始设置当前服务的域功能级别。如果为当前网络建立第一个域，则选择“添加新林”，如果为已存在的域树建立子域，则选择

12、“将域控制器添加到现有域”，如果在当前已存在至少一颗的域树的基础上建立一颗有信任关系的新域树那么选择“将新域添加到现有林”。由于当前服务器是网络中的第一台域控制器，所以选择“添加新林”，根域名中输入规划好的域名，如此处的“”，点击“下一步”继续；任务5创建域控制器安装活动目录9、选择“林功能级别”与“域功能级别”，出于兼容Windows Server 2012以前老版本操作系统的考虑，此处可以选择如Windows Server 2003，Windows Server 2008，这样的旧版操作系统，如果确定网络中以后不会部署基于这些旧版操作系统的新域或子域，也不需要与旧版基于这些旧版操作系统的域

13、发生信任关系，则可选择Windows Server 2012；勾选DNS服务器；输入目录服务还原模式密码（这个密码仅用于紧急情况下活动目录的还原，不是系统管理员密码），点击“下一步”继续；任务5创建域控制器安装活动目录10、服务器将自动检查DNS服务器是否启用，如果已经启用，则需要配置DNS委派选项，没有启动的话直接点击“下一步”继续;任务5创建域控制器安装活动目录11、服务器将自动根据之前输入的域名生成一个NetBIOS域名（如ABC），如无特殊需求，默认即可；任务5创建域控制器安装活动目录12、服务器将自动生成的SYSVOL目录路径列出，如无特殊需求，默认即可；任务5创建域控制器安装活动目

14、录13、服务器列出全部安装选项，点击“下一步”继续；任务5创建域控制器安装活动目录14、服务器根据当前系统环境，自动检查安装活动目录的先决条件是否满足，如果通过检查，点击“安装”开始安装过程；任务5创建域控制器安装活动目录15、安装完成后，系统需要重新启动，启动完成后会提示需要更新当前管理员（自动把服务器的本地管理员升级为域管理员，服务器用户登录模式变为域模式，而且无法切换成本地模式）的密码，进入系统后，打开服务器管理器面板，可以看到AD服务，安装过程完毕;任务5创建域控制器安装活动目录活动目录安装完毕后，即可开始根据当前企业实际组织结构，开始在活动目录中对企业所有帐户、计算机等资源进行集中管

15、理。通过使用“Active Directory 用户和计算机”工具进行统一规划和部署。任务5创建域控制器活动目录中用户和计算机管理以ABC公司为例，公司下辖财务部，开发部，销售部等部门。其中销售部分为华北，华南，华东，华西，华中五个分部。其中华北分部下辖北京，天津，河北等办事处，北京办事处有一名为Tom的员工。为Tom分配域帐户之前，需要对照实际公司结构把整部门以组织单元（OU）的形式建好。打开“Active Directory 用户和计算机”工具，右击域名，选择“新建”“组织单元”,输入规划好的名字；任务5创建域控制器活动目录中用户和计算机管理对照实际公司结构把整部门以组织单元（OU）的形式

16、建好后，再新建用户：任务5创建域控制器活动目录中用户和计算机管理为用户设置密码，出于安全性考虑，可以勾选“用户下次登录时必须更改密码”；任务5创建域控制器活动目录中用户和计算机管理通过类似地操作新建整个ABC公司的组织单位、员工帐户、计算机、打印机、共享文件夹等资源。任务5创建域控制器活动目录中用户和计算机管理任务6客户端加入活动目录当网络中的第一台域控制器创建完成后，该服务器将扮演域控的角色，而其他主机就需要将加入到活动目录内作为域内成员机接受域控制器的集中管理。为了让活动目录对客户端计算机进行统一管理，需要配置客户端计算机处于域模式。下面以ABC公司华北销售部北京办事处的一台Win 8 系

17、统的客户端（0/8）加入域为例开始实施过程：任务6客户端加入活动目录1、配置客户端IP地址，配置DNS地址，并测试与域控制器的连通性，域名是否能够正常解析；任务6客户端加入活动目录2、在“我的电脑”上点击右键，在弹出的菜单中选择“属性”，单击“更改设置”（需要有高级管理员权限），点击“计算机名”选项卡，点击“更改”，在隶属于“域”一栏中输入想加入的域名称（此处为），点击“确定”继续；（如果需要让一台计算机退出域模式重新返回工作组模式也是在此处更改，从域重新选中工作组然后点击确定即可，但需要域管理员权限来操作）任务6客户端加入活动目录3、此时系统会提示输入有权限加入该域的用户名和密码，输入我们之

18、前建好的帐号tom及对应的密码，点击“确定”继续后，系统提示成功加入域；任务6客户端加入活动目录4、点击确定后，系统要求重启，启动完毕后会发现系统登录界面发生变化，选择其他用户(不选择本地用户，如PCAJohn，登录后将无法访问域内资源，基于安全性考虑，加入域后，管理员应将这些本地帐号禁用)；任务6客户端加入活动目录5、输入管理员分配的域帐号进行登录，如果管理员在添加帐号时没有做特别的安全设置，那么域内的任意帐号都可登录域内的任意客户端计算机；任务6客户端加入活动目录6、再次打开系统属性，可以看到本计算机已经处于域模式，注意：此时用户将无法随意更改本地计算机的计算机名、工作组、域设置，需要有域

19、管理员权限才能修改；任务6客户端加入活动目录7、在域控制器上通过Active Directory用户和计算机的Computers文件夹也能查看到客户端PCA已经加入到域中。任务6客户端加入活动目录任务7使用组策略对域成员进行统一管理把计算机加入域模式后，普通用户通过域管理员分配的用户帐号、权限登录客户端、访问域内的授权资源。使用域模式，不仅使得资源管理更加集中，统一。也使得在组模式下实现起来繁琐甚至难以实现的管理难题得到了解决，如，禁止域内计算机上运行某种特定程序，统一域内所有计算机的桌面、IE主页，将某软件集中分发给域内计算机等等。网络管理员可以通过在域控制器使用“组策略”，并把设置好的组策

20、略分发到域内计算机上，实现统一的管理。所谓组策略（GPO），就是基于组的策略。它以Windows中的一个MMC管理单元的形式存在，可以帮助系统管理员针对整个计算机或是特定用户组来设置多种配置，包括桌面配置和安全配置。譬如，可以为特定用户或用户组定制可用的程序、桌面上的内容，以及“开始”菜单选项等，也可以在整个计算机范围内创建特殊的桌面配置。简而言之，组策略是Windows中的一套系统更改和配置管理工具的集合。任务7使用组策略对域成员进行统一管理ABC公司华北销售部北京办事处的想让员工使用域内计算机时打开Internet Explorer浏览器时自动开打公司主页“”并且退出浏览器后自动清除历史记

21、录、Cookies、缓存文件。1、在域控制器的服务器管理器里打开“组策略管理”工具，展开左侧组织结构，找到名为“Beijing”的组织单元；任务7使用组策略对域成员进行统一管理2、在组织单元上点击，选择“在此域中创建GPO并在此处链接”，输入组策略的名称；任务7使用组策略对域成员进行统一管理3、新建GPO完成后，此时回到组策略管理，可以看到组织单元Beijing下多了一个链接形式的组策略文件“NewGPO”。在GPO链接上右击，选择“编辑”将进入详细配置应用到组织单元Beijing的组策略的界面；任务7使用组策略对域成员进行统一管理4、进入到组策略管理编辑器，可以看到，左侧窗格中的策略是由“计

22、算机配置”和“用户配置”两大子键构成，并且这两者中的部分项目是重复的，如两者下面都含有“软件设置”、“Windows设置”等。任务7使用组策略对域成员进行统一管理5、找到用户配置下的“首选项”展开“控制面板设置”找到“Internet设置”，右击选择“编辑”；任务7使用组策略对域成员进行统一管理6、按照实际需求，编辑Internet Explorer的属性，此处可以根据浏览器版本不同（7，8，10）分别进行设置，此处只设置了Internet Explorer10的属性；任务7使用组策略对域成员进行统一管理7、回到组策略管理，点击查看链接到组织单元Beijing的组策略NewGPO的详细设置；任

23、务7使用组策略对域成员进行统一管理8、在域内计算机上登录组织单元Beijing下的帐户tom，查看Internet选项，可以看到组策略已经在客户端生效。任务7使用组策略对域成员进行统一管理任务8Windows系统安全加固1、账号安全设置2、设置安全的密码3、设置屏幕保护密码4、关闭不必要的服务5、关闭不必要的端口6、开启系统审核策略7、开启密码策略8、开启账户锁定策略9、关闭系统默认共享10、禁止TTL判断主机类型11、修补操作系统漏洞12、其他安全设置任务8Windows系统安全加固加固策略可以将guest账号关闭、停用或改名。如果必须要用guest账号的话，需将guest列入拒绝“网络访问

24、”的名单中，防止guest账号从网络访问本计算机、关闭计算机以及查看系统日志等。（如果本地有打印机共享或者文件夹共享则不能做此设置）第一步：禁用guest任务8Windows系统安全加固账户安全设置去掉所有的测试账户、共享账户和普通部门账号等。用户组策略设置相应权限，并且经常检查系统的账户，删除已经不适用的账户。账户很多是黑客们入侵系统的突破口，系统的账户越多，黑客们得到合法用户的权限可能性也就越大。对于windows NT主机，如果系统账户超过10个，一般能找出一两个弱口令账户，所以账户数量不要大于10个。这些不用的账户要定期清理掉。第二步：限制用户数量任务8Windows系统安全加固账户安

25、全设置windows系统中的administrator账号是不能被停用的，这意味着别人可以一遍又一遍地尝试这个账号的密码。如果把administrator账号更名则可以有效地防止这一点。不要使用admin之类的迷你工资，改了等于没改，尽量把它伪装成普通用户。例如，将administrator改成guesttest。第三步：管理员账号更名任务8Windows系统安全加固账户安全设置陷阱账号是创建是一个名为“administrator”的本地账户，把它的权限设置为最低，基本上什么权限都没有，并且为账号设置一个特别复杂的密码。这样可以让那些企图入侵者忙上很长一段时间了，借此来发现其入侵的企图。例如，

26、将此用户隶属于guests组，并且密码为20位以上的数字+大小写字母+特殊符号的密码。第四步：创建陷阱账户任务8Windows系统安全加固账户安全设置1. 1234562. 1234567893. qwerty4. 123456785. 1111116. 12345678907. 12345678. password9. 12312310. 98765432111. qwertyuiop12. mynoob13. 12332114. 66666615. 18atcskd2w16. 777777717. 1q2w3e4r18. 65432119. 55555520. 3rjs1la7qe好的密码

27、对于一个网络是非常重要的，但是也是最容易被忽略的。一些网络管理员创建账号的时候往往用公司名、计算机名、用户姓名等，或者一些别的一猜就能得到的字符做用户名，然后又把这些账户的密码设置得比较简单。什么样的密码是安全的密码：安全期内无法破解出来的密码就是安全的密码，也就是说，如果得到了密码的密文，必须经过43天以上才能破解出来，密码策略是42天必须改密码。20个最常用的弱口令：任务8Windows系统安全加固设置安全的密码设置屏幕保护密码可以防止内部人员破坏计算机的一个屏障。注意，不要使用OpenGL和一些复杂的屏幕保护程序，浪费系统资源，设置黑屏即可。将屏幕保护的选项“密码保护”选中，并将等待时间

28、设置为最短的1分钟。养成平时离开电脑前按windows+L组合键的习惯。任务8Windows系统安全加固设置屏幕保护密码计算机里通常安装有了些不不要的服务，如果这些服务没有用的话，最好能将这些服务关闭掉。例如：为了能够在远程方便管理服务器，很多机器的终端服务都是开着的。如果开了要确认已经正常的配置了终端服务。有些恶意的程序也能以服务方式悄悄的运行服务器上的终端服务。要留意服务器上开启的所有服务并定期进行检查。任务8Windows系统安全加固关闭不必要的服务2.5 关闭不必要的端口关闭端口则意味着减少功能，如果服务器安装在防火墙的后面，被入侵的机会就会少一些，但是不可以认为高枕无忧了。可以在操作

29、系统里再来限制端口的访问，如图所示为操作系统TCP/IP限制端口。任务8Windows系统安全加固关闭不必要的端口默认情况下，windows系统的审核策略都是没有开启的。打开方法：控制面板-管理工具-本地安全设置-审核策略任务8Windows系统安全加固开启系统审核策略“审核策略更改”，成功+失败。“审核登录事件”，成功+失败。“审核访问对象”，失败。“审核目录服务访问”，失败。“审核特权使用”，失败。“审核系统事件”，成功+失败。“审核账户登录事件”，成功+失败。“审核账户管理”，成功+失败。 建议的系统审核策略：任务8Windows系统安全加固开启系统审核策略系统密码策略在默认的情况下都是

30、没有开启的。【控制面板】-【管理工具】-【本地安全设置】-【密码策略】任务8Windows系统安全加固开启密码策略密码策略设置参考：密码必须符合复杂性要求设置为“启动”密码至少包含以下四类字符中的三种：英语大写字母：ABCDE英语小写字母：abcdefg阿拉伯数字：01234567890特殊符号：，。！#￥%&*最短密码长度6-8个字符密码最常存留期设置为42天-90天强制密码历史设置为“记住5个密码”任务8Windows系统安全加固开启密码策略系统账户锁定策略在默认的情况下都是没有开启的。【控制面板】-【管理工具】-【本地安全设置】-【账户锁定策略】任务8Windows系统安全加固开启账户锁

31、定策略开启账户锁定策略能有效地防止字典攻击，设置建议值如下表所示：策略建议设置值复位账户锁定计数器30分钟账户锁定时间30分钟账户锁定阈值5次任务8Windows系统安全加固开启账户锁定策略在Windows电脑系统安装后都会有默认的共享分区，但是这些默认共享分区在方便局域网中共享文件的同时也存在了安全隐患，若不经常使用这些最好关掉，给系统一个安全保障。 1、利用快捷键Win+R打开运行框，输入cmd，打开命令提示符窗口； 2、再窗口中输入命令net share回车。如下图所示。C$，D$，E$，F$默认共享，以及IPC$远程IPC，ADMIN$远程管理； 3、print$为打印机共享，一般办公

32、室中一台电脑上安装打印机，然后把打印机共享。 查看默认共享：任务8Windows系统安全加固关闭系统默认共享关闭默认共享方法一：打开【控制面板】-【管理工具】-【计算机管理】-【共享文件夹】-【共享】，在相应的共享文件夹上右击停止共享。注意：此种方法关闭共享后，如果计算机重启，默认共享又会开启。任务8Windows系统安全加固关闭系统默认共享关闭默认共享方法二：批处理法1、打开记事本，输入如下内容：net share admin$ /deletenet share c$ /deletenet share d$ /deletenet share e$ /deletenet share f$ /d

33、elete2、将以上内容保存为netshare.bat（注意后缀名），然后把这个批处理文件拖到“程序”-“启动”项中，这样每次开机就会自动运行此文件，也就通过net命令关闭了共享。任务8Windows系统安全加固关闭系统默认共享关闭默认共享方法三：注册表编辑法1、打开注册表编辑器2、找到路径：HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters3、将AutoShareServer项的键值由1改为0，这样就能关闭硬盘分区的默认共享；4、将AutoSharkWks项的键值由1改为0，关闭admin$共享。5、如果没有以上两项，可自己新建一个再改键值。任务8Windows系统安全加固关闭系统默认共享黑客可以利用TTL值来鉴别操作