第四章 服务器系统安全配置讲解.ppt

安全服务器角色  Secure Server Roles 目的： 针对具有不同服务器角色的Windows 系统，简化管理员实施安全系统的繁重任务 SSR包含了一些向导程序,用来检查和实施OS,特定应用程序的安全策略（例如：Exchange，IIS） 安全服务器角色 SSR 安全服务器角色框架 设置广泛（例如：服务，端口，注册表键值，审计，用户组等） “角色”众多（例如：域控制器，文件服务器，打印服务器，Web服务器等） 适用范围广泛(例如:Internet连接,DMZ,企业网络,多网卡主机) 可定制 可以增加新的角色,无需编程 安全服务器角色 SSR(2) 可扩展 可以使用VB来开发特定应用的子向导 通过与MBSA的集成,提供了对一些非可配置的选项的分析,例如:漏装补丁程序,NTFS文件系统,口令太简单 既可在本地运行,又可在远程运行 支持Windows 2000 和 .Net Server SSR向导程序 用户可以很容易的实施必要的安全设置 基于知识驱动,针对不同的服务器角色和安装环境,最大化安全设置 安全策略数据库以XML方式保存 使用翻译引擎,配置引擎来解释,应用和回撤安全策略 Windows服务器安全操作指南 在运行 Windows 的服务器上创建和保持一个安全环境所需的操作 涉及内容 了解安全风险 运用 Windows 2000 组策略管理安全 基于角色保护服务器 修补程序管理 审计与入侵检测 响应意外事件 响应意外事件 Windows安全检查列表 FTP 基本概念 FTP（File Transfer Protocol）是文件传输协议，服务器中存有大量的共享软件和免费资源，要想从服务器中把文件传送到客户机上或者把客户机上的资源传送至服务器，就必须在两台机器中进行文件传送，此时双方必须要共同遵守一定的规则。FTP就是用来在客户机和服务器之间实现文件传输的标准协议。它使用客户/服务器模式，客户程序把客户的请求告诉服务器，并将服务器发回的结果显示出来。而服务器端执行真正的工作，比如存储、发送文件等。 FTP基本概念 如果用户要将一个文件从自己的计算机上发送到另一台计算机上，称为是FTP的上载（Upload），而更多的情况是用户从服务器上把文件或资源传送到客户机上，称之为FTP的下载（Download）。在Internet上有一些计算机称为FTP服务器，它存储了许多允许存取的文件，如：文本文件、图像文件、程序文件、声音文件、电影文件等。 两个连接 控制连接在整个会话期间一直保持打开，FTP 客户发出的传送请求通过控制连接发送给服务器端的控制进程，但控制连接不用来传送文件。 实际用于传输文件的是“数据连接”。服务器端的控制进程在接收到 FTP 客户发送来的文件传输请求后就创建“数据传送进程”和“数据连接”，用来连接客户端和服务器端的数据传送进程。 数据传送进程实际完成文件的传送，在传送完毕后关闭“数据传送连接”并结束运行。 FTP 使用的两个 TCP 连接 两个不同的端口号 当客户进程向服务器进程发出建立连接请求时，要寻找连接服务器进程的熟知端口(21)，同时还要告诉服务器进程自己的另一个端口号码，用于建立数据传送连接。 接着，服务器进程用自己传送数据的熟知端口(20)与客户进程所提供的端口号码建立数据传送连接。 由于 FTP 使用了两个不同的端口号，所以数据连接与控制连接不会发生混乱。 配置管理FTP服务器 在组建Intranet时，如果打算提供文件传输功能，即网络用户可以从特定的服务器上下载文件，或者向该服务器上传数据，此时需要配置支持文件传输的FTP服务器。Microsoft IIS提供了构架FTP服务器的功能，因此在Windows 2000 Server中配置FTP服务器同样需要安装IIS 5.0。 设置FTP站点(1) FTP服务器安装好后，在服务器上有专门的目录供网络客户机用户访问、存储下载文件、接收上传文件，合理设置站点有利于提供安全、方便的服务。 通过“开始”/“程序”/“管理工具”/“Internet服务管理器”，打开“Internet信息服务” 窗口，如图9-1，显示此计算机上已经安装好的Internet服务，而且都已经自动启动运行，其中有一默认FTP站点。 设置FTP站点(2) 设置Ftp站点(3) 1. 设置IIS默认的FTP站点 建立FTP站点最快的方法，就是直接利用IIS默认建立的FTP站点。把可供下载的相关文件，分门别类地放在该站点默认FTP根目录\InterPub\ftproot下。当然如果在安装时将FTP的发行目录设置成其他的目录，需要将这些文件放到所设置的目录中。 设置Ftp站