网络安全配置[1]

第1章资产保护

1.1课堂练习识别对网络资产的攻击

1.2课堂练习确定保护资产的方法

答案会各不相同。

2

3

1.3实验资产保护

练习1 确定网络攻击者的类型

答案会各不相同。可能存在的答案包括：

对Contoso 公司不满而想从公司获取钱财的员工。

想非法控制公司物资的有组织犯罪者。

想要获得用于攻击的非法药品的恐怖分子。

抗议动物实验的动物权利保护者。

想要窃取商业机密的竞争对手。

想在黑客群体中出名的某个“脚本顽童”。

测试Contoso 公司安全系统的攻击者。

想要隐藏电子邮件来源的垃圾邮件制造者。

想要造成重大损失的病毒编写者。

练习2 确定攻击的威胁、漏洞和保护措施

攻击者

4

答案会各不相同。以下是几个示例。

如果攻击者是竞争对手，可能得到以下答案。

如果攻击者是动物权利保护者，则可能出现以下答案。

当所有小组完成以后，把你的攻击场景展示给班里的其他同学，就把他们当作一个高级管理委员会。

1.4习题解答

1.参考答案：

●系统补丁的升级

●防毒软件的安装

●账号的安全

●策略的安全设置

●系统漏洞的修补

5

●应用程序的安全问题

2．参考答案：

●放在公司防火墙之后

●修补系统漏洞

●使用raid5磁盘阵列保护数据

●使用备份软件实现远程备份

●用户和权限设置符合公司策略

●安全策略的设置

●使用用户的培训

●ntfs和共享权限的设置

●用集群实现冗余

3．参考答案：

●专业机房，并有防盗，防潮，防火措施

●安装专业监视设备

●配备专业网管

●服务器放入机柜

●完善的门禁系统

●完善的资产管理办法，责任到具体员工

●网络设备有专门的布线和架设设备

4．A、B、C、D

5．A、B、C、D、E

第2章创建用户账户和安全组

2.1实验在Active Directory 中创建OU、用户和安全组练习 1 设计组织单位结构

在默认的Active Directory 结构中必须添加哪些OU？将在这些OU 中放入哪些对象？

6

答：At Northwind Traders, different administrators will control user accounts in each of three departments. Each department will have its own OU. Member servers are administered differently from client computers, and should be placed in their own OU. Place all domain controllers into the existing Domain Controllers OU. Leave all client computers in the existing Computers container.

在Northwind Traders 公司，三个部门的管理员各自管理用户账户。每个部门拥有自己的OU。成员服务器的管理和客户端计算机的管理不同，应该将成员服务器

放在本部门的OU中。此外，还要将域控制器放在现有的Domain Controller OU

中，并把所有客户端计算机放在现有的Computer容器中。

练习 3 设计域中的组

要确保经理们拥有必要的权限，同时又要最大程度的简化管理，你该做些什么？

答：In each domain, create a global group, and add user accounts for the managers in that domain to the global group. Create a domain local group in the domain where the database is located, and add the global groups from each domain to the domain local group. Then, grant permissions to gain access to the Inventory database to the domain local group.

在每个域中创建一个全局组，然后把域中的经理账户添加到该全局组中。在数据库所在的域中创建一个域本地组，然后把每个域中的全局组添加到该域本地组中。

最后，授予域本地组访问Inventory数据库的权限。

因为业务需求发生了变化，所以现在除了伦敦的Inventory数据库外，还要让所有的经理有权访问位于欧洲大陆和北美的Inventory 数据库。

假设你希望将使用的组数减到最少，需要进行哪些修改？

答：Create a universal group in the London root domain, add the global groups from each domain to it, and then grant permissions to access each Inventory database to the universal group.

在London根域中创建一个通用组，把每个域的全局组添加到通用组中，然后授予该通用组访问每个Inventory数据库的权限。

假设在这三个域中都有一个全局目录服务器，希望提供所需的访问，同时保证最小的复制流量，你要做什么修改？

答：Create domain local groups in the North America and Europe

7

domains, add all three global groups to both domain local groups, and then grant access permissions for the Inventory database to the domain local groups.

在North America域和Europe域中创建域本地组，把先前创建的三个全局组添加到这两个域本地组中，然后授予该域本地组访问Inventory数据库的权限。

练习 6 创建通用组并添加成员

是否成功地将 Managersx全局组添加到了通用组？为什么？

Yes. A global group can be a member of a universal group.

答：是，全局组能作为通用组的成员。

Inventoryx 本地域组是否可供添加到通用组？为什么？

No. A domain local group cannot be a member of a universal group.

答：否，域本地组不能作为通用组的成员。

另一个域的 Managersx全局组是否可供添加到通用组？为什么？

Yes. A global group from another domain can be a member of a universal group.

答：另一个域的全局组能作为通用组的成员。

2.2习题解答

1. A

2. 在计算机管理中权利可授权用户在计算机上执行某些操作，例如能够完成备份文件和

文件夹或者进行关闭计算机操作，而权限是与对象（通常是文件、文件夹或打印机）相关联的一种规则，它用来规定哪些用户可以访问该对象以及能够以何种方式访问。

3. A，B

4. 必须是下列内置组成员，Account Operators、Domain Admins、Enterprise Admins、

将用户加入用户组的方法具体可以参看本章教材。

8

第3章限制账户、用户和组

3.1实验使用安全模板限制用户和组

练习 1 分析Windows 2000 中的账户策略要求

在下表中，根据Baseline 安全模板中设置的账户策略要求和所需设置的相符程度勾选方框，并给每个选项打分。

答案：

账户锁定策略

Kerberos 策略

9

部署此基线安全模板前需要调整哪些密码策略设置？

答：To meet the security requirements, the minimum password length must be increased from six to eight characters, and complex passwords must be enabled.

为满足安全要求，密码的最短长度必须从6个字符增加到8个字符，并且必须启用复杂密码。

设置密码最短使用期限对维护密码策略有什么帮助？

答：Setting a minimum password age prevents network users from immediately resetting their passwords after their existing passwords have expired. This ensures that a user cannot simply cycle through a listing of passwords to continue using his or her existing password.

设置密码最短使用期限能防止网络用户在密码过期后，立刻重设密码。这保证了用户不能简单地重复使用密码。

在此部署基线安全模板前需要调整哪些账户锁定设置？

答：To meet the security requirements, the account lockout duration must be increased to 30 minutes.

为满足安全要求，账户锁定时间必须增加到30分钟。

在部署此基线安全模板前需要调整哪些Kerberos V5 策略的设置？

答：Configure maximum tolerance for computer clock synchronization to five minutes.

将计算机时钟同步的最大容差设置为5分钟。

练习 4 部署自定义安全模板

是否出现登录对话框？为什么？

答：Yes. The security setting was enforced.

是，安全设置增强了。

10

为什么前两次都无法成功创建用户？

答：Because the password policy mandated the use of a minimum 6 character password and the password also had to meet complexity requirements.

因为密码策略规定，密码的最短长度必须为6，并且必须是复杂密码。

练习 6 删除策略设置

是否出现登录对话框？为什么？

答：No. The security setting has been removed.

否，安全设置已被清除。

为什么第一次就可以成功创建这个用户？

答：安全设置中的密码策略已被清除。

3.2习题解答

1. 默认值是五分钟。可以用NET TIME 命令加上/SETSNTP:trustedtimesourceFQDN 参

数将计算机时钟与可靠的时间源同步

2. E。

3. B

4. 可以在组策略中配置受限制的组中，将用户或组添加到“受限制的组”的成员列表，组

策略会在下次刷新时相应改变成员身份，具体操作步骤可以参看书本。

5．要将安全模板部署到多个Active Directory 对象，最简单的方法是将安全模板发给各地分支机构，由当地管理员导入组策略对象，具体操作过程可以参看教材。

6. 在命令提示符处运行esentutl /g以检查位于%windir%\Security\Database\Secedit.sdb处

的安全数据库是否完整。

如果数据库被损坏：

可以在%windir%\Security 文件夹的命令提示符处键入esentutl /r 来恢复数据库

如果不成功，尝试在%windir%\Security\Database\Secedit.sdb 命令提示符处键入

esentutl /p 对该数据库进行修复，之后，删除%windir%\Security 中的日志文件。

11

注意，强调备份电源的准备和日常备份管理。

7. 可以通过应用默认的安全设置来解决，

a) 打开“安全配置和分析”；

●在控制台树中，右键单击“安全配置和分析”，然后单击“打开数据库”

b) 在“文件名”框中，键入文件名，然后单击“打开”。

c) 执行以下操作之一：

●对域控制器，在控制台树中右键单击“安全配置和分析”，接着单击“导入模板”，

然后单击“DC security.inf”。

●对其他计算机，请在控制台树中右键单击“安全配置和分析”，接着单击“导入模

板”，然后单击“setup security.inf”。

d) 选中“导入之前清除这个数据库”，然后单击“打开”。

e) 在控制台树中，右键单击“安全配置和分析”，然后单击“立即配置计算机”。

f) 执行以下操作之一：

●要使用在“错误日志文件路径”中指定的默认日志，请单击“确定”。

●要指定不同的日志，请在“错误日志文件路径”中输入有效的路径和文件名，然

后单击“确定”。

g) 完成配置后，请右键单击“安全配置和分析”，然后单击“查看日志文件”，查

看是否做了应用。

12

第4章配置基于账户的安全性

4.1实验使用安全模板配置基于账户的安全性

练习 1 在Windows 2000 中分析审核策略要求

当前审核设置中哪些地方没有满足审核要求？

答：The current auditing settings will not record an audit event if someone successfully changes the auditing settings. The current audit settings only track failed attempts to change the audit settings. System restarts will not be logged unless success auditing is enabled. Additionally, to audit access to the design document files for the adventure games, Audit object access must be enabled for success and failure.

如果有人成功更改了审核设置，那么该审核事件不会记录在当前审核设置中。当前审核设置只追踪尝试更改审核设置失败的事件。只有启用了成功审核，才会记录系统重启事件。此外，必须启用“审核对象访问”，以审核对Adventure游戏设计文档的访问。

启用了哪些不需要的其他审核？

答：Failed account logon events do not require auditing, including all Kerberos V5 session tickets that are presented for authentication. Northwind Traders wants to audit only user logon events. In addition, auditing directory service access is not a requirement. Auditing directory service access would generate numerous security audit records.

失败的账户登录事件（包括所有需要验证的Kerberos V5会话票据）不需要审核。

Northwind Traders 只想审核用户登录事件。此外，目录服务访问也无需审核。审核目录服务访问会产生大量安全审核记录。

13

需要哪些其他设置才能审核对Adventure 游戏设计文档的访问？

答：Assuming that the documents are installed on an NTFS partition, auditing must be enabled on the Adventure folder. Auditing cannot be enabled on a shared folder, but only on the underlying folder on the disk. Auditing must be enabled for the Everyone group to track successes and failures for all actions on the Adventure folder, its subfolders, and all files contained with the Adventure folder.

假设游戏设计文档存放在NTFS分区，必须启用对Adventure文件夹的审核功能。不能对共享文件夹启用审核，但是能对磁盘上的基本文件夹启用审核。必须对Everyone 组启用审核，以追踪组成员对Adventure文件夹、其子文件夹以及文件的操作是否成功。

为确保能捕获所有审核事件，需要什么样的其他配置？

答：In Settings for Event Logs, the Maximum Security Log size must be increased from the default of 512 kilobytes (KB). Due to the amount of auditing, consider a log of at least ten megabytes (MB). You could also consider enforcing shutdown of the computer when audit logs are full so that no audit events are missed in the security log.

在“事件日志设置”中，由于审核量大，因此“安全日志最大值”必须从默认的512KB 增加到至少10MB。还应考虑在审核日志满时，关闭计算机，以便在安全日志中不遗漏审核事件。

在下面的表格中，选择满足指定要求的审核设置。

14

练习 3 为DNS 动态更新验证当前设置

在“安全选项”的按字母顺序排列的列表中，有没有出现Prevent Dynamic DNS Updates？若已存在，为什么？若不存在，为什么？

答：No. Prevent Dynamic DNS Updates is not one of the default security

options included in the Security Configuration Tool Set.

没出现。Prevent Dynamic DNS Updates不是“安全设置工具集”中默认的安全选

项。

在传输控制协议/Internet 协议（TCP/IP，Transmission Control Protocol/Internet Protocol）参数列表中是否存在注册表值“DisableDynamicUpdate”？若已存在，为什么？若不存在，为什么？

答：No. The registry value is not included by default in the list of TCP/IP

parameters. A full description of this registry value can be found in the

regentry.chm file that is included in the Windows 2000 Resource Kit.

不存在。默认情况下，该注册表值不属于TCP/IP参数列表。该值的详细描述请参见Windows 2000 Resource Kit中的regentry.chm文件。

练习 4 扩展安全配置工具集

外部顾问在[Register Registry Values] 一节中添加了哪一行？

答：

MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\DisableDynamic

Update,4, %Nodynamic%,0

检查新注册表键的显示类型。安全配置工具集如何显示该选项？

答：Boolean (0). The Security Configuration Tool Set will only provide the

option to either enable or disable the registry setting.

Boolean (0)。“安全设置工具集”只提供了“启用”和“禁用”注册表设置的选项。

15

%Nodynamic% 设置会执行哪个功能？在安全配置工具集中将如何显示新的安全选项？

（提示：答案可在文件的最后一行找到。）

答：The %Nodynamic% setting refers to the display name to be read from the [Strings] section. In the Security Configuration Tool Set, the new option will be listed as Prevent Dynamic DNS Updates.

%Nodynamic% 设置指向从[Strings]字段读取的显示名称。在“安全设置工具集”中，这个新的选项将显示为Prevent Dynamic DNS Updates。

是否存在“禁止动态DNS 更新”策略？若已存在，为什么？若不存在，为什么？

答：Yes. Re-registering the scecli.dll dynamic link library imported the Prevent Dynamic DNS Updates option into the Security Configuration Tool Set.

是。重新注册scecli.dll动态链接库后，将会把Prevent Dynamic DNS Updates选项导入到“安全设置工具集”。

可以为“防止动态DNS 更新”策略设置哪些值？如何获得这些值？

答：The dialog box allows the ability to define the policy setting in the template. After the value is defined, it can either be enabled or disabled due to the configuration of the display type as Boolean (0).

该对话框允许在模板中定义策略设置。定义了值后，可以通过修改显示类型Boolean(0)，启用或禁用该选项。

如何使用这个安全配置模板为安装有Windows 2000 Professional 的计算机在注册表中添加TCP/IP 参数的注册表值？

答：The security template would have to be applied to the computer by using either local policy or Group Policy before it is applied to the registry.

把安全模板应用到注册表之前，先通过本地策略或组策略，把安全模板应用到计算机中。

16

练习 6 应用DNS Update 安全模板

“防止动态DNS 更新”的当前“计算机设置”是什么？

答：Not Available. This means that the setting is not configured at all on the current computer.

未提供。这说明该设置不能在当前计算机上配置。

要在当前计算机上设置该注册表值需要做些什么？

答：The local computer must be configured to apply the DNS Update security template.

必须在本地计算机上应用DNS Update安全模板。

“防止动态DNS 更新”的当前“计算机设置”是什么？

答：Enabled. The current computer setting is set to disable dynamic DNS updates.

启用。当前计算机被设置成禁用动态DNS更新。

通过使用“安全配置和分析”来部署安全模板有哪些可能的缺点？

答：If the registry is edited, the changes will be lost on the local computer. To ensure that the policy is always set, the security template must be deployed by using Group Policy to ensure that the policy is maintained on all computers in the OU, domain, or site where the GPO is deployed.

修改注册表后，在本地计算机上所做的更改会丢失。为了确保策略有效，必须使用组策略来部署安全模板，以保证部署了该GPO的OU、域或站点上的所有计算机都应用了策略。

17

练习8 把安全模板导入组策略

要使组策略仅影响域控制器，应该在哪里应用该策略？

答：If the default OUs are used, Group Policy must be applied at the Domain Controllers OU to only affect domain controllers.

如果使用了默认OU，那么组策略必须应用在Domain Controllers OU，使该策略仅影响域控制器。

为什么“防止动态DNS 更新”策略的“本地设置”列被设置为“没有定义”？

答：The DNS Update security template was never imported into the local security settings.

因为DNS Update 安全模板从未导入到本地安全设置中。

如果本地安全策略设置为启用“防止动态DNS 更新”策略，而且“Default Domain Controllers Policy”设置为禁用“防止动态DNS 更新”策略，则域控制器的有效设置是什么？

答：The effective setting for a domain controller would be for the setting to be disabled. This is because policies are applied in the following order: local policy, site policy, domain policy, and then OU policies. The OU policy will always override contradictory settings in a local policy.

域控制器的有效设置会将“防止动态DNS更新”策略设置为“禁用”。这是因为策略按如下顺序应用：本地策略、站点策略、域策略、OU策略。OU策略总是覆盖本地策略中的相反策略。

4.2习题解答

1．A

2．对于Domain Admins 组，有效的权限是完全控制。其他用户根本不具有访问权限，因为即便共享文件夹权限允许Everyone 组访问，但是没有为其他任何人指派

NTFS 权限，NTFS 权限是两种权限中最具限制性的设置。

3．因为存在很多其他方法可以使用户避开共享安全，如FTP、终端服务，或在本地访问文件而不通过网络，可以使用命令：convert.exe 进行转换。

4．可以使用审核来判断是否有黑客通过字典攻击等方式进行扫描，操作方法是通过启用账户登录审核策略设置，并搜索安全日志，看是否在一个短的时间段内产生了许多失

18

败的登录事件来判断。

5．可以通过审核记录用户损坏具有访问权限的文件，但是审核无法防止用户损坏具有访问权限的文件，只能记录下用户在文件上进行的操作。操作步骤参看本章教材，恢复就需要依靠日常备份。

6．可以为注册表项指派基于ACL 的权限，具体方法参看本章教材。

第5章使用访问控制和身份验证保护信息的安全

5.1课堂练习在Windows 2000中配置权限

答案：

正确的步骤如下：

●步骤1：为每个级别创建一个组

●级别1

●级别2

●级别3

通过删除默认的Everyone 组的“完全控制”权限（即拒绝所有用户的访问），以确保西北区的其他用户不能访问文件。只有为用户或组手工分配权限后，用户才会拥有权限。

●步骤2：删除项目文件夹中默认的Everyone 组“完全控制”权限。

如果文件夹创建于另一个文件夹之下下，那么只要从最上层的组中删除Everyone 组，由于继承关系，Everyone 组将从其他组中删除。（默认情况下，Everyone 组对文件夹有完全控制权限。）

●步骤3：对于参与项目的组，为其分配完全控制权限。

●级别 1 ——级别 1 项目文件夹——完全控制

●级别 2 ——级别 2 项目文件夹——完全控制

●级别 3 ——级别 3 项目文件夹——完全控制

19

●步骤4：分配对相邻项目的读权限。（也就是说，级别 1 只对下一级别（即级别2）

有读取访问权，但级别 2 则需要对其上一级别（即级别1）和下一级别（即级别3）拥有读取访问权。）

●级别 1 ——级别 2 项目文件夹——读

●级别 2 ——级别 1 项目文件夹——读

●级别 2 ——级别 3 项目文件夹——读

●级别 3 ——级别 2 项目文件夹——读

●步骤5：给每个组添加适当的用户。

最后一步才是将用户添加到组，这样做是为了防止在配置组和权限时给用户分配了错

误的权限。

5.2实验保护账户安全（MBSA）

练习 1 检查账户安全性

本地计算机有几个账户拥有管理员权利？

MBSA 工具表明有两个以上账户拥有管理员权利。

对本地Guest 账户的关键检查通过了还是失败了？

对本地Guest 账户的检查通过了，因为该账户已禁用。

本地计算机上，哪几个账户拥有管理员权利？

有四个账户拥有管理员权利：本地Administrator、Contoso\Adminx 和两个本地账户Sally 与Bob。

Local Account Password Test 通过了吗？

没有通过。结果表明部分用户账户有空密码或很简单的密码。Administrator 账户、Guest 账户、两个本地用户账户Sally 和Bob 使用了空密码或弱密码。

哪些账户失败了？

Administrator 账户、Guest 账户、两个本地用户账户Sally 和Bob 使用了空密码或弱密码。

20