|
|
|
网络安全中谈到个人上网时的安全，还是先把大家可能会遇到的问题归个类吧。我们遇到的入侵方式大概包括了以下几种： 7 Q! {0 H. R" y
(1) 被他人盗取密码；
2 t) |1 p) |- G (2) 系统被木马攻击； ' g1 x2 F( Z9 W: k. D5 `8 c" \
(3) 浏览网页时被恶意的java scrpit程序攻击； 3 X& _# _1 s7 v6 C4 t }
(4) QQ被攻击或泄漏信息； , b1 I) g5 C2 k2 d' k# N
(5) 病毒感染；
# t, @# T, e5 V; n/ x( S (6) 系统存在漏洞使他人攻击自己。
A* u3 K e, v6 F (7) 黑客的恶意攻击。 9 n) J# D& C! C3 c1 d5 \
下面我们就来看看通过什么样的手段来更有效的防范攻击。
5 p$ W0 E$ V }& K* b8 H1 |- o 1.察看本地共享资源
) l" |3 N' }; F 运行CMD输入net share，如果看到有异常的共享，那么应该关闭。但是有时你关闭共享下次开机的时候又出现了，那么你应该考虑一下，你的机器是否已经被黑客所控制了，或者中了病毒。 ) `% a0 o; Y7 G. [. H" T
2.删除共享(每次输入一个）
# [: ]. U- n- { i! m net share admin$ /delete
% X7 C& |. I. M net share c$ /delete
2 O; N V/ r! x$ M7 g net share d$ /delete（如果有e，f，……可以继续删除） . s2 [1 H4 d. d. s; q
3.删除ipc$空连接
/ K$ R V- C! T( Y( U2 z# e& L) t3 n 在运行内输入regedit，在注册表中找到 HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA 项里数值名称RestrictAnonymous的数值数据由0改为1。
! y. `* P- i3 h P( f 4.关闭自己的139端口，Ipc和RPC漏洞存在于此 1 X2 h8 `( r1 m+ v+ Y
关闭139端口的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。
! J: O* ~& b9 g 5．防止Rpc漏洞 . \0 I+ O8 \+ n& d' j
打开管理工具——服务——找到RPC(Remote Procedure Call (RPC) Locator)服务——将故障恢复中的第一次失败，第二次失败，后续失败，都设置为不操作。 2 b; a/ b$ b# u; K) s, J
Windwos XP SP2和Windows2000 Pro Sp4，均不存在该漏洞。 Y: r- Y& S; S8 a' ]* Y2 I$ e
6．445端口的关闭
7 k% Z' {5 b8 c3 j6 n2 x 修改注册表，添加一个键值HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一个SMBDeviceEnabled 为REG_DWORD类型键值为 0这样就ok了。
8 b$ h. Y' R% |2 [+ R, c8 t! M 7．3389的关闭 2 N9 C2 d3 t2 v: i+ p& M
WindowsXP：我的电脑上点右键选属性-->远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。 4 t1 }6 b' L3 H- _3 p6 r9 k0 i
Win2000server 开始-->程序-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。（该方法在XP同样适用）
# W v/ o* W8 l+ g# _ 使用Windows2000 Pro的朋友注意，网络上有很多文章说在Win2000pro 开始-->设置-->控制面板-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务，可以关闭3389，其实在2000pro 中根本不存在Terminal Services。 # z" f5 W$ n" Y0 R/ r
8．4899的防范
1 i6 ?7 d( [8 h. o# C' D8 J 网络上有许多关于3389和4899的入侵方法。4899其实是一个远程控制软件所开启的服务端端口，由于这些控制软件功能强大，所以经常被黑客用来控制自己的肉鸡，而且这类软件一般不会被杀毒软件查杀，比后门还要安全。 2 | O* |* @0 f1 a2 c' \! x
4899不象3389那样，是系统自带的服务。需要自己安装，而且需要将服务端上传到入侵的电脑并运行服务，才能达到控制的目的。
( Q& ]0 P5 v9 j/ E. d% a8 V 所以只要你的电脑做了基本的安全配置，黑客是很难通过4899来控制你的。 0 x, F$ h' j/ ~1 g5 A( v3 ?
2007-10-12 10:50:41 回复此发言 & O: Y. M; m+ I H2 a$ V
2 回复:17高招打造一道超级电脑防火墙
6 }, _5 H/ r/ \0 N4 wQQJT501 9、禁用服务
2 E5 r" t; }" I5 p 打开控制面板，进入管理工具——服务，关闭以下服务： 9 x6 X/ b. d4 F3 n7 {
1.Alerter[通知选定的用户和计算机管理警报] , \% T8 d2 q& P9 u' C
2.ClipBook[启用“剪贴簿查看器”储存信息并与远程计算机共享] % C; f( |+ o& _$ U1 E, r' f& W0 z
3.Distributed File System[将分散的文件共享合并成一个逻辑名称，共享出去，关闭后远程计算机无 4 v- ?+ ]! m: J! r9 l3 I% F
法访问共享 $ d* {) w. `# C& D! m- M( f
4.Distributed Link Tracking Server[适用局域网分布式链接] $ d5 w- C1 ?7 U. I
5.Human Interface Device Access[启用对人体学接口设备(HID)的通用输入访问] 7 i. ^, }" Y$ ]: o( y
6.IMAPI CD-Burning COM Service[管理 CD 录制]
) j8 ~( q0 g9 N, b0 A" a0 p" _ 7.Indexing Service[提供本地或远程计算机上文件的索引内容和属性，泄露信息] 5 u) ^6 u& }. o( O, D6 \
8.Kerberos Key Distribution Center[授权协议登录网络]
: K$ p8 z( X% k: b4 d3 ]: l 9.License Logging[监视IIS和SQL如果你没安装IIS和SQL的话就停止] 4 c$ L# W% d5 F9 R J( W6 X
10.Messenger[警报] 6 R. l. x3 `. ~% p7 b
11.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客户信息收集] 2 E% Z8 [& c7 ^( }
12.Network DDE[为在同一台计算机或不同计算机上运行的程序提供动态数据交换] - L# k. ?# m7 O$ e* c0 K8 g
13.Network DDE DSDM[管理动态数据交换 (DDE) 网络共享]
$ r- U7 ~( b8 u0 Z# d+ y 14.Print Spooler[打印机服务，没有打印机就禁止吧] # Z5 V. |- S+ \+ F0 a/ _
15.Remote Desktop Help& nbsp;Session Manager[管理并控制远程协助]
3 k! E1 O3 x1 ~ 16.Remote Registry[使远程计算机用户修改本地注册表] / h7 i- I* m8 u6 `8 o5 e8 E3 f
17.Routing and Remote Access[在局域网和广域往提供路由服务.黑客理由路由服务刺探注册信息]
! v# m% \; a' Y 18.Server[支持此计算机通过网络的文件、打印、和命名管道共享]
+ G, e# c" u! I7 D1 @$ ` 19.Special Administration Console Helper[允许管理员使用紧急管理服务远程访问命令行提示符] 7 w0 Z; }0 B0 a5 d5 t6 U2 z
20.TCP/IPNetBIOS Helper[提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支
% g4 p9 I2 k2 v4 `$ o 持而使用户能够共享文件 、打印和登录到网络] * \5 c" v% `4 u1 o$ j
21.Telnet[允许远程用户登录到此计算机并运行程序]
2 D9 y6 P, @6 s1 I 22.Terminal Services[允许用户以交互方式连接到远程计算机]
$ P/ Y# o) V% V5 l 23.Window s Image Acquisition (WIA)[照相服务，应用与数码摄象机]
3 j7 D/ N/ T) ~; h) n 如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有可能是黑客使用控制程序的服务端。
) y3 g' s; k2 U5 ?! W 10、账号密码的安全原则 % U4 P0 Q6 J4 ~0 I
首先禁用guest帐号，将系统内建的administrator帐号改名（改的越复杂越好，最好改成中文的），而且要设置一个密码，最好是8位以上字母数字符号组合。 7 F& |! Q/ ?; i0 n
如果你使用的是其他帐号，最好不要将其加进administrators，如果加入administrators组，一定也要设置一个足够安全的密码，同上如果你设置adminstrator的密码时，最好在安全模式下设置，因为经我研究发现，在系统中拥有最高权限的帐号，不是正常登陆下的adminitrator帐号，因为即使有了这个帐号，同样可以登陆安全模式，将sam文件删除，从而更改系统的administrator的密码！而在安全模式下设置的administrator则不会出现这种情况，因为不知道这个administrator密码是无法进入安全模式。权限达到最大这个是密码策略：用户可以根据自己的习惯设置密码，下面是我建议的设置。 0 L* O4 H% w S' u; {8 w* m7 a
打开管理工具—本地安全设置—密码策略： 4 u0 q' Y. N4 G: a/ ^* d$ f' R! D
1.密码必须符合复杂要求性.启用
3 S' ]% d7 A" p2 c9 w- i 2.密码最小值.我设置的是8
: W) K+ L3 b. F8 X 3.密码最长使用期限.我是默认设置42天
" j1 B0 d. A. Y- Q5 ? 4.密码最短使用期限0天 5 m4 t8 b/ j8 s5 K5 @
5.强制密码历史 记住0个密码 $ M8 L6 o8 x: l8 ~$ v
6.用可还原的加密来存储密码 禁用 0 L' T3 N' F: q2 d+ ]: H
11、本地策略 ( r0 j* W3 U4 g8 m
这个很重要，可以帮助我们发现那些心存叵测的人的一举一动，还可以帮助我们将来追查黑客。
7 |& O+ ]6 \4 N9 W' M$ D (虽然一般黑客都会在走时会清除他在你电脑中留下的痕迹，不过也有一些不小心的) - r; ]3 z5 i* |0 a: Z
打开管理工具，找到本地安全设置—本地策略—审核策略：
/ R3 J' r: ?# ~1 F 1.审核策略更改 成功失败 7 h5 j4 j3 ` F4 X7 t
2.审核登陆事件 成功失败 $ w; [' h c7 j1 H
3.审核对象访问 失败
0 ^/ R5 c. S7 ` j 4.审核跟踪过程 无审核 9 b; \" T. K7 Y; a6 r3 l U
5.审核目录服务访问 失败
# p: B( e6 ^% {' ] 6.审核特权使用 失败 4 i0 }3 e, N5 V# F9 B2 \5 _
7.审核系统事件 成功失败 , N1 H6 t' h5 `+ G, E6 v
8.审核帐户登陆时间 成功失败
) l% E+ a A2 l1 Q 9.审核帐户管理 成功失败 ) o, e4 X( t% K E, f8 d6 |
&nb sp;然后再到管理工具找到事件查看器：
t: E; e/ F5 c& [0 k# H 应用程序：右键>属性>设置日志大小上限，我设置了50mb，选择不覆盖事件。
* s3 x' l7 r( ^! v 安全性：右键>属性>设置日志大小上限，我也是设置了50mb，选择不覆盖事件。 # y* m* w( S3 z1 n
系统：右键>属性>设置日志大小上限，我都是设置了50mb，选择不覆盖事件。 `4 H0 E: J( [% B
2007-10-12 10:51:14 回复此发言 8 J4 [: |# u U8 l6 D$ }
3 回复:17高招打造一道超级电脑防火墙 - D$ o: S; O( Y: \( V
QQJT501 12、本地安全策略 1 ~/ y5 A9 t9 T+ `; k! L1 _- Y6 U
打开管理工具，找到本地安全设置—本地策略—安全选项：
1 I; U0 p. `' {& ^* e0 B# i 1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要，? 但是我个人是不需要直接输入密码登 % [" O" W2 j9 d
陆的]。
- D$ Z+ j# ?& ~1 w9 ]4 t 2.网络访问.不允许SAM帐户的匿名枚举 启用。
+ W6 ]0 @" h! c3 t9 c 3.网络访问.可匿名的共享 将后面的值删除。 % r" q2 A: n, e1 b+ [5 C
4.网络访问.可匿名的命名管道 将后面的值删除。
7 Y% E; d8 ] e/ k. G% c 5.网络访问.可远程访问的注册表路径 将后面的值删除。 9 f& o3 e( d0 w' J& O6 n% ?
6.网络访问.可远程访问的注册表的子路径 将后面的值删除。 : x) T l* J* e F& d
7.网络访问.限制匿名访问命名管道和共享。 # d* D- p6 r8 p/ V( t5 w
8.帐户.（前面已经详细讲过拉 ）。
& B+ `6 D x0 g) _ 13、用户权限分配策略
1 s2 P- H! Y* K7 a/ i 打开管理工具，找到本地安全设置—本地策略—用户权限分配： ) i% c8 `% f% f$ E5 P
1.从网络访问计算机 里面一般默认有5个用户，除Admin外我们删除4个，当然，等下我们还得建一个属
5 g T) L; ]$ {0 J2 V 于自己的ID。
$ a3 f6 u1 I0 f6 I 2.从远程系统强制关机，Admin帐户也删除，一个都不留 。 + k. S4 z4 L- y- B' R0 s3 C
3.拒绝从网络访问这台计算机 将ID删除。
9 I9 N( y/ O( W 4.从网络访问此计算机，Admin也可删除，如果你不使用类似3389服务。 4 @" l, x# t& x
5.通过远端强制关机。删掉。
! v0 x5 J- l1 O( l8 u) T 14、终端服务配置
0 L; h% H, R- ?) Y+ B; a7 C 打开管理工具，终端服务配置： 0 L" }: m5 ~7 M
1.打开后，点连接，右键，属性，远程控制，点不允许远程控制。
/ E# ]/ Q/ ]# X4 \) [3 e2 y 2.常规，加密级别，高，在使用标准Windows验证上点√!
( w9 o1 U0 L. C" P$ P 3.网卡，将最多连接数上设置为0。 3 K1 n9 V9 q8 q# w) k: T/ ], {
4.高级，将里面的权限也删除。
0 S$ t/ N2 q6 E6 f8 t: U& d 再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话。 ' J S. r O/ D0 f
15、用户和组策略
) ]% K, A* w7 w) X 打开管理工具，计算机管理—本地用户和组—用户：
/ ~1 w8 ?/ C l9 m+ u 删除Support_388945a0用户等等只留下你更改好名字的adminisrator权限。 + Y" `& m- p ?2 \- G7 |1 z9 @' F
计算机管理—本地用户和组—组，组.我们就不分组了。 5 ^" P1 ^/ z% N' K% D5 r
2007-10-12 10:51:33 回复此发言 7 }+ v6 c6 X# b
4 回复:17高招打造一道超级电脑防火墙 7 c$ y5 l( R; r q" A
QQJT501 12、本地安全策略
7 l+ W" j# p0 `, \! L* ~2 w 打开管理工具，找到本地安全设置—本地策略—安全选项：
! T# H) U3 O( p$ F% \! M 1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要，? 但是我个人是不需要直接输入密码登 9 i6 {- H( u& ]; [ J2 z
陆的]。
# S5 \! S4 A: f6 p* F: ? 2.网络访问.不允许SAM帐户的匿名枚举 启用。 * |* b+ i. ~4 k4 C* _) Q+ C8 ` U$ h% H
3.网络访问.可匿名的共享 将后面的值删除。
4 p6 f/ m8 \1 B5 \1 g 4.网络访问.可匿名的命名管道 将后面的值删除。
! o/ R! {* r/ p8 D8 ]! d 5.网络访问.可远程访问的注册表路径 将后面的值删除。 9 n1 D8 U0 R# J. p1 l/ x
6.网络访问.可远程访问的注册表的子路径 将后面的值删除。
2 W0 [( M6 e) c) g! D 7.网络访问.限制匿名访问命名管道和共享。 # _% ~" ~" m. N ]
8.帐户.（前面已经详细讲过拉 ）。 4 y1 X. j; R; H# e+ T8 ?% z3 {
13、用户权限分配策略
& ]( @8 H7 d5 u4 C 打开管理工具，找到本地安全设置—本地策略—用户权限分配： , K, e, A6 v+ f# F/ V/ ]; k
1.从网络访问计算机 里面一般默认有5个用户，除Admin外我们删除4个，当然，等下我们还得建一个属
t7 b" a# d# _. E+ n% m2 Y6 _ 于自己的ID。 8 }) C% L4 G4 ~, r V$ ?
2.从远程系统强制关机，Admin帐户也删除，一个都不留 。
! i2 y, H: k1 a* ?% Y3 @4 M 3.拒绝从网络访问这台计算机 将ID删除。
9 }% K4 A/ Z( y2 N9 Y" p 4.从网络访问此计算机，Admin也可删除，如果你不使用类似3389服务。 + c1 d$ U% D& M% T. A( m
5.通过远端强制关机。删掉。 " W3 W) W# ]0 b6 `; T+ N
14、终端服务配置
6 x. [/ r6 U7 K/ r1 j- ` 打开管理工具，终端服务配置：
) Y X Y5 J: g6 r7 |: N 1.打开后，点连接，右键，属性，远程控制，点不允许远程控制。
" f: O* ~( c' k' K# d 2.常规，加密级别，高，在使用标准Windows验证上点√! + N& A: ]. [8 m4 A* ~2 O$ ?/ q
3.网卡，将最多连接数上设置为0。 # k" E4 w6 q. S0 x
4.高级，将里面的权限也删除。 5 ]3 _) O, C1 G C) ^
再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话。
2 E7 z0 f6 l/ D& ?0 K! e 15、用户和组策略
0 c. X( g; [; q1 R5 w* e% \ 打开管理工具，计算机管理—本地用户和组—用户： % E4 O- q" e2 c; j c
删除Support_388945a0用户等等只留下你更改好名字的adminisrator权限。 5 f. S+ y4 j5 x, o, I$ B
计算机管理—本地用户和组—组，组.我们就不分组了。 2 r r# ^ W8 Z3 u; J4 z$ s
VISTA的就不要尝试了5 i$ X; I# V4 ^# `( \4 m* t
1 K' u# ?. `* ?/ N- E |
|
雷达卡
发表于 2007-10-17 11:20:43
提升卡
抢沙发
发表于 2007-10-17 12:30:11