|
|
|
网络安全中谈到个人上网时的安全，还是先把大家可能会遇到的问题归个类吧。我们遇到的入侵方式大概包括了以下几种：
+ a% R- W. d6 ?0 s (1) 被他人盗取密码；
- \3 l( U: {2 g& Q6 o- }) `- l (2) 系统被木马攻击； & L$ R, u' P2 R' ?# n* e1 F
(3) 浏览网页时被恶意的java scrpit程序攻击；
5 w% ?; e9 f* g7 Z' N# H- s* l (4) QQ被攻击或泄漏信息；
9 V3 K/ e1 k+ w/ V W (5) 病毒感染； 6 E, Z5 D9 o) [
(6) 系统存在漏洞使他人攻击自己。 ! ^/ t! J# t# ^' z" V& ?! W
(7) 黑客的恶意攻击。
* N9 N" N: e5 }( a; I4 M 下面我们就来看看通过什么样的手段来更有效的防范攻击。 9 E0 ]( A( b& t. e. k( r
1.察看本地共享资源
( B5 k' N4 v& T3 c1 Y9 c 运行CMD输入net share，如果看到有异常的共享，那么应该关闭。但是有时你关闭共享下次开机的时候又出现了，那么你应该考虑一下，你的机器是否已经被黑客所控制了，或者中了病毒。
9 u" O7 S: p+ w$ u 2.删除共享(每次输入一个）
$ v" R7 c. _( {7 I net share admin$ /delete
$ m3 {0 C, }+ D2 O* R1 m net share c$ /delete / z$ Y, g* f( x& r7 J- j# E
net share d$ /delete（如果有e，f，……可以继续删除） / h9 s1 `0 [, ?2 c
3.删除ipc$空连接
' E4 K" K. w! z# E$ P 在运行内输入regedit，在注册表中找到 HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA 项里数值名称RestrictAnonymous的数值数据由0改为1。 + k0 S4 x$ v$ {: i* Y. D3 i
4.关闭自己的139端口，Ipc和RPC漏洞存在于此 9 j! R' L/ z; H" ]3 ~' r L
关闭139端口的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。
( d5 S, p+ O5 l& | 5．防止Rpc漏洞
( }( c5 H4 b# R/ R& Y6 F7 p3 _6 ? 打开管理工具——服务——找到RPC(Remote Procedure Call (RPC) Locator)服务——将故障恢复中的第一次失败，第二次失败，后续失败，都设置为不操作。 $ c8 L' K, T P" R/ X. i, @
Windwos XP SP2和Windows2000 Pro Sp4，均不存在该漏洞。
- K6 b" q- q2 y0 L 6．445端口的关闭
/ f2 Q. r- S! U* {. S& J0 c$ l 修改注册表，添加一个键值HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一个SMBDeviceEnabled 为REG_DWORD类型键值为 0这样就ok了。
% o Z7 E8 `+ D$ n& n' f2 a 7．3389的关闭 : C3 ?. d4 Q7 C4 M* w
WindowsXP：我的电脑上点右键选属性-->远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。 + C5 T: j$ C, K: _
Win2000server 开始-->程序-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。（该方法在XP同样适用） . w3 q, L; H( K( H* R
使用Windows2000 Pro的朋友注意，网络上有很多文章说在Win2000pro 开始-->设置-->控制面板-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务，可以关闭3389，其实在2000pro 中根本不存在Terminal Services。 ) H/ D3 K7 k6 v5 e) a a5 t, d
8．4899的防范
1 c3 ]* G$ v) M5 I" ?; {" t 网络上有许多关于3389和4899的入侵方法。4899其实是一个远程控制软件所开启的服务端端口，由于这些控制软件功能强大，所以经常被黑客用来控制自己的肉鸡，而且这类软件一般不会被杀毒软件查杀，比后门还要安全。
: K8 j7 m! z+ `/ g3 \. Z% c 4899不象3389那样，是系统自带的服务。需要自己安装，而且需要将服务端上传到入侵的电脑并运行服务，才能达到控制的目的。 ; c( F ~- u% F2 b, [* f
所以只要你的电脑做了基本的安全配置，黑客是很难通过4899来控制你的。
3 \$ X/ W: i- m0 }* `8 [2007-10-12 10:50:41 回复此发言 , y( A* b" Z& u0 c
2 回复:17高招打造一道超级电脑防火墙 5 c1 v, G& B- p2 H9 m- M+ [* o3 V8 \; F3 z
QQJT501 9、禁用服务 $ c2 n1 Z# m# g- e8 H2 Y5 C
打开控制面板，进入管理工具——服务，关闭以下服务：
- g1 `4 \& x/ B3 w7 g 1.Alerter[通知选定的用户和计算机管理警报]
/ ^* @. X, `& ?5 c( b) X 2.ClipBook[启用“剪贴簿查看器”储存信息并与远程计算机共享] ; U1 D. E7 L' E' R( }
3.Distributed File System[将分散的文件共享合并成一个逻辑名称，共享出去，关闭后远程计算机无 1 d9 q6 Q2 t7 B9 o( b9 d$ U
法访问共享 # r1 H( F& w, o; u8 c
4.Distributed Link Tracking Server[适用局域网分布式链接]
?/ k0 {' L, B. N3 n# L% u 5.Human Interface Device Access[启用对人体学接口设备(HID)的通用输入访问]
$ j) ]. j# E9 j1 e4 A) F# p; t7 C1 d 6.IMAPI CD-Burning COM Service[管理 CD 录制] 1 F$ K* }$ P, D& `7 _. J2 s% W* F+ ^
7.Indexing Service[提供本地或远程计算机上文件的索引内容和属性，泄露信息] 9 O3 U1 c$ [4 H( K
8.Kerberos Key Distribution Center[授权协议登录网络] 9 O* K) ^8 j" o
9.License Logging[监视IIS和SQL如果你没安装IIS和SQL的话就停止] 0 P8 E0 Q% Z9 U
10.Messenger[警报] s& w4 u t, Y8 m
11.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客户信息收集]
. _0 J N3 P' P: T 12.Network DDE[为在同一台计算机或不同计算机上运行的程序提供动态数据交换]
& T, i: e+ Y( F% M* ]: q3 T1 p 13.Network DDE DSDM[管理动态数据交换 (DDE) 网络共享] " G' u9 |; b% x3 b4 p: ~
14.Print Spooler[打印机服务，没有打印机就禁止吧]
' i, s! b# F4 b/ ?+ g: o( S 15.Remote Desktop Help& nbsp;Session Manager[管理并控制远程协助] ) K$ N' x; `. {( Y7 l3 Z
16.Remote Registry[使远程计算机用户修改本地注册表]
8 y! t& ^9 k2 U' y# n9 P 17.Routing and Remote Access[在局域网和广域往提供路由服务.黑客理由路由服务刺探注册信息]
) @3 ^" v8 r1 R, Q4 E) {# \. c* Q 18.Server[支持此计算机通过网络的文件、打印、和命名管道共享]
* L3 b) E2 q. Z" n% ~! T: h" b 19.Special Administration Console Helper[允许管理员使用紧急管理服务远程访问命令行提示符]
* L' A9 m# i1 p0 y5 l2 F 20.TCP/IPNetBIOS Helper[提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支
8 `" Y* U- C1 i6 Z* W 持而使用户能够共享文件 、打印和登录到网络] " R9 I) N5 L* F6 e3 Y4 J( f
21.Telnet[允许远程用户登录到此计算机并运行程序] , q4 {9 u( l. N0 u
22.Terminal Services[允许用户以交互方式连接到远程计算机] 0 S: l0 d% Y: i6 h( t A! i0 s
23.Window s Image Acquisition (WIA)[照相服务，应用与数码摄象机]
* D* H2 v" [. d% P8 T 如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有可能是黑客使用控制程序的服务端。
& R2 K7 W) `+ l7 c6 i 10、账号密码的安全原则 ' v# U% n* m2 I- O2 c
首先禁用guest帐号，将系统内建的administrator帐号改名（改的越复杂越好，最好改成中文的），而且要设置一个密码，最好是8位以上字母数字符号组合。
, C: B" x% n* c0 j 如果你使用的是其他帐号，最好不要将其加进administrators，如果加入administrators组，一定也要设置一个足够安全的密码，同上如果你设置adminstrator的密码时，最好在安全模式下设置，因为经我研究发现，在系统中拥有最高权限的帐号，不是正常登陆下的adminitrator帐号，因为即使有了这个帐号，同样可以登陆安全模式，将sam文件删除，从而更改系统的administrator的密码！而在安全模式下设置的administrator则不会出现这种情况，因为不知道这个administrator密码是无法进入安全模式。权限达到最大这个是密码策略：用户可以根据自己的习惯设置密码，下面是我建议的设置。
* b5 T4 A' i$ W/ r3 y7 W 打开管理工具—本地安全设置—密码策略： ) y" L# R" s- k! a) Y7 e( A+ f
1.密码必须符合复杂要求性.启用 % D) q5 c0 _$ A# d; J7 d
2.密码最小值.我设置的是8 / Z7 }% s& b$ x: q, }1 N
3.密码最长使用期限.我是默认设置42天 " K. J- D" \5 n' V- X5 s! q; U
4.密码最短使用期限0天 * }0 j Z1 V/ n$ D) A Y* |) d4 e
5.强制密码历史 记住0个密码 9 P5 Y" ]' m0 z `; ?3 P* _
6.用可还原的加密来存储密码 禁用 , ^& X1 S7 _8 X8 Y9 w) x
11、本地策略 / N9 x* p5 b R0 j
这个很重要，可以帮助我们发现那些心存叵测的人的一举一动，还可以帮助我们将来追查黑客。
7 W/ x- k4 k2 _- I# z, G% K (虽然一般黑客都会在走时会清除他在你电脑中留下的痕迹，不过也有一些不小心的)
- h7 [0 \1 J8 r3 X" t( E 打开管理工具，找到本地安全设置—本地策略—审核策略：
, Z: P0 G: ?* z, { d 1.审核策略更改 成功失败 + s1 i3 N* q1 o* h3 @$ n+ ]
2.审核登陆事件 成功失败 + `' I% ~/ J/ y8 z
3.审核对象访问 失败
7 f8 d+ Q2 b* \/ i. D8 S3 S 4.审核跟踪过程 无审核
4 [/ ?' q* R% ] 5.审核目录服务访问 失败 & ]7 s/ ^2 M5 x: ~2 [
6.审核特权使用 失败 2 W4 @9 h n5 v/ A* G: d1 d# q
7.审核系统事件 成功失败
) }4 _3 Y. E* c g( k 8.审核帐户登陆时间 成功失败
9 t7 a# d: K4 K9 Y) \: a 9.审核帐户管理 成功失败 / w8 q P! x- e; M
&nb sp;然后再到管理工具找到事件查看器： 0 Y. G( o& v* S: c
应用程序：右键>属性>设置日志大小上限，我设置了50mb，选择不覆盖事件。
/ g; K) U1 I K5 z+ y. @2 A 安全性：右键>属性>设置日志大小上限，我也是设置了50mb，选择不覆盖事件。
- ^% C4 H/ b, a 系统：右键>属性>设置日志大小上限，我都是设置了50mb，选择不覆盖事件。 ; R: M0 d6 o$ m* i9 k, C) a2 x4 P+ ^
2007-10-12 10:51:14 回复此发言 + m/ j m0 p- J/ z9 s
3 回复:17高招打造一道超级电脑防火墙 0 k% ? s" t/ o; [( s, C/ n1 F0 i3 o
QQJT501 12、本地安全策略 " B% U! @; b' s4 `$ |3 Y: `3 s5 Q
打开管理工具，找到本地安全设置—本地策略—安全选项：
; A; u, o. l5 W 1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要，? 但是我个人是不需要直接输入密码登 ; Y) W, X- F+ j2 A+ q. ]5 {
陆的]。
$ ~" v: K( i1 G7 M9 }2 T 2.网络访问.不允许SAM帐户的匿名枚举 启用。
: y8 k) \8 a/ T8 f' x5 l5 ^' [ 3.网络访问.可匿名的共享 将后面的值删除。 " Y& F; `& P; d/ B% X, G, J# N
4.网络访问.可匿名的命名管道 将后面的值删除。 ; N% u% V- W# d1 O) j& t/ _" @
5.网络访问.可远程访问的注册表路径 将后面的值删除。
2 |4 o# b, k9 ~: L/ h2 M/ V d 6.网络访问.可远程访问的注册表的子路径 将后面的值删除。
/ Q( H! a& Y! X 7.网络访问.限制匿名访问命名管道和共享。
) `. v$ B0 r9 F) f2 C5 F6 ] 8.帐户.（前面已经详细讲过拉 ）。
. \# i2 {+ W! P/ ]) [, C 13、用户权限分配策略 2 J! ]' ~" f" X9 P( P! t3 {
打开管理工具，找到本地安全设置—本地策略—用户权限分配：
# x9 z% z- O- U# n$ [+ Y 1.从网络访问计算机 里面一般默认有5个用户，除Admin外我们删除4个，当然，等下我们还得建一个属
! `" d9 @/ B7 K5 H0 L! f# t' y 于自己的ID。
1 B+ M' R# F2 R0 B/ B- `. W 2.从远程系统强制关机，Admin帐户也删除，一个都不留 。 ; N5 j& t$ K- u0 B
3.拒绝从网络访问这台计算机 将ID删除。
2 r/ _' Q6 J' o! g* W4 p 4.从网络访问此计算机，Admin也可删除，如果你不使用类似3389服务。
# z) n3 `) _" U, N! F' O: O 5.通过远端强制关机。删掉。 , L: J( U7 E0 B( t# ?
14、终端服务配置
4 q7 h' f* E1 H2 R1 O+ c, J% z' W 打开管理工具，终端服务配置：
# ?$ B5 ]$ P8 w5 F 1.打开后，点连接，右键，属性，远程控制，点不允许远程控制。 : o4 A: V* Z" u
2.常规，加密级别，高，在使用标准Windows验证上点√! 1 k$ v# g% ?" y+ Y9 ]4 R5 i
3.网卡，将最多连接数上设置为0。
+ u# H$ U& V9 S7 C; ] 4.高级，将里面的权限也删除。 + I4 L$ w( H% S# C. M* u
再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话。 & |4 k/ Y4 u: d) o
15、用户和组策略
6 z# u T% O! l% } 打开管理工具，计算机管理—本地用户和组—用户： 6 L9 J( A0 m9 h3 O, C
删除Support_388945a0用户等等只留下你更改好名字的adminisrator权限。 " l8 V$ F4 R" e q7 T9 p5 e* N5 W
计算机管理—本地用户和组—组，组.我们就不分组了。
j3 F7 @/ b6 `6 w9 G2007-10-12 10:51:33 回复此发言 4 |4 c, f6 K9 X/ a& Q. N4 b+ B6 ]9 U
4 回复:17高招打造一道超级电脑防火墙
- D: h4 k2 r6 E8 ZQQJT501 12、本地安全策略
+ c5 R% Y$ t( X5 g: m: j. Z 打开管理工具，找到本地安全设置—本地策略—安全选项： # w0 W: A6 x7 b8 M K
1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要，? 但是我个人是不需要直接输入密码登
5 l: j. D2 v2 n$ S3 C5 a 陆的]。 , N( v+ R% L3 j8 ]: [+ N
2.网络访问.不允许SAM帐户的匿名枚举 启用。 6 p6 {4 }6 Q" N: }; j6 ?; d
3.网络访问.可匿名的共享 将后面的值删除。 6 |1 K# U2 O0 R: n' g" {
4.网络访问.可匿名的命名管道 将后面的值删除。 3 G$ n5 Q- R) p6 Z0 @6 W/ H
5.网络访问.可远程访问的注册表路径 将后面的值删除。
' @& V1 Z3 }4 O7 Y; G! L 6.网络访问.可远程访问的注册表的子路径 将后面的值删除。
( Q# g/ {& s9 O) S) [. _3 O, l 7.网络访问.限制匿名访问命名管道和共享。
' b8 r2 I ^! k C0 S8 V, \ 8.帐户.（前面已经详细讲过拉 ）。 - j9 W2 b8 {% A+ ^
13、用户权限分配策略 $ g6 h0 u6 J0 z0 Y/ t; l/ c
打开管理工具，找到本地安全设置—本地策略—用户权限分配：
- F# e. U6 v; b+ [* {2 {* o9 e5 r4 e0 P 1.从网络访问计算机 里面一般默认有5个用户，除Admin外我们删除4个，当然，等下我们还得建一个属 ! Z. z6 ?8 |/ r( y0 F
于自己的ID。
" I* G8 g: l# m5 t, I. J4 ^ 2.从远程系统强制关机，Admin帐户也删除，一个都不留 。 Q; [- b# F5 ?- F, B* w+ r7 b* H
3.拒绝从网络访问这台计算机 将ID删除。 . [- F7 b# E. e- k4 O& {9 v. h
4.从网络访问此计算机，Admin也可删除，如果你不使用类似3389服务。
' S3 a. ?7 y! D: k. M6 ~5 ] 5.通过远端强制关机。删掉。
: I5 ^" ]/ y, t" n N4 ^ 14、终端服务配置 6 d! a& _, I4 O# i! @4 K
打开管理工具，终端服务配置： 3 J0 O( l2 N$ T* ^$ X" _
1.打开后，点连接，右键，属性，远程控制，点不允许远程控制。 . ?7 M H8 m }) W6 W" v% W. [ i9 g
2.常规，加密级别，高，在使用标准Windows验证上点√!
& O$ t: G& u, L$ w3 |7 ~ 3.网卡，将最多连接数上设置为0。
4 u! X' b3 C9 ]9 m/ w4 f 4.高级，将里面的权限也删除。
. H! T& A+ F0 b% Z 再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话。 : ]) v* x0 H. ~% C& K
15、用户和组策略
: n' r7 v- Q B( b8 ?5 O( a4 [ 打开管理工具，计算机管理—本地用户和组—用户：
6 T- `1 J/ Q8 Z/ C2 t 删除Support_388945a0用户等等只留下你更改好名字的adminisrator权限。 + |4 I' P) S6 q& O$ _
计算机管理—本地用户和组—组，组.我们就不分组了。
. }0 u9 Y, \# b# E/ e# }. a fVISTA的就不要尝试了
/ t5 {# w' R4 F! g8 ~2 [
: |$ g: e- c' Z4 g! ] |
|
雷达卡
发表于 2007-10-17 11:20:43
提升卡
抢沙发
发表于 2007-10-17 12:30:11