|
|
|
网络安全中谈到个人上网时的安全，还是先把大家可能会遇到的问题归个类吧。我们遇到的入侵方式大概包括了以下几种： 1 `$ f, n8 f2 w' @# i" }* W4 u6 t: ~
(1) 被他人盗取密码；
7 j0 }, W; I4 v6 B% P+ T (2) 系统被木马攻击； ' q/ b& D q; F( \2 h5 m- [! r+ s
(3) 浏览网页时被恶意的java scrpit程序攻击； . y( s% z% ~* }
(4) QQ被攻击或泄漏信息；
7 a# I2 a. e S (5) 病毒感染；
. f4 |6 P7 Y5 _# P* s' @* |8 C; O (6) 系统存在漏洞使他人攻击自己。
! i q9 s. d, L9 _3 E# Z9 L (7) 黑客的恶意攻击。 - a1 | ?/ |3 _& S
下面我们就来看看通过什么样的手段来更有效的防范攻击。 % F' P9 W+ }- S" q" e
1.察看本地共享资源 3 t6 f+ S* z! e
运行CMD输入net share，如果看到有异常的共享，那么应该关闭。但是有时你关闭共享下次开机的时候又出现了，那么你应该考虑一下，你的机器是否已经被黑客所控制了，或者中了病毒。
4 Y( [; r+ D `9 b1 q# i 2.删除共享(每次输入一个） + D& q# x) E! Q* r1 P/ T8 W
net share admin$ /delete 3 V7 U" e3 M9 m4 k i$ r
net share c$ /delete + r# z* s6 o! g" \2 v
net share d$ /delete（如果有e，f，……可以继续删除） % I4 g+ ^' p8 J0 v5 c
3.删除ipc$空连接
- H( o- Q( i- P. I, J 在运行内输入regedit，在注册表中找到 HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA 项里数值名称RestrictAnonymous的数值数据由0改为1。 # R7 j+ n5 m! o* e+ E8 ^; Q
4.关闭自己的139端口，Ipc和RPC漏洞存在于此 ; _' O+ \2 T9 Y1 P0 Y) l' r$ H
关闭139端口的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。
( h/ t8 D- j$ B3 j+ V 5．防止Rpc漏洞 8 F( Y9 \) z0 I
打开管理工具——服务——找到RPC(Remote Procedure Call (RPC) Locator)服务——将故障恢复中的第一次失败，第二次失败，后续失败，都设置为不操作。
6 T( _% K0 m5 B Windwos XP SP2和Windows2000 Pro Sp4，均不存在该漏洞。 ( q7 S- i G0 F6 @4 z8 N" C9 S5 \
6．445端口的关闭 * p/ B* |' ^4 }
修改注册表，添加一个键值HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一个SMBDeviceEnabled 为REG_DWORD类型键值为 0这样就ok了。 ; Z1 I, q; s6 S$ C2 Q
7．3389的关闭 4 Y" {+ ]6 r4 ~5 s
WindowsXP：我的电脑上点右键选属性-->远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。
8 E4 r9 i5 `5 C0 q' v6 S Win2000server 开始-->程序-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。（该方法在XP同样适用）
: y* @4 d+ ~3 P( A9 f, ?+ q 使用Windows2000 Pro的朋友注意，网络上有很多文章说在Win2000pro 开始-->设置-->控制面板-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务，可以关闭3389，其实在2000pro 中根本不存在Terminal Services。 0 l5 u$ h6 Q. O# w& d7 Q
8．4899的防范
; r4 ~$ T0 R. {0 ?& x4 D 网络上有许多关于3389和4899的入侵方法。4899其实是一个远程控制软件所开启的服务端端口，由于这些控制软件功能强大，所以经常被黑客用来控制自己的肉鸡，而且这类软件一般不会被杀毒软件查杀，比后门还要安全。 - i/ E2 R: l6 w0 U0 A: K
4899不象3389那样，是系统自带的服务。需要自己安装，而且需要将服务端上传到入侵的电脑并运行服务，才能达到控制的目的。
4 h \* z( L5 G4 V: A 所以只要你的电脑做了基本的安全配置，黑客是很难通过4899来控制你的。 ( ^+ w9 k8 r: J) j2 x8 K
2007-10-12 10:50:41 回复此发言 5 F( n, g6 I5 N7 {; D
2 回复:17高招打造一道超级电脑防火墙 - K) |* k; L5 v6 N7 d$ v$ d i8 T
QQJT501 9、禁用服务 5 b' m8 l+ G* h
打开控制面板，进入管理工具——服务，关闭以下服务： $ F9 s8 x; K) {4 l, H
1.Alerter[通知选定的用户和计算机管理警报]
- o- s6 \& ~$ ^& V) ^0 ] 2.ClipBook[启用“剪贴簿查看器”储存信息并与远程计算机共享]
9 K* O6 O+ e T2 O 3.Distributed File System[将分散的文件共享合并成一个逻辑名称，共享出去，关闭后远程计算机无
2 V2 \. L" |2 ^) ?% h 法访问共享
( a G) P) }9 n+ n: h! @' D% L; V2 l 4.Distributed Link Tracking Server[适用局域网分布式链接] 9 R J5 c/ G! ]! l b" Q
5.Human Interface Device Access[启用对人体学接口设备(HID)的通用输入访问] 3 x! Y, F- [% p5 o% @
6.IMAPI CD-Burning COM Service[管理 CD 录制]
& `, l) y4 l5 i0 z- E0 A9 W5 c 7.Indexing Service[提供本地或远程计算机上文件的索引内容和属性，泄露信息]
* ]& y4 G" I5 I. o4 T8 p( | 8.Kerberos Key Distribution Center[授权协议登录网络] , ~: p# r; p: [9 r3 n% G3 d& j
9.License Logging[监视IIS和SQL如果你没安装IIS和SQL的话就停止] # h. Z) V7 d# x( [$ K' I
10.Messenger[警报]
! |& n* E5 K5 u8 I* ^5 V 11.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客户信息收集] 8 ?. y; ^9 y& Q& p1 _9 I& C" z
12.Network DDE[为在同一台计算机或不同计算机上运行的程序提供动态数据交换]
2 q. o& r1 c- c1 z3 p' h 13.Network DDE DSDM[管理动态数据交换 (DDE) 网络共享] 1 d6 ?! g* ?# | o% ?! ~" ^, B3 j) T* e
14.Print Spooler[打印机服务，没有打印机就禁止吧]
; M E: y! u! K3 a+ _( g* W 15.Remote Desktop Help& nbsp;Session Manager[管理并控制远程协助]
" y% B8 s) X! i; o9 w! j1 `8 } 16.Remote Registry[使远程计算机用户修改本地注册表] / _( ^" Y8 P+ m
17.Routing and Remote Access[在局域网和广域往提供路由服务.黑客理由路由服务刺探注册信息]
* B. H# o$ W6 i' ]" J" ]0 `+ U+ w 18.Server[支持此计算机通过网络的文件、打印、和命名管道共享]
& G# l4 \4 ~: p& z5 F 19.Special Administration Console Helper[允许管理员使用紧急管理服务远程访问命令行提示符]
% L" V( B, L% O% {% j 20.TCP/IPNetBIOS Helper[提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支
/ o1 D' }# ^8 r. z( P2 q 持而使用户能够共享文件 、打印和登录到网络] ( O, Y! C9 L3 _5 F
21.Telnet[允许远程用户登录到此计算机并运行程序] ! I8 a* `* ~6 p/ m) p# e& ~- u
22.Terminal Services[允许用户以交互方式连接到远程计算机] + R' s5 ~/ k9 \& N" e9 T" M
23.Window s Image Acquisition (WIA)[照相服务，应用与数码摄象机] O! w. k& C: m4 j0 G
如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有可能是黑客使用控制程序的服务端。 : L' G" G8 D/ D' X
10、账号密码的安全原则 - A9 U9 d6 y% V% N1 j0 M! z4 F. \" t! r8 x
首先禁用guest帐号，将系统内建的administrator帐号改名（改的越复杂越好，最好改成中文的），而且要设置一个密码，最好是8位以上字母数字符号组合。 : Q- c l$ H/ l
如果你使用的是其他帐号，最好不要将其加进administrators，如果加入administrators组，一定也要设置一个足够安全的密码，同上如果你设置adminstrator的密码时，最好在安全模式下设置，因为经我研究发现，在系统中拥有最高权限的帐号，不是正常登陆下的adminitrator帐号，因为即使有了这个帐号，同样可以登陆安全模式，将sam文件删除，从而更改系统的administrator的密码！而在安全模式下设置的administrator则不会出现这种情况，因为不知道这个administrator密码是无法进入安全模式。权限达到最大这个是密码策略：用户可以根据自己的习惯设置密码，下面是我建议的设置。 & L: x8 v5 H/ t, U( Y$ |. H
打开管理工具—本地安全设置—密码策略： 0 J& D7 I+ V) Z
1.密码必须符合复杂要求性.启用
0 Q2 x8 x! o* c8 J 2.密码最小值.我设置的是8
4 g9 G7 Z. u: G 3.密码最长使用期限.我是默认设置42天 7 A+ U. W9 `& R# l
4.密码最短使用期限0天
, r. }% S3 M) k) o1 \ 5.强制密码历史 记住0个密码 1 N) r" M% c5 C; _' k3 K
6.用可还原的加密来存储密码 禁用
7 D* h4 m4 D @& G! E0 t% Z 11、本地策略
6 ^5 D# O8 v' r$ ^2 \: h$ h% A 这个很重要，可以帮助我们发现那些心存叵测的人的一举一动，还可以帮助我们将来追查黑客。 6 L5 p- j Q3 P, G5 d. Y- Y
(虽然一般黑客都会在走时会清除他在你电脑中留下的痕迹，不过也有一些不小心的)
; V( J A. m3 d# x }! v 打开管理工具，找到本地安全设置—本地策略—审核策略：
- S4 Y; N" s8 n2 }6 A! F 1.审核策略更改 成功失败
) ?& R$ X! F0 {: a$ e5 E, |$ ~ 2.审核登陆事件 成功失败 ' B5 l- F/ ]2 u1 f' O8 m
3.审核对象访问 失败
# [8 H2 g1 ?+ M: b 4.审核跟踪过程 无审核
8 Q) ]/ P& ^2 ]2 b' M* e9 o/ o 5.审核目录服务访问 失败
, s% N. s0 `9 q* a+ v0 o) ? T 6.审核特权使用 失败
$ O; f* W4 `8 Q# E7 i 7.审核系统事件 成功失败 9 w1 H- l7 z8 @9 C3 v) F! |7 s
8.审核帐户登陆时间 成功失败 0 ]- U, I0 r) [2 q
9.审核帐户管理 成功失败
' Q$ Y# E; o0 y; L1 G$ m* P! d- M &nb sp;然后再到管理工具找到事件查看器： ' J1 C3 Y1 _! J) q) q/ d4 I
应用程序：右键>属性>设置日志大小上限，我设置了50mb，选择不覆盖事件。 % V5 l8 N6 K* v
安全性：右键>属性>设置日志大小上限，我也是设置了50mb，选择不覆盖事件。
$ M! Z3 B! T9 h0 U6 h 系统：右键>属性>设置日志大小上限，我都是设置了50mb，选择不覆盖事件。 5 q, g1 I0 M# d* K
2007-10-12 10:51:14 回复此发言
6 {: m0 Z3 u7 Y: P0 c 3 回复:17高招打造一道超级电脑防火墙 2 ]' n. v+ E% B U2 c" D5 M; ?
QQJT501 12、本地安全策略
" X% e9 j- ]% d/ a/ B; t0 }! o 打开管理工具，找到本地安全设置—本地策略—安全选项： % L N5 J) } m! s( i4 ]9 m# `& P
1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要，? 但是我个人是不需要直接输入密码登 6 g* t9 r1 O: m; t2 N9 |5 S
陆的]。 - e0 Q2 j5 r8 E
2.网络访问.不允许SAM帐户的匿名枚举 启用。
- w" |4 _, J, P. H8 L5 l) x 3.网络访问.可匿名的共享 将后面的值删除。 5 D# b# A9 X F% P |3 k( s
4.网络访问.可匿名的命名管道 将后面的值删除。
K6 j( q# e, G h 5.网络访问.可远程访问的注册表路径 将后面的值删除。 5 |, B2 j9 Q" h3 H" V
6.网络访问.可远程访问的注册表的子路径 将后面的值删除。
4 h9 N( x0 ~9 r9 ?3 ?, U, e/ f3 A 7.网络访问.限制匿名访问命名管道和共享。
; d( W- T2 W- w$ b7 q, ~& F. ~; m 8.帐户.（前面已经详细讲过拉 ）。 ! w$ D" \4 M8 O1 E2 z5 O
13、用户权限分配策略 & ]" {4 g6 p" n- H/ s
打开管理工具，找到本地安全设置—本地策略—用户权限分配：
; r+ Q% T" p4 V 1.从网络访问计算机 里面一般默认有5个用户，除Admin外我们删除4个，当然，等下我们还得建一个属
/ B; c( m- u/ m: E 于自己的ID。 ) {7 N8 }) y3 T) P$ C2 q1 k9 A
2.从远程系统强制关机，Admin帐户也删除，一个都不留 。
" N- b7 o1 m) R/ g# L: S 3.拒绝从网络访问这台计算机 将ID删除。
+ S( a- v _! O 4.从网络访问此计算机，Admin也可删除，如果你不使用类似3389服务。
, X* J& [% r( ?1 e 5.通过远端强制关机。删掉。
3 t0 k. n0 v5 \" k 14、终端服务配置 8 t- o2 a/ s2 D
打开管理工具，终端服务配置：
6 m9 w; q5 r6 Q- v* Q8 u 1.打开后，点连接，右键，属性，远程控制，点不允许远程控制。 5 x; k; ?0 T" p& q" b
2.常规，加密级别，高，在使用标准Windows验证上点√!
2 E& J* z& Y5 \0 V L$ o n- O; T. B 3.网卡，将最多连接数上设置为0。
& x5 L* {$ p4 z) e. }4 A. a 4.高级，将里面的权限也删除。 , a6 V; K' o. j1 @9 g9 C" C" E
再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话。
8 t+ n: D, D6 f 15、用户和组策略
! X* B' E8 @, P- V 打开管理工具，计算机管理—本地用户和组—用户： ) o$ ` k; h: u
删除Support_388945a0用户等等只留下你更改好名字的adminisrator权限。 $ a- U3 Z1 A% T) L' W/ R' B5 x: e
计算机管理—本地用户和组—组，组.我们就不分组了。 $ h$ G3 C6 B( [4 U& Y
2007-10-12 10:51:33 回复此发言 / _ K' A* F" X& V7 c E
4 回复:17高招打造一道超级电脑防火墙 ; Z( k8 W+ O" {
QQJT501 12、本地安全策略
+ x6 W# @& G( i o; a 打开管理工具，找到本地安全设置—本地策略—安全选项：
2 L4 [& w4 q# h7 Y( U6 } 1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要，? 但是我个人是不需要直接输入密码登 6 O, l6 M M6 T# E: M! b+ F
陆的]。
; V. ?* u( E8 c4 U+ [& N1 S 2.网络访问.不允许SAM帐户的匿名枚举 启用。
, J! N( S; O, g8 M) U" V. \ 3.网络访问.可匿名的共享 将后面的值删除。 5 Y) |; X! S; s Q" d5 z
4.网络访问.可匿名的命名管道 将后面的值删除。
7 S& t) n$ z) ?, ~1 y( B* c& k 5.网络访问.可远程访问的注册表路径 将后面的值删除。 * P- d# w& y. m4 V) E: a! k
6.网络访问.可远程访问的注册表的子路径 将后面的值删除。
: a; P Z- S, u1 W9 |0 B 7.网络访问.限制匿名访问命名管道和共享。 ! o' g6 m7 ^- h& u
8.帐户.（前面已经详细讲过拉 ）。
3 j |/ d# s& f% B# K; b* e9 }+ i 13、用户权限分配策略 * D. m% y! s2 C7 U% i/ A
打开管理工具，找到本地安全设置—本地策略—用户权限分配：
% l* J) i3 b9 s* L7 B+ q. H) R+ \ 1.从网络访问计算机 里面一般默认有5个用户，除Admin外我们删除4个，当然，等下我们还得建一个属 & U" o2 U* x' E$ Q" U, ?
于自己的ID。 7 x! Z% @! \: B5 ^* Z4 z$ O: Y
2.从远程系统强制关机，Admin帐户也删除，一个都不留 。
* O, C6 z/ y a: x8 o3 S 3.拒绝从网络访问这台计算机 将ID删除。
' G3 X% c8 y5 {/ d4 z 4.从网络访问此计算机，Admin也可删除，如果你不使用类似3389服务。 " h" n. \" a3 x/ ?' ?- G
5.通过远端强制关机。删掉。
0 m; d$ {4 h1 i 14、终端服务配置 2 u7 r c1 r8 L/ G6 \5 B
打开管理工具，终端服务配置：
U6 N8 y7 @3 Z4 N/ W2 { 1.打开后，点连接，右键，属性，远程控制，点不允许远程控制。
! C. J0 ?* L5 \/ x1 _ 2.常规，加密级别，高，在使用标准Windows验证上点√! 1 [$ N- r. u* `1 k+ [
3.网卡，将最多连接数上设置为0。
. W. Y4 c, ?, \& U 4.高级，将里面的权限也删除。 0 ^: g$ j$ w- N' C
再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话。
E6 a- ]- s8 g, w* J 15、用户和组策略 ( N4 B3 F5 q; N
打开管理工具，计算机管理—本地用户和组—用户：
' m0 z6 c2 _* D0 c/ J9 {" y I 删除Support_388945a0用户等等只留下你更改好名字的adminisrator权限。 . b, ]4 G# p/ H! {: j
计算机管理—本地用户和组—组，组.我们就不分组了。 8 g F' R: E* H$ p
VISTA的就不要尝试了
3 Q' y; G$ q5 S- y8 t* f) E' I( |! q/ J/ E/ {! u6 n$ h# q5 u
|
|
雷达卡
发表于 2007-10-17 11:20:43
提升卡
抢沙发