|
|
|
网络安全中谈到个人上网时的安全，还是先把大家可能会遇到的问题归个类吧。我们遇到的入侵方式大概包括了以下几种：
3 B+ {! U+ S' a+ N4 u! x (1) 被他人盗取密码；
- ^* M$ ?/ } t. B (2) 系统被木马攻击； 2 ~- O: H2 C! {- T) |/ [
(3) 浏览网页时被恶意的java scrpit程序攻击；
( m5 P2 k, ]& l7 S4 ` (4) QQ被攻击或泄漏信息；
' i% J2 v3 l+ z# V G (5) 病毒感染；
2 e# W" T w2 r6 p u) F (6) 系统存在漏洞使他人攻击自己。 ' s5 p7 E. g, f# t+ n' t
(7) 黑客的恶意攻击。 $ {; H* y6 ]9 n9 Y: f* n- S
下面我们就来看看通过什么样的手段来更有效的防范攻击。 ! I: m# q1 C* y; l0 y0 ?" W
1.察看本地共享资源 , E2 }% b; O, R
运行CMD输入net share，如果看到有异常的共享，那么应该关闭。但是有时你关闭共享下次开机的时候又出现了，那么你应该考虑一下，你的机器是否已经被黑客所控制了，或者中了病毒。 # z3 H, p9 X6 ]% ?" ]9 W" y
2.删除共享(每次输入一个） 9 n. L1 `5 B9 H" n
net share admin$ /delete
$ V- }4 l. }% P net share c$ /delete
* J. S& e! l8 S, b net share d$ /delete（如果有e，f，……可以继续删除）
% ]8 F4 e0 [/ R- U1 W; C 3.删除ipc$空连接
! g$ N& I) ]! y6 i 在运行内输入regedit，在注册表中找到 HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA 项里数值名称RestrictAnonymous的数值数据由0改为1。 2 y6 r0 ~1 c, n% w: ?
4.关闭自己的139端口，Ipc和RPC漏洞存在于此
- Q) s- m# A$ h7 G5 d: F% ~ 关闭139端口的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。
: h2 ?# A. l+ q 5．防止Rpc漏洞
, C1 G# ? A, o4 a0 t+ g$ w 打开管理工具——服务——找到RPC(Remote Procedure Call (RPC) Locator)服务——将故障恢复中的第一次失败，第二次失败，后续失败，都设置为不操作。 ' b+ d& ?9 h4 i# W5 }
Windwos XP SP2和Windows2000 Pro Sp4，均不存在该漏洞。
# ~* F6 Z0 }$ @$ T8 e& u 6．445端口的关闭 # T5 o4 O f1 Y* z# Y' c; {
修改注册表，添加一个键值HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一个SMBDeviceEnabled 为REG_DWORD类型键值为 0这样就ok了。
+ w8 I4 P& v6 S0 n5 C# m 7．3389的关闭 * b( Q* T( d0 J
WindowsXP：我的电脑上点右键选属性-->远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。
9 L6 `3 s) T. N Win2000server 开始-->程序-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。（该方法在XP同样适用）
, q* P) o5 K8 J 使用Windows2000 Pro的朋友注意，网络上有很多文章说在Win2000pro 开始-->设置-->控制面板-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务，可以关闭3389，其实在2000pro 中根本不存在Terminal Services。 : V2 B7 h) H* l& V3 i
8．4899的防范
9 v+ M+ l- E. Q( j 网络上有许多关于3389和4899的入侵方法。4899其实是一个远程控制软件所开启的服务端端口，由于这些控制软件功能强大，所以经常被黑客用来控制自己的肉鸡，而且这类软件一般不会被杀毒软件查杀，比后门还要安全。 ' A$ q3 l: t8 s H6 H5 {
4899不象3389那样，是系统自带的服务。需要自己安装，而且需要将服务端上传到入侵的电脑并运行服务，才能达到控制的目的。
5 y3 \/ u- N6 z 所以只要你的电脑做了基本的安全配置，黑客是很难通过4899来控制你的。
8 B6 ^5 s/ g6 A5 L2007-10-12 10:50:41 回复此发言 * h8 s8 g8 b0 q$ s6 m; l- [4 q
2 回复:17高招打造一道超级电脑防火墙 ' ]! h" v2 K6 v; j6 p6 S/ w7 i
QQJT501 9、禁用服务
" w6 U3 T3 o& @1 ` h4 ? 打开控制面板，进入管理工具——服务，关闭以下服务：
) c3 X% z; y; S. ~3 b 1.Alerter[通知选定的用户和计算机管理警报] 0 N7 k6 Z; u$ J, s& n
2.ClipBook[启用“剪贴簿查看器”储存信息并与远程计算机共享] ' J+ @9 B! j$ K1 O3 U
3.Distributed File System[将分散的文件共享合并成一个逻辑名称，共享出去，关闭后远程计算机无 5 H- W: D; I- h& `1 N- y) X
法访问共享 4 h6 \$ o0 `( ~5 T1 \7 a
4.Distributed Link Tracking Server[适用局域网分布式链接] ' g3 [3 O6 _& x' H" t' x- S
5.Human Interface Device Access[启用对人体学接口设备(HID)的通用输入访问]
# r" u) B! [* Q 6.IMAPI CD-Burning COM Service[管理 CD 录制] 6 l# ~- b& {6 o/ s" t
7.Indexing Service[提供本地或远程计算机上文件的索引内容和属性，泄露信息] \' _% Q/ R" y, X8 {
8.Kerberos Key Distribution Center[授权协议登录网络]
: S2 n- b8 h( M( W k; y4 l 9.License Logging[监视IIS和SQL如果你没安装IIS和SQL的话就停止]
+ Y, a( c; H- M/ a 10.Messenger[警报]
" T$ o1 C" }! j0 ]5 Y$ j6 _5 m0 ` 11.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客户信息收集] ( E; q( K6 e; d# V
12.Network DDE[为在同一台计算机或不同计算机上运行的程序提供动态数据交换] 8 N/ W3 ]5 f6 Q+ X& X$ d) X8 K
13.Network DDE DSDM[管理动态数据交换 (DDE) 网络共享] 1 X5 p; ^6 b" @7 o+ U/ v6 r% K9 N
14.Print Spooler[打印机服务，没有打印机就禁止吧]
# y1 u- H( l* a8 u/ T! H& a) E; f 15.Remote Desktop Help& nbsp;Session Manager[管理并控制远程协助] % H* H7 R2 {# u) s$ A3 f
16.Remote Registry[使远程计算机用户修改本地注册表]
4 @8 h5 r2 H: G 17.Routing and Remote Access[在局域网和广域往提供路由服务.黑客理由路由服务刺探注册信息] ' x2 f2 l& T3 q& g- y
18.Server[支持此计算机通过网络的文件、打印、和命名管道共享] / F3 B0 v" q$ d
19.Special Administration Console Helper[允许管理员使用紧急管理服务远程访问命令行提示符] ; K- t' f+ ?" n' e6 ~' ]& A, m. e- g6 D
20.TCP/IPNetBIOS Helper[提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支
1 h' B, O- F: V2 |2 |6 ^+ c& a 持而使用户能够共享文件 、打印和登录到网络]
, d2 \ G& A/ ] z 21.Telnet[允许远程用户登录到此计算机并运行程序]
) e3 U9 P. F6 ^( L 22.Terminal Services[允许用户以交互方式连接到远程计算机] + k' @+ i9 {% J% Z- v# ^4 I
23.Window s Image Acquisition (WIA)[照相服务，应用与数码摄象机] " ^3 Z x, I3 F' e2 ?5 E
如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有可能是黑客使用控制程序的服务端。 " S1 g) |( [6 v3 G: u& H" E0 y% ~
10、账号密码的安全原则
) i- O$ k: H4 `( c9 ? 首先禁用guest帐号，将系统内建的administrator帐号改名（改的越复杂越好，最好改成中文的），而且要设置一个密码，最好是8位以上字母数字符号组合。 $ {; t. _: _; @4 |4 e' g5 X7 U3 P* g x
如果你使用的是其他帐号，最好不要将其加进administrators，如果加入administrators组，一定也要设置一个足够安全的密码，同上如果你设置adminstrator的密码时，最好在安全模式下设置，因为经我研究发现，在系统中拥有最高权限的帐号，不是正常登陆下的adminitrator帐号，因为即使有了这个帐号，同样可以登陆安全模式，将sam文件删除，从而更改系统的administrator的密码！而在安全模式下设置的administrator则不会出现这种情况，因为不知道这个administrator密码是无法进入安全模式。权限达到最大这个是密码策略：用户可以根据自己的习惯设置密码，下面是我建议的设置。 * Y0 M# Y2 ?0 t( `$ \. b
打开管理工具—本地安全设置—密码策略：
7 [* J( ]: \: D8 J 1.密码必须符合复杂要求性.启用 8 w1 u% `3 ?( j
2.密码最小值.我设置的是8 4 L. L( o5 b6 a
3.密码最长使用期限.我是默认设置42天
/ p; ~' \+ U! z" V, l: G 4.密码最短使用期限0天 / l; _6 m- `# G+ j/ j
5.强制密码历史 记住0个密码
3 m5 G+ n* p+ T2 ]8 V 6.用可还原的加密来存储密码 禁用
$ z4 a+ v4 p& b M2 C 11、本地策略
+ r6 w) A, Z- c1 } 这个很重要，可以帮助我们发现那些心存叵测的人的一举一动，还可以帮助我们将来追查黑客。
* _9 `6 N. O/ j8 B1 c (虽然一般黑客都会在走时会清除他在你电脑中留下的痕迹，不过也有一些不小心的) # S) S: y& k9 {0 t, k; ^
打开管理工具，找到本地安全设置—本地策略—审核策略： ! l: v4 i: {) N' I% v0 z- b2 o
1.审核策略更改 成功失败 9 I- y' b7 p" q* [; F
2.审核登陆事件 成功失败
$ @: N' w; q! m5 Z( W6 a/ Z 3.审核对象访问 失败
" E9 e2 u/ t1 g% X' I 4.审核跟踪过程 无审核 ) C; ~: X" f) V/ A# J6 U
5.审核目录服务访问 失败 " Z. W6 q) d+ x6 b9 s; l% i }
6.审核特权使用 失败
2 ^) `4 I: N" f8 Q 7.审核系统事件 成功失败
5 Z$ l' z% e3 Z* w# N& b 8.审核帐户登陆时间 成功失败
1 w* U4 \4 k6 k- a! a m( J 9.审核帐户管理 成功失败
, }0 \" R7 _+ H2 u0 I &nb sp;然后再到管理工具找到事件查看器：
; `+ M. l1 ?- @* Y2 y 应用程序：右键>属性>设置日志大小上限，我设置了50mb，选择不覆盖事件。 . J( z; M7 j" P3 b4 X, w
安全性：右键>属性>设置日志大小上限，我也是设置了50mb，选择不覆盖事件。
% D7 a+ h& ^7 {3 G y4 ~ 系统：右键>属性>设置日志大小上限，我都是设置了50mb，选择不覆盖事件。 3 q( k8 U6 i( z( {6 _
2007-10-12 10:51:14 回复此发言
5 \* D% E2 b( p! S 3 回复:17高招打造一道超级电脑防火墙 ' o: n% Q# k% ]# Z6 y. r/ ]" y
QQJT501 12、本地安全策略 # n0 X7 v9 }1 @8 ?. T' d) o. H
打开管理工具，找到本地安全设置—本地策略—安全选项： % l6 C$ ~* D" I) `! M
1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要，? 但是我个人是不需要直接输入密码登 0 M+ S2 p- V: D/ s
陆的]。
. ^9 P' P! n7 ]) C9 y0 w& U 2.网络访问.不允许SAM帐户的匿名枚举 启用。
: Q; @9 D) k- O C, V4 I! A* w: b 3.网络访问.可匿名的共享 将后面的值删除。 & K+ }/ S: ~6 u( d' T, D) t3 [
4.网络访问.可匿名的命名管道 将后面的值删除。
- S+ _9 \7 o D% H2 I6 |: X# j( [ 5.网络访问.可远程访问的注册表路径 将后面的值删除。 ; s: F) l" k" S5 S: k
6.网络访问.可远程访问的注册表的子路径 将后面的值删除。
2 W3 q# t4 t# l/ { 7.网络访问.限制匿名访问命名管道和共享。 / R0 u" B/ U( I9 E, E4 V3 X4 P
8.帐户.（前面已经详细讲过拉 ）。
- u! j4 s+ X9 x1 G0 }* l& p 13、用户权限分配策略
/ N! h) O5 j' P5 y9 V8 Q, t 打开管理工具，找到本地安全设置—本地策略—用户权限分配： 2 J3 a" q0 D( @% [
1.从网络访问计算机 里面一般默认有5个用户，除Admin外我们删除4个，当然，等下我们还得建一个属 3 G9 D* I3 ]) H6 L
于自己的ID。
+ z3 S. |4 k( e! e0 A. w% b 2.从远程系统强制关机，Admin帐户也删除，一个都不留 。
" [' w* ~# e; v0 e$ ~6 g 3.拒绝从网络访问这台计算机 将ID删除。
Y* i: Z$ R0 |2 c; |% Z6 I 4.从网络访问此计算机，Admin也可删除，如果你不使用类似3389服务。
* O0 O' }7 V- f: q 5.通过远端强制关机。删掉。
+ I: P1 E' y% l* @1 R 14、终端服务配置 . y0 @; K* h: k* _" i6 z- v+ h; Q
打开管理工具，终端服务配置： 3 Y' V6 x4 \" m
1.打开后，点连接，右键，属性，远程控制，点不允许远程控制。
/ h1 J9 W( h; o5 P3 y 2.常规，加密级别，高，在使用标准Windows验证上点√!
" g+ A3 ]7 p, j& q) U# Y x 3.网卡，将最多连接数上设置为0。 6 ~/ ?$ G6 n* l; \# b" B* b
4.高级，将里面的权限也删除。
! y+ z: P) q8 C 再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话。
4 O) i7 Z0 B. ^" b% i 15、用户和组策略 ! B0 ^) w) J6 s$ y, R( ~
打开管理工具，计算机管理—本地用户和组—用户：
! `. ]( b8 E* ~: R& v" K 删除Support_388945a0用户等等只留下你更改好名字的adminisrator权限。 ! Z' K2 t; [/ x" T5 F$ D" }, h/ v
计算机管理—本地用户和组—组，组.我们就不分组了。 / V2 n0 D7 Q) t2 H: q
2007-10-12 10:51:33 回复此发言 * p0 F3 a% k! m$ n' F
4 回复:17高招打造一道超级电脑防火墙 - Z0 A* p4 Z' O. y
QQJT501 12、本地安全策略
# N7 h0 d* N; l0 g c s: q7 Y 打开管理工具，找到本地安全设置—本地策略—安全选项： , \2 ^ ^6 d# Z+ P% H7 C
1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要，? 但是我个人是不需要直接输入密码登 / R7 k; A) E! r0 U' `' W1 k+ w
陆的]。 0 x2 e! S# T5 u4 v
2.网络访问.不允许SAM帐户的匿名枚举 启用。 3 Q. ^1 q: W. k" s3 C/ t, J2 k
3.网络访问.可匿名的共享 将后面的值删除。 ; [$ f- \2 a& Z8 B3 l
4.网络访问.可匿名的命名管道 将后面的值删除。 0 @) z& ^/ a+ X! Y( l9 z% L
5.网络访问.可远程访问的注册表路径 将后面的值删除。 " _* X3 s( ~9 Q2 o p% n
6.网络访问.可远程访问的注册表的子路径 将后面的值删除。
+ m; V1 r( C6 O% s( c9 b/ L4 | 7.网络访问.限制匿名访问命名管道和共享。
/ Y6 ~ u8 g5 t X5 Q& r 8.帐户.（前面已经详细讲过拉 ）。 - d" W$ V) l0 Y/ v4 N3 p5 J6 k8 k
13、用户权限分配策略
% E3 d% G& Z9 }7 c4 c 打开管理工具，找到本地安全设置—本地策略—用户权限分配： : n8 B8 ~5 H, u. \ h! ^/ U
1.从网络访问计算机 里面一般默认有5个用户，除Admin外我们删除4个，当然，等下我们还得建一个属 3 R& D& E, b! ]- l
于自己的ID。
* L4 C" h) p; k. r* d* m9 \5 M5 q, e 2.从远程系统强制关机，Admin帐户也删除，一个都不留 。
1 p: O; c9 D2 j 3.拒绝从网络访问这台计算机 将ID删除。
& Q `8 r/ z7 n5 o 4.从网络访问此计算机，Admin也可删除，如果你不使用类似3389服务。
$ `- x& k$ }, j2 x* g 5.通过远端强制关机。删掉。
4 y. ?9 k/ @% @) q/ W8 _4 h- Z 14、终端服务配置 ) O! F/ g) k+ m; _6 ?2 F+ \/ [
打开管理工具，终端服务配置： 6 [2 V$ V; D2 F4 ~0 I
1.打开后，点连接，右键，属性，远程控制，点不允许远程控制。
3 e+ @- T+ _* l0 j 2.常规，加密级别，高，在使用标准Windows验证上点√! / ~- n' t9 h$ X
3.网卡，将最多连接数上设置为0。
0 C5 ]" N: H7 H9 ~. i5 F 4.高级，将里面的权限也删除。
" ?* W0 g' ?( U7 j 再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话。 & B/ v1 Q- ~5 m
15、用户和组策略 1 A2 H$ O( ~* C- _' T. C
打开管理工具，计算机管理—本地用户和组—用户： . `( S4 R$ z, e1 [& u) ]7 q
删除Support_388945a0用户等等只留下你更改好名字的adminisrator权限。 9 _3 G" W0 T0 b
计算机管理—本地用户和组—组，组.我们就不分组了。
+ u- [" b- [. dVISTA的就不要尝试了% y3 x; l6 S3 M. ?# F6 j& d
0 l( x) J+ V* Y7 j c" A |
|
雷达卡
发表于 2007-10-17 11:20:43
提升卡
抢沙发
发表于 2007-10-17 12:30:11