打造安全的Win 2003操作系统（下）

　　前言：

　　2003年5月22日，微软的新一代操作系统Windows Server 2003中文版开始在国内发行。从Windows95一路用到现在，笔者觉得微软在安全方面做的还算是说的过去的，虽然说漏洞很多。2003总体感觉上安全做的还不错，交互式登录、网络身份验证、基于对象的访问控制、比较完整的安全策略、数据加密保护……笔者这里要谈的这款Windows Server 2003是按默认安装的，机器配置一般。目的是通过下面介绍的安全配置，使其安全性大大加强。昨天我们刊登了上半部份，今天刊登下半部份的内容。

　　三、高级安全设置

　　1．禁止不必要的服务，杜绝隐患。
　　　　
　　服务从本质上说也只是一个程序而已，它与其他程序所不同的地方在于它提供一种特殊的功能来支持系统完成特定的工作。Windows Server 2003安装完后默认有84项服务，默认随系统启动的有36项。这里面每一项服务是否安全，特别是那些随系统启动的服务是否有被利用的可能性，这对安全来说了非常重要的。在Windows Server 2003发行后不到2个月就被人发现有了一个基于一项默认服务的漏洞，幸好这个漏洞对Windows Server 2003的危害程度较低，而且这项服务默认状态下是关闭的。下面笔者就结合自己的经验，谈一谈如何安全地配置好系统的所有服务。

　　从“管理工具”里打开“服务”，图20。可以看到系统所有服务的具体情况。这里仅以典型的Remote Registry服务为例介绍，目的在于提供一个安全配置服务的方法。在服务列表里找到Remote Registry服务，可以看到左面空白部分对这一服务的解释为“使远程用户能修改此计算机上的注册表设置。如果此服务被终止，只有此计算机上的用户才能修改注册表……”，可以看出，正常情况下并不需要这项服务，而且如果启用这项服务还可能给系统带来安全隐患，所以必须禁用。双击Remote Registry服务进入其属性设置，图21。在“启动类型”里把默认的“自动”修改为“禁用”，最后确定即可。当此服务被关闭后，一切和注册表有关的远程行为都被终止，这也使得一些恶意网页对本地注册表的修改成了泡影，网上的恶意用户也别想对注册表进行修改和设置，大大降低了系统被破坏和被中上木马的几率，达到了维护系统安全的目的。

图 20



图 21

　　一个有趣的现象是，微软对Windows Installer服务的介绍中，竟然出现了错别字！！呵呵，图22。

图 22