第 16章 Windows Server 2003
安全管理
本章学习目标
? 本章主要讲解 Windows Server 2003服务器
安全配置与管理，保证服务器自身安全，
提供可靠服务。通过本章学习，读者应该
掌握以下知识：
? Windows Server 2003安全策略；
? Windows Server 2003安全配置和分析；
? 管理安全性模板；
? Windows Server 2003安全性措施。
网络安全策略
? 网络安全策略主要包括两大部分，即访问
控制策略和信息加密策略。访问控制策略
是网络安全防范和保护的主要策略，也是
维护网络系统安全、保护网络资源的重要
手段，用以保证网络资源不被非法使用和
访问。信息加密策略保证数据传输中的安
全，即保证数据完整性和机密性。各种安
全策略相互配合才能实现对系统的全面保
护。
16.1 Windows Server 2003安全策略
? Windows Server 2003安全策略定义了用户在使用计算机、
运行应用程序和访问网络等方面的行为，通过这些约束避
免对网络安全性的有意或无意的伤害。
? 安全策略是一个事先定义好的一系列应用计算机的行为准
则，应用这些安全策略保证用户有一致的工作方式，防止
用户破坏计算机上的各种重要的配置，保护网络上的敏感
数据。
? 在 Windows Server 2003中安全策略分为“本地安全设置”
和“组策略”两种。本地安全设置实现基于单个计算机的
安全性，对于较小的企业或组织，或者是在网络中没有应
用活动目录的网络，通常使用本地安全设置；而组策略可
以在站点,OU（组织单元）或域的范围内实现，通常应
用于较大规模并且实施活动目录的网络中。
16.2 Windows Server 2003安全配
置和分析 (1)
? 打开“开始” /“管理工具”程序组，运行
“本地安全设置”应用程序。在“本地安
全设置”窗口的左侧的树型窗口中单击,+”
号来扩展条目，如图 16-1所示，进行相应
的设置
16.2 Windows Server 2003安全配
置和分析 (2)
图 16- 1 安全设置
16.2 Windows Server 2003安全配
置和分析 (3)
? 例如，用户可以设置密码的安全策略，选
中“账户策略” /“密码策略”，然后在右边
的窗口中选择要设置的选项，如选中“密
码长度最小值”，在这里可以设置密码的
长度最少为 8个字符。
? 又如，选择安全设置中的“本地策略” /“安
全选项”，可以设置交互登录方式，如不
需按 CTRL+ALT+DEL组合键，如图 16-2所
示。双击该项目并设置成“已启用”即可。
16.2 Windows Server 2003安全配
置和分析 (4)
图 16-2 安全选项设置
16.3 管理安全性模板 (1)
? Windows Server 2003中包含了许多安全模
板，分别适用于不同的安全需求。利用这
些模板，用户可以简化策略的设定和实施
操作。它们通常包含了大多数的安全设定，
用户也可以按照需要继续配置，以适应一
个具体网络的需要。 Windows Server 2003
提供了四种安全级别的模板：基本、兼容、
安全和高度安全，它们存放在
%SystemRoot%\security\templates文件夹
中。
16.3 管理安全性模板 (2)
? 1．基本（ Basic）
? 该级别的模板为 Windows Server 2003定义的默
认安全级别，可以用作基础配置。 setup
security.inf 模板文件是在安装期间针对每台计算
机创建的。取决于所进行的安装是完整安装还是
升级，该模板在不同的计算机中可能不同。 Setup
security.inf 代表了在安装操作系统期间所应用的
默认安全设置，包括对系统驱动器的根目录的文
件权限。它可以用在服务器或客户机上，但不能
应用于域控制器。此模板的某些部分可应用于故
障恢复。
16.3 管理安全性模板 (3)
? 2．兼容（ Compatible）
? 提供比基本模板更高的安全级别，但仍然
努力兼容标准的商用应用程序的所有功能，
使之仍然可以有效的运行。该模板为兼容
工作站或服务器模板，模板文件是
compatws.inf。
16.3 管理安全性模板 (4)
? 3．安全（ Secure）
? 当安全性被视为重要的考虑因素时应选用
此类模板。这种模板提供多种安全性，可
能会影响一些商用应用程序某些功能的运
行。其中包括：安全的工作站或服务器模
板 securews.inf和安全的 DC（域控制器）
模板 securedc.inf。
16.3 管理安全性模板 (5)
? 4．高度安全（ high）
? 提供预定义下的最高安全性，安全性被视
为首要考虑的因素时选用此类模板。该级
别模板不会考虑应用程序是否会受到这些
设定的影响，因此要慎重。模板包括高安
全的工作站或服务器模板文件 hisecdc.inf和
高安全的 DC模板文件 hisecws.inf。
16.3 管理安全性模板 (6)
? 导入安全模板的步骤如下：
? 步骤一，打开“开始” /“管理工具”；
? 步骤二，运行“本地安全策略”应用程序，
打开“本地安全策略”管理窗口；
? 步骤三，在左侧窗体中选择根项目“安全
设置”，选择菜单“操作” /“导入策略”，
打开“策略导入来源”对话框，选择需要
的策略模板文件，如选择,securedc.inf”,
点击“打开”即可完成设置。
16.4 Windows Server 2003安全性
措施 (1)
? 1．版本的选择
? Windows Server 2003有各种语言的版本，
对于我们来说，可以选择英文版或简体中
文版，如果语言不成为障碍的情况下，可
以考虑选择英文版。因为微软 Windows
Server 2003中文版的 Bug远远多于英文版，
而补丁程序一般还会推迟至少半个月。
16.4 Windows Server 2003安全性
措施 (2)
? 2．组件的定制
? Windows Server 2003在默认情况下会安装一些
常用的组件，但这种默认安装可能带来安全隐患。
对于管理员应该明确到底需要哪些服务，只安装
确实需要的服务，根据安全原则，最少的服务 +最
小的权限 =最大的安全。典型的 WEB服务器需要
的最小组件选择是：只安装 IIS的 Com Files,IIS
Snap-In,WWW Server组件。而应该谨慎安装
IIS中的其他组件，例如 Indexing Service，
FrontPage server 2003 Extensions,Internet
Service Manager (HTML)等。
16.4 Windows Server 2003安全性
措施 (３ )
? 3．正确安装 Windows Server 2003
? （ 1）分区和逻辑盘的分配
? （ 2）安装顺序的选择与系统补丁
16.4 Windows Server 2003安全性
措施 (４ )
? 4．安全配置 Windows Server 2003
? （ 1）端口
? （ 2） IIS服务
? （ 3）应用程序配置
? （ 4）删除不需要的服务
16.4 Windows Server 2003安全性
措施 (４ -1)
? （ 1）端口
? 端口是计算机和外部网络相连的逻辑接口，
也是计算机的第一道屏障，端口配置正确
与否直接影响到主机的安全。一般来说，
比较安全的做法是，只打开你需要使用的
端口。很多黑客攻击程序是针对特定服务
和特定服务端口的，因此，为了降低遭受
黑客攻击的危险，应该关闭那些不必要的
服务和服务端口。
16.4 Windows Server 2003安全性
措施 (4-1)
16.4 Windows Server 2003安全性
措施 (4-2)
? （ 2） IIS服务
? IIS是微软的组件中漏洞最多的一个，平均两三个
月就要出一个漏洞，所以我们应该细致配置 IIS。
例如，信息服务发布目录 Inetpub安装在非系统分
区上，如 D盘，更改名字不用系统默认目录名。
在 IIS管理器中将主目录指向你自己设定的路径即
可。又如，删除 IIS安装时默认的 scripts等虚拟目
录，谨慎建立所需目录，同时需要什么权限开什
么权限。特别注意写权限和执行程序的权限，没
有绝对需要不要给目录分配这些权限。
16.4 Windows Server 2003安全性
措施 (3)
? （ 3）应用程序配置
? 删除 IIS管理器中不必要的映射。例如，在 IIS管理
器中鼠标单击主机，选择“网站”，鼠标右键点
击选择“属性”菜单，选择“主目录”配置页，
选择“配置”，打开“应用程序配置”对话框，
如图 16-5所示，在“映射”选项页中根据需要可
以删除不必要的应用程序类型。选择“调试”选
项页，如图 16-6所示，将脚本错误消息改为发送
文本，否则 ASP出错的时候用户将知道你的程序、
网络、数据库结构。错误文本可自己定制，设置
好后点按“确定”退出。
16.4 Windows Server 2003安全性
措施 (3)
16.4 Windows Server 2003安全性
措施 (3)
16.4 Windows Server 2003安全性
措施 (４ )
? （ 4）删除不需要的服务
? Windows Server 2003的许多服务器允许用户远
程访问本机，如用户通过 Telnet方式登录等，并
可在控制台上执行一系列操作，如装载和卸载模
块，安装和删除软件。这虽然带来了一些方便，
但也给非法用户访问和控制服务器带来了可乘之
机。可以通过以下方法关掉一些不必要的服务，
选择“开始” /“管理工具” /“服务”，打开如图
16-7所示“服务”管理窗口，查找并选中要停止
的服务（如 Telnet），鼠标右键单击选择“停止”
即可。
16.4 Windows Server 2003安全性
措施 (４ )
16.4 Windows Server 2003安全性
措施 (5)
? 5．账号安全
? Windows Server 2003的账号安全管理十分
重要。首先,Windows Server 2003的默认
安装允许任何用户通过匿名用户得到系统
所有账号、共享列表，这个本来是为了方
便局域网用户共享文件的，但是一个远程
用户也可以得到你的用户列表并从而设法
破解用户密码。
16.4 Windows Server 2003安全性
措施 (5)
16.4 Windows Server 2003安全性
措施 (６ )
? 6．安全日志
? Windows Server 2003的默认安装是不开任
何安全审核的。在“本地安全设置”管理
程序的“本地策略” /“审核策略”中设置相
应的审核，如图 16-9所示界面。
16.4 Windows Server 2003安全性
措施 (6)
图 16-9 本地安全设置
16.4 Windows Server 2003安全性
措施 (7)
? 7．目录和文件权限
? （ 1）权限是累计的。
? （ 2）拒绝的权限要比允许的权限级别高
（拒绝优先）
? （ 3）文件权限比文件夹权限高。
? （ 4）仅给用户真正需要的权限，权限的最
小化原则是安全的重要保障。
本章小结
? 本章主要介绍了 Windows Server 2003的安
全策略，并以本地安全策略为例介绍
Windows Server 2003的安全策略的设置和
分析。介绍了适用于不同场合安全需求的
四种模式。最后介绍了 Windows Server
2003提供的安全措施，并详细的介绍了从
安装到使用时可能出现的漏洞，以及安全
策略的设置，如帐号设置、审核设置和权
限设置等方法。
安全管理
本章学习目标
? 本章主要讲解 Windows Server 2003服务器
安全配置与管理，保证服务器自身安全，
提供可靠服务。通过本章学习，读者应该
掌握以下知识：
? Windows Server 2003安全策略；
? Windows Server 2003安全配置和分析；
? 管理安全性模板；
? Windows Server 2003安全性措施。
网络安全策略
? 网络安全策略主要包括两大部分，即访问
控制策略和信息加密策略。访问控制策略
是网络安全防范和保护的主要策略，也是
维护网络系统安全、保护网络资源的重要
手段，用以保证网络资源不被非法使用和
访问。信息加密策略保证数据传输中的安
全，即保证数据完整性和机密性。各种安
全策略相互配合才能实现对系统的全面保
护。
16.1 Windows Server 2003安全策略
? Windows Server 2003安全策略定义了用户在使用计算机、
运行应用程序和访问网络等方面的行为，通过这些约束避
免对网络安全性的有意或无意的伤害。
? 安全策略是一个事先定义好的一系列应用计算机的行为准
则，应用这些安全策略保证用户有一致的工作方式，防止
用户破坏计算机上的各种重要的配置，保护网络上的敏感
数据。
? 在 Windows Server 2003中安全策略分为“本地安全设置”
和“组策略”两种。本地安全设置实现基于单个计算机的
安全性，对于较小的企业或组织，或者是在网络中没有应
用活动目录的网络，通常使用本地安全设置；而组策略可
以在站点,OU（组织单元）或域的范围内实现，通常应
用于较大规模并且实施活动目录的网络中。
16.2 Windows Server 2003安全配
置和分析 (1)
? 打开“开始” /“管理工具”程序组，运行
“本地安全设置”应用程序。在“本地安
全设置”窗口的左侧的树型窗口中单击,+”
号来扩展条目，如图 16-1所示，进行相应
的设置
16.2 Windows Server 2003安全配
置和分析 (2)
图 16- 1 安全设置
16.2 Windows Server 2003安全配
置和分析 (3)
? 例如，用户可以设置密码的安全策略，选
中“账户策略” /“密码策略”，然后在右边
的窗口中选择要设置的选项，如选中“密
码长度最小值”，在这里可以设置密码的
长度最少为 8个字符。
? 又如，选择安全设置中的“本地策略” /“安
全选项”，可以设置交互登录方式，如不
需按 CTRL+ALT+DEL组合键，如图 16-2所
示。双击该项目并设置成“已启用”即可。
16.2 Windows Server 2003安全配
置和分析 (4)
图 16-2 安全选项设置
16.3 管理安全性模板 (1)
? Windows Server 2003中包含了许多安全模
板，分别适用于不同的安全需求。利用这
些模板，用户可以简化策略的设定和实施
操作。它们通常包含了大多数的安全设定，
用户也可以按照需要继续配置，以适应一
个具体网络的需要。 Windows Server 2003
提供了四种安全级别的模板：基本、兼容、
安全和高度安全，它们存放在
%SystemRoot%\security\templates文件夹
中。
16.3 管理安全性模板 (2)
? 1．基本（ Basic）
? 该级别的模板为 Windows Server 2003定义的默
认安全级别，可以用作基础配置。 setup
security.inf 模板文件是在安装期间针对每台计算
机创建的。取决于所进行的安装是完整安装还是
升级，该模板在不同的计算机中可能不同。 Setup
security.inf 代表了在安装操作系统期间所应用的
默认安全设置，包括对系统驱动器的根目录的文
件权限。它可以用在服务器或客户机上，但不能
应用于域控制器。此模板的某些部分可应用于故
障恢复。
16.3 管理安全性模板 (3)
? 2．兼容（ Compatible）
? 提供比基本模板更高的安全级别，但仍然
努力兼容标准的商用应用程序的所有功能，
使之仍然可以有效的运行。该模板为兼容
工作站或服务器模板，模板文件是
compatws.inf。
16.3 管理安全性模板 (4)
? 3．安全（ Secure）
? 当安全性被视为重要的考虑因素时应选用
此类模板。这种模板提供多种安全性，可
能会影响一些商用应用程序某些功能的运
行。其中包括：安全的工作站或服务器模
板 securews.inf和安全的 DC（域控制器）
模板 securedc.inf。
16.3 管理安全性模板 (5)
? 4．高度安全（ high）
? 提供预定义下的最高安全性，安全性被视
为首要考虑的因素时选用此类模板。该级
别模板不会考虑应用程序是否会受到这些
设定的影响，因此要慎重。模板包括高安
全的工作站或服务器模板文件 hisecdc.inf和
高安全的 DC模板文件 hisecws.inf。
16.3 管理安全性模板 (6)
? 导入安全模板的步骤如下：
? 步骤一，打开“开始” /“管理工具”；
? 步骤二，运行“本地安全策略”应用程序，
打开“本地安全策略”管理窗口；
? 步骤三，在左侧窗体中选择根项目“安全
设置”，选择菜单“操作” /“导入策略”，
打开“策略导入来源”对话框，选择需要
的策略模板文件，如选择,securedc.inf”,
点击“打开”即可完成设置。
16.4 Windows Server 2003安全性
措施 (1)
? 1．版本的选择
? Windows Server 2003有各种语言的版本，
对于我们来说，可以选择英文版或简体中
文版，如果语言不成为障碍的情况下，可
以考虑选择英文版。因为微软 Windows
Server 2003中文版的 Bug远远多于英文版，
而补丁程序一般还会推迟至少半个月。
16.4 Windows Server 2003安全性
措施 (2)
? 2．组件的定制
? Windows Server 2003在默认情况下会安装一些
常用的组件，但这种默认安装可能带来安全隐患。
对于管理员应该明确到底需要哪些服务，只安装
确实需要的服务，根据安全原则，最少的服务 +最
小的权限 =最大的安全。典型的 WEB服务器需要
的最小组件选择是：只安装 IIS的 Com Files,IIS
Snap-In,WWW Server组件。而应该谨慎安装
IIS中的其他组件，例如 Indexing Service，
FrontPage server 2003 Extensions,Internet
Service Manager (HTML)等。
16.4 Windows Server 2003安全性
措施 (３ )
? 3．正确安装 Windows Server 2003
? （ 1）分区和逻辑盘的分配
? （ 2）安装顺序的选择与系统补丁
16.4 Windows Server 2003安全性
措施 (４ )
? 4．安全配置 Windows Server 2003
? （ 1）端口
? （ 2） IIS服务
? （ 3）应用程序配置
? （ 4）删除不需要的服务
16.4 Windows Server 2003安全性
措施 (４ -1)
? （ 1）端口
? 端口是计算机和外部网络相连的逻辑接口，
也是计算机的第一道屏障，端口配置正确
与否直接影响到主机的安全。一般来说，
比较安全的做法是，只打开你需要使用的
端口。很多黑客攻击程序是针对特定服务
和特定服务端口的，因此，为了降低遭受
黑客攻击的危险，应该关闭那些不必要的
服务和服务端口。
16.4 Windows Server 2003安全性
措施 (4-1)
16.4 Windows Server 2003安全性
措施 (4-2)
? （ 2） IIS服务
? IIS是微软的组件中漏洞最多的一个，平均两三个
月就要出一个漏洞，所以我们应该细致配置 IIS。
例如，信息服务发布目录 Inetpub安装在非系统分
区上，如 D盘，更改名字不用系统默认目录名。
在 IIS管理器中将主目录指向你自己设定的路径即
可。又如，删除 IIS安装时默认的 scripts等虚拟目
录，谨慎建立所需目录，同时需要什么权限开什
么权限。特别注意写权限和执行程序的权限，没
有绝对需要不要给目录分配这些权限。
16.4 Windows Server 2003安全性
措施 (3)
? （ 3）应用程序配置
? 删除 IIS管理器中不必要的映射。例如，在 IIS管理
器中鼠标单击主机，选择“网站”，鼠标右键点
击选择“属性”菜单，选择“主目录”配置页，
选择“配置”，打开“应用程序配置”对话框，
如图 16-5所示，在“映射”选项页中根据需要可
以删除不必要的应用程序类型。选择“调试”选
项页，如图 16-6所示，将脚本错误消息改为发送
文本，否则 ASP出错的时候用户将知道你的程序、
网络、数据库结构。错误文本可自己定制，设置
好后点按“确定”退出。
16.4 Windows Server 2003安全性
措施 (3)
16.4 Windows Server 2003安全性
措施 (3)
16.4 Windows Server 2003安全性
措施 (４ )
? （ 4）删除不需要的服务
? Windows Server 2003的许多服务器允许用户远
程访问本机，如用户通过 Telnet方式登录等，并
可在控制台上执行一系列操作，如装载和卸载模
块，安装和删除软件。这虽然带来了一些方便，
但也给非法用户访问和控制服务器带来了可乘之
机。可以通过以下方法关掉一些不必要的服务，
选择“开始” /“管理工具” /“服务”，打开如图
16-7所示“服务”管理窗口，查找并选中要停止
的服务（如 Telnet），鼠标右键单击选择“停止”
即可。
16.4 Windows Server 2003安全性
措施 (４ )
16.4 Windows Server 2003安全性
措施 (5)
? 5．账号安全
? Windows Server 2003的账号安全管理十分
重要。首先,Windows Server 2003的默认
安装允许任何用户通过匿名用户得到系统
所有账号、共享列表，这个本来是为了方
便局域网用户共享文件的，但是一个远程
用户也可以得到你的用户列表并从而设法
破解用户密码。
16.4 Windows Server 2003安全性
措施 (5)
16.4 Windows Server 2003安全性
措施 (６ )
? 6．安全日志
? Windows Server 2003的默认安装是不开任
何安全审核的。在“本地安全设置”管理
程序的“本地策略” /“审核策略”中设置相
应的审核，如图 16-9所示界面。
16.4 Windows Server 2003安全性
措施 (6)
图 16-9 本地安全设置
16.4 Windows Server 2003安全性
措施 (7)
? 7．目录和文件权限
? （ 1）权限是累计的。
? （ 2）拒绝的权限要比允许的权限级别高
（拒绝优先）
? （ 3）文件权限比文件夹权限高。
? （ 4）仅给用户真正需要的权限，权限的最
小化原则是安全的重要保障。
本章小结
? 本章主要介绍了 Windows Server 2003的安
全策略，并以本地安全策略为例介绍
Windows Server 2003的安全策略的设置和
分析。介绍了适用于不同场合安全需求的
四种模式。最后介绍了 Windows Server
2003提供的安全措施，并详细的介绍了从
安装到使用时可能出现的漏洞，以及安全
策略的设置，如帐号设置、审核设置和权
限设置等方法。
