第 1 章 - 設定 Windows 2000 Server 安全性的簡介
.gif)
本頁索引
各章內容簡介
適用對象
設定 Windows 2000 Server 解決方案安全性的案例
樣式慣例
摘要
歡迎使用《設定 Microsoft® Windows® 2000 Server 的安全性》解決方案手冊。本手冊將告訴您在作業環境中評估 Windows 2000 Server 特有的安全性風險時，可以使用哪些最佳的資訊和分析工具，接下來會提供詳細的指引，教您如何在 Windows 2000 Server 中建立增強的安全性設定及功能以降低風險。最後則提供關於維護伺服器的安全的詳細指示。如果您是處理 Windows 2000 Server 環境的顧問、設計人員或系統工程師，本手冊非常適合您使用。
本手冊已經過 Microsoft 工程小組、顧問和支援工程師以及客戶和合作廠商的審閱及認可，具有以下特點：
- 經過證實 – 根據實際操作經驗寫成
- 值得信賴 – 提供最佳可用建議
- 正確無誤 – 經過技術驗證和測試
- 易於執行 – 提供成功作業的步驟
- 切中要點 – 解決實際的問題
為了儘可能表達所有的考量，這裡以虛構的公司搭配真實的技術案例的方式呈現，而非討論在貴組織中設定 Windows 2000 Server 安全性的不同方法。這裡的範例代表了絕大部分的 Windows 2000 Server 部署情況。這些最新的伺服器安全性設定最佳實務，是與在多種環境中實際執行過 Windows 2000 Server 的顧問和系統工程師合作下所產生的。第 2 到第 10 章包含了逐步的安全性程序，藉由執行這些工作清單，您可將 Windows 2000 Server 從現在的狀況調整為最佳狀態。如果您想就這裡的資訊進行概念上的深入討論，請參考 Microsoft® Windows® 2000 Resource 和 Security Resource Kits 或 Microsoft® TechNet。
無論您使用哪一種電腦環境，都應當認真地看待安全性的問題。許多公司所犯的錯誤，是低估了資訊科技 (IT) 環境的價值，因為它們未考慮到實際存在的間接成本。如果環境中的伺服器遭受嚴重的攻擊，有可能會對整個組織造成很大的損害。例如，假設攻擊行為導致企業網站當機，則可能造成營收的損失或對客戶信心的打擊，而導致企業的獲利大幅受挫。因此在評估安全性成本時，也應該包含遭受駭客攻擊以及 IT 功能停擺所付出的間接成本。
與安全性相關的漏洞、風險和暴露分析，可以讓您瞭解在網路環境中，所有的電腦系統在安全性及可用性之間都有一種平衡狀態。本手冊將告訴您如何識別網路環境中的風險、找出環境適用的安全性等級，以及達成此安全性等級所需要執行的步驟。雖然本書的目標讀者是企業用戶，但是大部份的內容都適用於各種規模的公司。
這裡虛構的客戶和技術實作狀況可能與您的狀況並不完全雷同，但是透過「安全性風險管理準則」(SRMD，Security Risk Management Discipline)，您將可以識別出任何常見的漏洞和風險，以及您的環境特有的狀況。接下來，您便可以對這些狀況進行評估並套用緩和步驟，以設定伺服器的安全性。
如果要發揮本手冊的最大功用，請閱讀整本手冊。撰寫本手冊的小組希望您覺得本手冊對您有幫助、資訊豐富且有趣。
各章內容簡介
《設定 Windows 2000 Server 的安全性》解決方案手冊包含 11 章。每一章都是以端對端的解決方案程序為基礎，在環境中設定 Windows 2000 Server 安全性時，這些程序是必要的。
本解決方案手冊中的各章與「IT 生命週期」相符，此週期包含驗證過的業界標準實務，如下列圖 1.1 所指出。在另一本《Securing Windows 2000 Services Delivery Guide》中則會討論 Microsoft 方案架構 (MSF)、Microsoft 作業架構 (MOF) 和安全性方案的基本法則。
.gif)
圖 1.1 對應至解決方案手冊章節的高層安全性基礎資訊
第 1 章 - 設定 Windows 2000 Server 安全性的簡介
本章介紹《設定 Windows 2000 Server 的安全性》手冊，其中包含其他每一章的概觀。
本章著重於安全性元件的定義，如果要為貴組織執行安全性分析，需要了解這些定義。另外還提供如何為貴組織執行初步資產分析的一般指引，也會一一說明威脅、暴露、漏洞和反制措施之間的關係。
本章描述經過驗證的實務，這些實務均取自現今常用的安全性分析方法 (這些方法利用 MSF 和 MOF)。MSF 為專案生命週期的規劃、建立、穩定及部署階段提供指引，在企業架構和基礎結構部署等方面有所著墨。MOF 對如何開發或改善 IT 作業的管理系統提供建議。本章還詳細定義了 SRMD，您可運用其知識來在環境中評估和判斷風險層級。
在本章中會實施 SRMD，以判斷對特定組織而言，哪些威脅和漏洞可能會造成最大的影響。因為每一家公司都具有不同的商務需求，所以不可能建立對每種環境都有相同影響的漏洞清單。不過，本章會對一般的狀況套用這項程序，其中會使用虛構的公司來說明應該如何判斷一套常用的實作決策，並由此判斷許多實際的漏洞。在本章的結論中，會對提到的特定工作進行完整的定義、描述和分析。
本章的重點是判斷對組織進行會影響其網域層級的決定時，要根據什麼準則。並會提供 Microsoft® Active Directory® 服務設計、組織單位 (OU) 設定和網域原則的高層級概觀。此外，也會詳細討論在 Contoso (本手冊中使用的虛構客戶) 實作的特定網域原則。
第 6 章 - 強化基礎 Windows 2000 Server
本章說明套用至 Contoso 成員伺服器的基礎設定。這裡使用「群組原則」儘可能地對預設的 Windows 2000 Server 組態套用變更。對於這個案例中的成員伺服器而言，上述的「群組原則」設定會儲存在安全性範本 MSS Baseline.inf 中。這個範本會匯入 Member Server Baseline Policy 群組原則，而後者則連結到「成員伺服器組織單位」。
任何組織中的網域控制站、檔案伺服器、網路基礎結構伺服器和 Web 伺服器都需要不同的設定，才能將安全性提升到最佳狀態。本章著重於網域控制站和其他主要的成員伺服器角色，藉此說明該採取什麼步驟才能盡量確保每個角色的安全。
注意 本手冊假設伺服器均執行特定的預先定義角色。如果您的伺服器與這些角色不符，或者您使用的是多用途伺服器，那麼此處所定義的設定只能作為您在建立自己的安全性範本，以獲得自己需要的功能時的一個參考。請切記，個別伺服器所執行的功能越多，可能遭受攻擊的漏洞就越多。
免受攻擊的主要方法之一，是確定您的環境保有最新的必要安全性修補程式。伺服器和用戶端層級都可能需要用到修補程式。本章將教您如何及時發現最新的修補程式，儘快且可靠地實作到公司內部，並監看這些修補程式是否已經部署到所有地方。
您應該在任何安全的環境中積極地監視是否有發生侵入與攻擊事件。如果在設定了安全的系統後，卻假設不會遭受攻擊而不執行任何稽核動作，則可能會有不良後果。此外，並非所有攻擊都可明顯察覺。有時一些難以捉摸的攻擊危險性更大，因為很難立即發現這些攻擊，以及哪些系統遭受變更。本章將討論如何稽核環境，以便在第一時間找出遭受的攻擊，並介紹侵入偵測系統 - 這是特別設計用來找出發生攻擊事件的軟體。
無論您的環境如何安全，遭受攻擊的危機還是存在。所有安全性策略都必須包含遭受不同類型的攻擊時，公司應採取哪些回應措施。本章含有不同攻擊類型的最佳回應方式，以及有效率地報告事故的步驟。同時也包含了顯示事故發生後典型反應的個案研究。
第 11 章為之前的每項討論提供簡短的概觀，為解決方案手冊畫下句點。
本手冊包含了數個其他的檔案，協助您執行本解決方案內描述的工作。在本手冊的每一章中還包含了輔助工具和附錄。此外，我們也建立了可以自行展開、稱為 SecWin2k.exe 的壓縮檔案。這個檔案中有指令碼以及 Windows 2000 Server 安全性範本。在下載及展開這個檔案的內容後，便可以存取下表中所述的結構。
表 1.1 設定 Windows 2000 Server 解決方案安全性的資料夾結構
| 資料夾 | 說明 |
|---|---|
| C:\SCI | 此為本手冊所附所有檔案的根資料夾。 |
| C:\SCI\Scripts | 這個資料夾包含指令碼，可以用來自動化修補程式管理和「網際網路通訊協定安全性」(IPSec) 管理工作。 |
| C:\SCI\Security Templates | 這個資料夾包含在 Contoso 案例中匯入「群組原則」的安全性範例。 |
警告 本手冊中安全性範本的設計，目的在增進環境的安全性。安裝了本手冊所附的範本後，很可能會喪失貴組織環境中的某些功能。其中包括具有重要任務的應用程式可能無法執行。
因此在生產環境中部署這些範本之前，絕對需要徹底地測試這些範本。在套用任何新的安全性設定之前，請先替環境中的所有網域控制站及伺服器進行備份。請確定備份中包含系統狀態，如此才能還原登錄設定或 Active Directory 物件。
適用對象
本手冊的主要訴求對象是負責應用程式規劃階段或多項專案基礎結構開發和部署的顧問、安全性專家、系統設計師和 IT 專業人員。這些角色包括以下常見的工作內容：
- 負責主導公司系統架構的系統設計師和規劃人員
- 完全負責在公司內提供跨平台安全性的 IT 安全性專家
- 具有需要 IT 支援的關鍵性商務目標及需求的商務分析師和商務決策者 (BDM)
- 需要為企業客戶和合作夥伴提供知識轉移工具的顧問，包括「Microsoft 服務」和合作夥伴。
當然，參與規劃、設計和實作基礎結構專案的其他讀者，也會發現本手冊包含了相關的有用資訊。基礎結構開發中有許多角色，而參與專案的每個人都需要不同類型及層級的資訊。
如需「MSF 團隊模型」內軟體開發專案所牽涉角色的詳細資訊，請參閱：https://www.microsoft.com/technet/itsolutions/techguide/msf/default.mspx。
設定 Windows 2000 Server 解決方案安全性的案例
為了針對「設定 Windows 2000 Server 的安全性」提供規範指引，這個解決方案使用虛構的組織，提供實作該解決方案的內容。藉由虛構的公司，可以就案例的商務需求和技術可能性來描述安全性的損益平衡。
Contoso, Ltd
「設定 Windows 2000 Server 的安全性」解決方案是根據一個名為 Contoso, Ltd. 的虛構行銷研究公司為中心。Contoso 有兩個據點：位於喬治亞州亞特蘭大的總部，以及位於麻州波士頓的分公司。Contoso 是個相當大型的企業，擁有數千名使用電腦資源的員工。Contoso 去年的營收數字為 82,900 萬美元。
該公司的伺服器平台已經完全升級為 Windows 2000 Server，但其用戶端的部署仍呈現混合狀態。該公司目前擁有的電腦混合了 Microsoft® Windows 98 SR2、Microsoft® Windows NT® Workstation 4.0 版、Microsoft® Windows® 2000 Professional 及 Microsoft® Windows® XP Professional。
網路設計
Contoso 擁有兩個資料中心，以兩條 T1 線路連接。每個據點都有一部份的工程及作業員工負責提供網路基礎結構服務。所有的 Web 伺服器都位於亞特蘭大的主要資料中心。
每個據點與所有伺服器的連線速度是 100 Mbps，對所有用戶端工作站的連線速度則為 10 Mbps。伺服器都區隔為一個子網路。用戶端電腦則位於不同的子網路。所有的電腦都可以透過亞特蘭大的連線存取網際網路。
Active Directory 設計
Contoso 部署了具有空的根目錄和單一子網域的單一 Windows 2000 Server 樹系。空的根網域是單獨的網域，只裝載該網域中網域控制站的電腦帳戶和預設的使用者帳戶。
Contoso 也將其網路區分成兩個 Active Directory 站台 - 亞特蘭大和波士頓。彈性單一主機操作 (FSMO) 角色會分割到這兩個站台中。
每個站台都具有執行 Active Directory 的網域控制站，並整合了網域名稱系統 (DNS)、動態主機設定通訊協定 (DHCP) 和檔案與列印伺服器。亞特蘭大站台裝載了整個公司的 Windows Internet Naming Service (WINS) 伺服器。該公司大部分執行 Internet Information Services (IIS) 的伺服器電腦都位於亞特蘭大，而某些較小型部門的 Web 伺服器則位於波士頓。
.gif)
圖 1.2 Contoso Ltd. 的服務配置
上圖顯示 Contoso 內伺服器發佈的服務，但此圖並未正確代表該組織內的伺服器總數。
商務需求
如前所述，Contoso 是行銷研究公司。行銷研究業的重點在於規劃和控制將商品及服務從生產者送到客戶手上的各類活動，包括滿足特定市場需求而進行的包裝、定價、促銷和實際配送等活動。
為了找出市場的需求為何，市場研究人員必須儘可能瞭解他們的客戶。為了促進這項作業，Contoso 為市場研究人員提供關於目標市場的詳細資訊。
Contoso 大部分的行銷資訊都存放在組織內部的 IIS 伺服器中。Contoso 的行銷研究人員在收集客戶的詳細資訊時，會利用內部的行銷研究 Web 伺服器。這其中有些資訊也會放在檔案共用上，但是這些檔案共用上的資訊只是內部網路伺服器上可用資訊的一部分而已。
Contoso 想要確定它的內部資料安全無虞且繼續保持安全的狀態。行銷研究是競爭非常激烈的領域，而該公司的研究資料是在面對同業時，最主要的競爭利器。因為這個因素，所以為公司的行銷研究資料維護高層級的安全性便成為該公司的首要任務。
為了解決 Contoso 的外部連線和邊緣網路的安全性，已經另行展開了個別的專案。這些問題並不在本專案的範圍內。
樣式慣例
本手冊使用以下的樣式慣例與專門用語。
| 項目 | 意義 |
|---|---|
| 粗體字型 | 和顯示的樣式完全相同的字元，包括命令與命令參數。具有規範性的使用者介面項目文字也會以粗體呈現。 |
| 斜體字型 | 代表變數的替代字元，必須以特定值來替代。例如：在第一個討論的案例中，Filename.ext 可以代表任何有效的檔名。 |
| 等寬字型 | 程式碼範例。 |
| %SystemRoot% | Windows 2000 作業系統的安裝資料夾。 |
| 附註 | 警示讀者的補充資訊。 |
| 重要 | 警示讀者：這項補充資訊對於工作的完成不可或缺。 |
摘要
本章提供在設定 Windows 2000 Server 安全性時所牽涉的主要因素概觀，本手冊的各節將深入探討這些因素。本章也介紹了一個典型的企業機構，在之後的章節中會反覆提到該機構，以說明設定 Windows 2000 Server 安全性時使用的最佳實務和程序。既然現在您已瞭解本手冊的編排方式，便可以決定是否要從頭到尾詳讀，或者只選擇您最有興趣的章節。不過，請務必記住，有效、成功且安全的作業，需要對本手冊所涵蓋的所有方面進行改善，而不是只改善幾個部分而已。因為這項因素，所以我們強烈推薦您閱讀整本手冊，利用本手冊提供的所有資訊來設定貴組織 Windows 2000 Server 的安全性。