189 8069 5689
这个Windows Server 2008中的内置防火墙现在“高级”了。这不仅仅是我说它高级，微软现在已经将其称为高级安全Windows防火墙(简称WFAS)。 以下是可以证明它这个新名字的新功能： 1、新的图形化界面。 现在通过一个管理控制台单元来配置这个高级防火墙。 2、双向保护。 对出站、入站通信进行过滤。 3、与IPSEC更好的配合。 具有高级安全性的Windows防火墙将Windows防火墙功能和Internet 协议安全(IPSec)集成到一个控制台中。使用这些高级选项可以按照环境所需的方式配置密钥交换、数据保护(完整性和加密)以及身份验证设置。 4、高级规则配置。 你可以针对Windows Server上的各种对象创建防火墙规则，配置防火墙规则以确定阻止还是允许流量通过具有高级安全性的Windows防火墙。 传入数据包到达计算机时，具有高级安全性的Windows防火墙检查该数据包，并确定它是否符合防火墙规则中指 定的标准。如果数据包与规则中的标准匹配，则具有高级安全性的Windows防火墙执行规则中指定的操作，即阻止连接或允许连接。如果数据包与规则中的标 准不匹配，则具有高级安全性的Windows防火墙丢弃该数据包，并在防火墙日志文件中创建条目(如果启用了日志记录)。 对规则进行配置时，可以从各种标准中进行选择：例如应用程序名称、系统服务名称、TCP端口、UDP端口、本地IP地址、远程IP地址、配置文件、接口类型(如网络适配器)、用户、用户组、计算机、计算机组、协议、ICMP类型等。规则中的标准添加在一起;添加的标准越多，具有高级安全性的Windows防火墙匹配传入流量就越精细。 通过增加双向防护功能、一个更好的图形界面和高级的规则配置，这个高级安全Windows防火墙正在变得和传统的基于主机的防火墙一样强大，例如ZoneAlarm PRo等。 我知道任何服务器管理员在使用一个基于主机的防火墙时首先想到的是：它是否会影响这个关键服务器基 础应用的正常工作?然而对于任何安全措施这都是一个可能存在的问题，Windows 2008高级安全防火墙会自动的为添加到这个服务器的任何新角色自动配置新的规则。但是，如果你在你的服务器上运行一个非微软的应用程序，而且它需要入站 网络连接的话，你将必须根据通信的类型来创建一个新的规则。通过使用这个高级防火墙，你可以更好的加固你的服务器以免遭攻击，让你的服务器不被利用去攻击别人，以及真正确定什么数据在进出你的服务器。下面让我们看一下如何来实现这些目的。 了解配置Windows防火墙高级安全性的选择在以前Windows Server中，你可以在去配置你的网络适配器或从控制面板中来配置Windows防火墙。这个配置是非常简单的。对于Windows高级安全防火墙，大多数管理员可以或者从Windows服务器管理器配置它，或者从只有Windows高级安全防火墙MMC管理单元中配置它。以下是两个配置界面的截图：我发现启动这个Windows高级安全防火墙的最简单最快速的方法是，在开始菜单的搜索框中键入‘防火墙’，如下图：另外，你还可以用配置网络组件设置的命令行工具Netsh来配置Windows高级安全防火墙。使用 netsh advfirewall可以创建脚本，以便自动同时为IPv4和IPv6流量配置一组具有高级安全性的Windows防火墙设置。还可以使用netsh advfirewall命令显示具有高级安全性的Windows防火墙的配置和状态。 使用新的Windows高级安全防火墙MMC管理单元能配置什么?由于使用这个新的防火墙管理控制台你可以配置如此众多的功能，我不可能面面俱道的提到它们。如果你曾经看过Windows 2003内置防火墙的配置图形界面，你会迅速的发现在这个新的Windows高级安全防火墙中躲了如此众多的选项。下面让我选其中一些最常用的功能来介绍给大家。默认情况下，当你第一次进入Windows高级安全防火墙管理控制台的时候，你将看到Windows高级安全防火墙默认开启，并且阻挡不匹配入站规则的入站连接。此外，这个新的出站防火墙默认被关闭。你将注意的其他事情是，这个Windows高级安全防火墙还有多个配置文件供用户选择。在这个Windows高级安全防火墙中有一个域配置文件、专用配置文件和公用配置文件。配置文件是一种分组设置的方法，如防火墙规则和连接安全规则，根据计算机连接的位置将其应用于该计算机。例如根据你的计算机是在企业局域网中还是在本地咖啡店中。在我看来，在我们讨论过的Windows 2008高级安全防火墙的所有改进中，意义最重大的改进当属更复杂的防火墙规则。看一下在Windows Server 2003防火墙增加一个例外的选项，如下图：再来对比一下Windows 2008 Server中的配置窗口。注意协议和端口标签只是这个多标签窗口中的一小部分。你还可以将规则应用到用户及计算机、程序和服务以及IP地址范围。通过这种复杂的防火墙规则配置，微软已经将Windows高级安全防火墙朝着微软的IAS Server发展。Windows高级安全防火墙所提供的默认规则的数量也是令人吃惊的。在Windows 2003 Server中，只有三个默认的例外规则。而Windows 2008高级安全防火墙提供了大约90个默认入站防火墙规则和至少40个默认外出规则。 那么你如何使用这个新的Windows高级防火墙创建一个规则呢?让我们接下来看一下。 如何创建一个定制的入站规则？假如说你已经在你的Windows 2008 Server上安装了Windows版的Apache网站服务器。如果你已经使用了Windows内置的IIS网站服务器，这个端口自动会为你打开。但是，由于你现在使用一个来自第三方的网站服务器，而且你打开了入站防火墙，你必须手动的打开这个窗口。以下是步骤：·识别你要屏蔽的协议-在我们的例子中，它是TCP/IP(与之对应的则是UDP/IP或ICMP)。·识别源IP地址、源端口号、目的IP地址和目的端口。我们进行的Web通信是来自于任何IP地址和任何端口号并流向这个服务器80端口的数据通信。(注意，你可以为一个特定的程序创建一条规则，诸如这儿的apache HTTP服务器)。·打开Windows高级安全防火墙管理控制台。·增加规则-点击在Windows高级安全防火墙MMC中的新建规则按钮，开始启动新规则的向导。·为一个端口选择你想要创建的规则。·配置协议及端口号-选择默认的TCP协议，并输入80作为端口，然后点击下一步。·选择默认的“允许连接”并点击下一步。·选择默认的应用这条规则到所有配置文件，并点击下一步。·给这个规则起一个名字，然后点击下一步。这时候，你将得到如下图的一条规则：火墙管理控制台经过我测试，当不启用这个规则的时候，我最近安装的Apache网站服务器不能正常工作。但是，创建了这个规则后，它可以正常工作了!
创新互联服务项目包括镇平网站建设、镇平网站制作、镇平网页制作以及镇平网络营销策划等。多年来，我们专注于互联网行业，利用自身积累的技术优势、行业经验、深度合作伙伴关系等，向广大中小型企业、政府机构等提供互联网行业的解决方案，镇平网站推广取得了明显的社会效益与经济效益。目前，我们服务的客户以成都为中心已经辐射到镇平省份的部分城市，未来相信会继续扩大服务区域并继续获得客户的支持与信任！
如何配置Windows Server 2008
高级防火墙
微软的
Windows Server 2003
中防火墙的功能如此之简陋
,
让很多系统管理员将其视为鸡肋
,
它一直
是一个简单的、仅支持入站防护、基于主机的状态防火墙
.
而随着
Windows Server 2008
的日渐向我们
走近
,
其内置的防火墙功能得到了巨大的改进
.
下面让我们一起来看一下这个新的高级防火墙将如何帮
助我们防护系统
,
以及如何使用管理控制台单元来配置它
.
为什么你应该使用这个
Windows
的基于主机的防火墙
?
今天许多公司正在使用外置安全硬件的方式来加固它们的网络。
这意味着，它们使用防火墙和入
侵保护系统在它们的网络周围建立起了一道铜墙铁壁，保护它们自然免受互联网上恶意攻击者的入侵。
但是，如果一个攻击者能够攻
破外围的防线，从而获得对内部网络的访问，将只有
Windows
认证安全
来阻止他们来访问公司最有价值的资产
-
它们的数据。
这是因为大多数
IT
人士没有使用基于主机的
防火墙
来加固他们的服务器的安全。为什么会出现这
样的情况呢
?
因为多数
IT
人士认为，部署基于主机的防火墙所带来的麻烦要大于它们带来的价值。
我希望在您读完这篇文章后，能够花一点时间来考虑
Windows
这个基于主机的防火墙。在
Windows
Server 2008
中，这个基于主机的防火墙被内置在
Windows
中，已经被预先安装，与前面版本相比具有
更多功能，而且更容易配置。它是加固一个关键的基础服务器的
最好方法之一。具有高级安全性的
因为IIS(即Internet Information Server)的方便性和易用性，使它成为最受欢迎的Web服务器软件之一。但是，IIS的安全性却一直令人担忧。如何利用IIS建立一个安全的Web服务器，是很多人关心的话题。要创建一个安全可靠的Web服务器，必须要实现Windows 2003和IIS的双重安全，因为IIS的用户同时也是Windows 2003的用户，并且IIS目录的权限依赖Windows的NTFS文件系统的权限控制，所以保护IIS安全的`第一步就是确保Windows 2000操作系统的安全，所以要对服务器进行安全加固，以免遭到黑客的攻击，造成严重的后果。
我们通过以下几个方面对您的系统进行安全加固：
1. 系统的安全加固：我们通过配置目录权限，系统安全策略，协议栈加强，系统服务和访问控制加固您的系统，整体提高服务器的安全性。
2. IIS手工加固：手工加固iis可以有效的提高iweb站点的安全性，合理分配用户权限，配置相应的安全策略，有效的防止iis用户溢出提权。
3. 系统应用程序加固，提供应用程序的安全性，例如sql的安全配置以及服务器应用软件的安全加固。
系统的安全加固：
1.目录权限的配置：
1.1 除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权，之后再对其下的子目录作单独的目录权限，如果WEB站点目录，你要为其目录权限分配一个与之对应的匿名访问帐号并赋予它有修改权限，如果想使网站更加坚固，可以分配只读权限并对特殊的目录作可写权限。
1.2 系统所在分区下的根目录都要设置为不继承父权限，之后为该分区只赋予Administrators和SYSTEM有完全控制权。
1.3 因为服务器只有管理员有本地登录权限，所在要配置Documents and Settings这个目录权限只保留Administrators和SYSTEM有完全控制权，其下的子目录同样。另外还有一个隐藏目录也需要同样操作。因为如果你安装有PCAnyWhere那么他的的配置信息都保存在其下，使用webshell或FSO可以轻松的调取这个配置文件。
1.4 配置Program files目录，为Common Files目录之外的所有目录赋予Administrators和SYSTEM有完全控制权。
1.5 配置Windows目录，其实这一块主要是根据自身的情况如果使用默认的安全设置也是可行的，不过还是应该进入SYSTEM32目录下，将 cmd.exe、、net.exe、scrrun.dll、shell.dll这些杀手锏程序赋予匿名帐号拒绝访问。
1.6审核MetBase.bin，C:WINNTsystem32inetsrv目录只有administrator只允许Administrator用户读写。
2.组策略配置:
在用户权利指派下，从通过网络访问此计算机中删除Power Users和Backup Operators;
启用不允许匿名访问SAM帐号和共享;
启用不允许为网络验证存储凭据或Passport;
从文件共享中删除允许匿名登录的DFS$和COMCFG;
启用交互登录：不显示上次的用户名;
启用在下一次密码变更时不存储LANMAN哈希值;
禁止IIS匿名用户在本地登录;
3.本地安全策略设置:
开始菜单—管理工具—本地安全策略
A、本地策略——审核策略
审核策略更改 成功 失败
审核登录事件 成功 失败
审核对象访问失败
审核过程跟踪 无审核
审核目录服务访问失败
审核特权使用失败
审核系统事件 成功 失败
审核账户登录事件 成功 失败
审核账户管理 成功 失败
注：在设置审核登陆事件时选择记失败，这样在事件查看器里的安全日志就会记录登陆失败的信息。
1、修改默认管理员账户名称
Windows操作系统安装后，默认的管理员用户名为administrator，只要知道了该账户的密码，就掌握了系统的最高权限，若将管理员名称更改为其它名称，对于入侵者而言，是提高了入侵的门槛。
2、密码管理
密码长度和强度，建议设置密码长度为10位以上，并采用大写字母、小写字母、数字、字符混合使用；定期修改密码，比如1个月、3个月修改一次，根据系统的重要性确定修改周期。
3、禁用不需要的用户
禁用GUEST账号，以及其它不使用的账号。
4、安装杀毒软件
安装杀毒软件后，定期、及时更新到最新版本的特征库，提升系统反病毒的能力。
5、开启防火墙
在控制面板中，开启windows防火墙，可根据具体情况，进行细化配置。
6、禁用不用的服务
在控制面板的管理工具中，找到服务，打开后，根据具体情况，禁用不必要的服务。
7、关闭常被入侵的端口
开放的端口是网络入侵的部分前提，所以关闭常被入侵的端口，减少安全事件发生的概率。
8、关闭默认共享
删除盘符下的默认共享，比如要删除C盘下的默认共享，在命令提示符中，输入以下命令：net share c$/del。
9、配置安全策略
在控制面板的管理工具中，打开本地安全策略。在本地策略的安全选项中，进行安全配置。