Windows 2003安全指南之创建成员服务器基线一

概述

本章描述了针对所有运行Microsoft® Windows Server™ 2003的服务器管理基线安全模板所需的配置需求。此外，本章还将提供在三种企业级运行环境中建立并配置安全可靠的Windows Server 2003系统所需的管理指导。本章所包含的配置需求为本指南后续章节中所有其它应用特定服务器角色的复杂处理过程提供了基准。

本章提供的建议设置方案为企业级运行环境中的商务应用服务器构建了一种坚实基础。然而，如需在生产环境中实施这些安全配置，您必须首先就其与自身组织机构的商务应用共存情况进行全面测试。

本章提供的建议设置方案适用于绝大多数企业，并且可以在运行Windows Server 2003的现有系统或新增系统上加以部署。这些建议设置方案已针对Windows Server 2003中的缺省安全配置方案进行了必要的研究、审核与测试。如需获取所有缺省设置信息以及本章所讨论之设置的详细解释内容，请查看参考指南《威胁与对策：Windows Server 2003与Windows XP中的安全设置》，该书可通过网址http://go.microsoft.com/fwlink/?LinkId=15159获得。尽管如此，我们还是建议您在高于缺省设置的安全级别上部署绝大多数建议配置方案。

本章所讨论的针对企业级运行环境中所有Windows Server 2003系统的基准安全设置均与以下所定义的三种运行环境相关联。这三种环境分别是：

• 旧有客户机——提供不会束缚混合状态运行环境的足够安全性。这种旧有客户机级别专门面向于使用旧有客户机的运行环境。这种运行环境处于本指南所定义的最低锁定级别。为进一步确保运行环境安全性，组织机构可以选择移植到下一个锁定级别——即企业客户机级别，或者，如果无需确保旧有客户机安全性，则应直接从企业客户机级别开始。这种商务运行环境包括运行Microsoft Windows® 98、Microsoft Windows NT® 4.0 Workstation、Windows 2000 Professional和Windows XP Professional的工作站系统，并且只包含Windows 2000或更高版本的域控制器。这种运行环境中无法使用Windows NT 4.0域控制器，但却可以存在Windows NT成员服务器。
• 企业客户机——提供专为新型系统运行环境而设计的牢固安全性。这种商务运行环境包含运行Windows 2000 Professional和Windows XP Professional的客户端。从旧版运行环境移植到企业级运行环境所需完成的工作主要是对旧有客户机进行升级，例如将Windows 98和Windows NT 4.0 Workstation升级为Windows 2000或Windows XP。这种运行环境中的所有域控制器均为Windows 2000 Server或更高版本产品。同时，这种运行环境中的成员服务器也必须使用Windows 2000 Server或更高版本操作系统。
• 高安全性 ——提供在企业客户机级别基础上进一步增强的安全性标准。从企业级运行环境移植到高安全性运行环境需要确保客户端及服务器均能符合严格的安全策略。这种运行环境包含运行Windows 2000 Professional和Windows XP Professional操作系统的客户端，以及运行Windows 2000 Server或更高版本操作系统的域控制器。在高安全性运行环境中，对安全性的关注首当其冲，以至于为实现高安全性，可以将损失显著功能性与易管理性作为交换。这种运行环境中的成员服务器必须使用Windows 2000 Server或更高版本操作系统。

那些希望采取阶段性方式确保运行环境安全性的组织机构可以选择从旧有客户机运行环境开始，并伴随应用程序与客户端计算机陆续升级且通过严格安全设置测试，逐步向更高安全性级别进行移植。

以下插图显示了如何将.inf文件安全模板作为企业客户机——成员服务器基线策略（MSBP）的基础使用。此外，这张插图还显示了针对组织机构中所有服务器应用成员服务器基线策略的一种可能连接方式。

Windows Server 2003本身具备一套能够实现安全可靠状态的缺省设置。在许多实例中，本章内容指定了缺省设置以外的其它设置，并且针对本指南中定义的三种运行环境加强了缺省设置方式。如需获取有关所有缺省设置的信息，请查看参考指南《威胁与对策：Windows Server 2003与Windows XP中的安全设置》，该书可通过网址http://go.microsoft.com/fwlink/?LinkId=15159获得。

针对特定服务器角色的强化处理过程将在本指南其余章节中予以定义。本指南所涉及的主要服务器角色包括：

•   包含域名系统（DNS）服务的域控制器。
•   包括以下功能特性的基础架构服务器角色：
  •   Windows Internet名称服务（WINS）
  •   动态主机配置协议（DHCP）
•   文件
•   打印
•   Internet Information Services（IIS）
•   Microsoft Internet Authentication Server（IAS）
•   认证服务服务器（CA）
•   堡垒主机

出现在企业客户机MSBP中的许多设置也将应用于本指南定义的这三种运行环境中所涉及的服务器角色。安全模板是专为满足每一种特定运行环境安全需求而设计的。以下表格显示了基准安全模板与三中运行环境之间的相互关系。如需在旧有客户机、企业客户机或高安全性级别中调出具体细节，与建议基线策略相关联的安全模板将提供用以辨别正确模板的级别标识。举例来说，Enterprise Client – Member Server Baseline.inf文件是针对企业客户机运行环境的建议安全模板。

以下Windows Server 2003基线策略部分描述了Member Server Baseline.inf安全模板中适用于所有运行环境的安全设置。这些基准安全模板同时还是第四章——“强化域控制器”——中所定义域控制器安全模板的出发点。

Enterprise Client – Domain Controllers Role.inf模板提供了针对域控制器组策略之组策略对象（GPO）的基准，并且与所有三种运行环境中的域控制器组织单元（OU）相连接。旨在帮助用户创建OU和组策略以及向每个OU中导入适当安全模板的逐步操作指导已在第2章——“配置域的基础架构”中进行了详细介绍。

说明：某些强化处理过程无法通过组策略自动完成；这些处理过程将在本章稍后的附加成员服务器强化处理过程部分中加以描述。

Windows Server 2003基线策略

成员服务器OU级别上的设置选项定义了面向域中所有成员服务器的通用设置。这是通过创建与成员服务器OU相连接的GPO——称作基线策略——实现的。这种GPO将自动完成每台服务器上的特定安全设置配置工作。以下设置内容将在其出现在安全配置编辑器（SCE）管理单元用户界面（UI）中时予以描述。

审核策略

管理员应当创建一种审核策略。这种审核策略用于确定需要报告至网络管理员以便使特定事件类别中的用户或系统活动得到及时记录的安全事件。当用户登录到计算机、从计算机上注销，或对审核策略设置进行修改时，管理员可以对诸如特定对象访问者之类的安全活动加以监控。

在实现审核策略前，必须首先完成的一项工作便是确定需要在企业运行环境中对哪些事件类别进行审核。管理员针对事件类别所选择的审核设置将用于定义企业审核策略。通过定义针对特定事件类别的审核设置，管理员可以创建出适合于组织机构安全需求的审核策略。

如果未对审核方式加以配置，管理员将很难甚至不可能确定在安全事故中发生了哪些事件。相反，如果审核方式过于繁琐，以至于过多授权活动都将生成事件，那么，安全事件日志将被大量无用数据填满。因此，以下建议将帮助您做出对哪些事件进行监控的权衡决策。

以下表格包含了针对本指南中所定义的三种运行环境的审核策略设置建议。或许您已经注意到，在这三种运行环境中，针对许多设置的取值都非常近似。

以下取值可以在下列位置上的Windows Server 2003域组策略部分中加以配置：

Computer Configuration\Windows Settings\Security Settings\Local Policies\Audit Policy

如需获取这部分中所描述设置选项的概要信息，请查看名为Windows Server 2003安全指导设置的Microsoft Excel电子表格。如需获取缺省设置信息以及这部分所讨论之设置的详细解释内容，请查看参考指南《威胁与对策：Windows Server 2003与Windows XP中的安全设置》，该书可通过网址http://go.microsoft.com/fwlink/?LinkId=15159获得。

审核帐号登录事件

表格 3.2：设置

审核帐号登录事件设置用于确定是否对每个用户实例登录或注销另一台需要验证帐号的计算机的活动进行审核。在域控制器上对域用户帐号进行身份验证时将产生一个帐号登录事件。这个事件将被记录到域控制器的安全日志中。在本地计算机上对本地用户进行身份验证时将产生一个登录事件。这个事件将被记录到本地安全日志中。对于帐号注销事件，则没有任何信息需要记录。

以下表格列出了这项设置在安全事件日志中所记录的某些重要安全事件。

表格 3.3：帐号登录事件

以上列出的事件编号可用于创建用以监控各种套装软件——例如Microsoft运行管理器（MOM）——的自定义报警。

审核帐号管理

表格 3.4：设置

审核帐号管理设置用于确定是否对计算机上每个帐号管理事件进行审核。帐号管理事件的具体示例包括：

•   创建、修改或删除一个用户帐号或组
•   重新命名、禁用或启用一个用户帐号。
•   设置或修改一个密码。

组织机构需要掌握哪些人员曾经创建、修改或删除过域帐号和本地帐号。未经授权的修改内容既可能是不了解如何遵守企业策略的管理员所进行的错误修改，也可能是蓄谋以久的恶意攻击。

举例来说，帐号管理失败事件通常表示低级别管理员——或者窃取低级别管理员帐号的非法攻击者——试图提升自身权限。从日志记录中，您可以看到攻击者修改并创建了哪些帐号。

出于这种原因，针对这项设置所采用的策略是在三种运行环境中均将其取值设置为同时包含成功与失败情况。以下表格列出了这项设置在安全事件日志中所记录的某些重要安全事件。

表格 3.5： 帐号管理事件

以上列出的事件编号可用于创建用以监控各种套装软件——如Microsoft Operation Manager（MOM）——的自定义报警。大多数运行管理软件能够通过脚本方式加以定制，以便根据上面所列出的事件编号来捕捉或标记相关事件。

审核目录服务访问

表格3.6：设置

审核目录服务访问 设置选项用于确定是否对那些访问拥有自身系统访问控制列表（SACL）的Microsoft Active Directory®目录服务对象的访问事件进行审核。如果将审核目录服务访问选项设置为无审核，管理员将很难甚至无法确定哪些Active Directory对象在安全事故中可能遭到了破坏。如果这个选项未被设置为成功和失败，那么，当安全事故发生后，您将无法获得用以进行分析审核记录证据。

如果将审核目录服务访问设置为成功，系统将在用户每次成功访问具备特定SACL的Active Directory对象时生成一条审核记录。如果将其设置为失败，系统将在用户每次尝试访问具备特定SACL的Active Directory对象失败时生成一条审核记录。

表格 3.7：目录服务访问事件

审核登录事件

表格 3.8：设置

审核登录事件设置选项用于确定是否对用户实例在计算机上的登录或注销事件进行审核。从域控制器帐号登录事件设置中生成的记录将用于监视域帐号活动，而从本地计算机帐号登录事件设置中生成的记录将用于监视本地帐号活动。

如果将审核登录事件设置为无审核，管理员将很难甚至无法确定哪些用户曾经登录或尝试登录到企业内部的计算机上。如果在域成员系统中针对审核登录事件选项使用成功取值，当有人登录到系统时，无论其所使用的帐号是否位于系统内部，系统都将生成一个事件。如果用户登录到本地帐号，且审核帐号登录事件设置为启用，用户登录过程将同时产生两个事件。

对于本指南中所定义的三种安全运行环境，如果这个选项均未设置为成功和失败，那么，当安全事故发生后，您将无法获得用以进行分析审核记录证据。

表格 3.9：审核登录事件

审核对象访问

表格 3.10：设置

如果仅仅依靠自身力量，这项设置将无法对任何事件进行审核。审核对象访问设置选项用于确定是否对访问具备特定SACL的对象——如文件、文件夹、注册表键、打印机等——的用户事件进行审核。

SACL由访问控制项（ACE）组成。每个ACE包含三条信息：

•   需要进行审核的安全主体（用户、计算机或组）。
•   需要进行审核的特定访问类型，称作访问掩码。
•   用以指示审核失败访问事件、成功访问事件或同时审核这两种事件的标志。

如果将这个选项设置为成功，系统将在用户每次成功访问具备特定SACL的对象时生成一个审核事件。如果将这个选项设置为失败，系统将在用户每次尝试访问具备特定SACL的对象失败时生成一个审核事件。

当配置SACL时，企业应仅仅定义那些他们希望启用的操作。举例来说，您可能希望针对可执行文件启用记录并追加数据审核设置选项，以便对通常可能由计算机病毒、蠕虫程序或特洛伊木马程序导致的文件替换或修改操作进行跟踪。与此类此，您还可能希望对敏感文档的修改甚至读取操作进行跟踪。

因此，本指南建议您针对这里所定义的三种运行环境同时启用成功及失败审核取值。

表格 3.11：对象访问事件

审核策略更改

表格 3.12：设置

审核策略更改设置选项用于确定是否对用户权限分配策略、审核策略或信任策略的每一次更改事件进行审核。其中包括针对审核策略本身所进行的更改。

如果将这个选项设置为成功，系统将在每次成功更改用户权限分配策略、审核策略或信任策略时生成一条审核记录。如果将这个选项设置为失败，系统将在每次更改用户权限分配策略、审核策略或信任策略失败时生成一条审核记录。

建议设置方式将允许您查看攻击者试图提升的所有帐号权限——例如添加程序调试权限或文件与目录备份权限。策略更改审核同时还包含针对审核策略本身以及信任关系所进行的更改。

说明：本指南建议将该设置取值指定为成功，其原因非常简单，取值为失败的设置选项将无法提供任何有意义的访问信息。目前，将该选项取值设置为失败将无法捕获任何有意义的事件。

表格 3.13：审核策略更改事件

审核特权使用

表格 3.14：设置

审核特权使用设置选项用于确定是否针对每个行使用户权限的用户实例进行审核。如果将该选项取值设为成功，系统将在每次成功行使用户权限时生成一条审核记录，如果将该选项取值设为失败，系统将在每次行使用户权限失败时生成一条审核记录。

当行使以下用户权限时，即便审核特权使用设置选项已被设置为成功或失败，系统也将不会生成任何审核记录。这是因为审核这些用户权限将在安全日志中产生大量事件，从而影响您的计算机性能。如需审核下列这些已被排除在外的权限，您必须在组策略中启用审核：审核备份与恢复权限使用情况安全选项。

•   绕过遍历检查
•    程序调试
•    创建令牌对象
•    替换进程级令牌
•    生成安全审核
•    文件与目录备份
•    文件与目录恢复

启用权限审核特性将生成数量庞大的事件记录。出于这种原因，本指南中所定义的每种安全运行环境针对这些设置提出了不同的建议。用户权限行使失败表示出现常见网络问题，并且通常预示着试图突破安全防范措施。仅当存在特殊商业原因时，企业才需将审核特权使用选项设置为启用。

表格 3.15：权限使用事件

审核过程跟踪

表格 3.16：设置

审核过程跟踪设置选项用于确定是否针对诸如程序激活、过程退出、句柄复制或间接对象访问之类的事件进行详细跟踪信息审核。如果将这个选项设置为成功，系统将在每次成功跟踪过程时生成一条审核记录。如果将这个选项设置为失败，系统将在每次过程跟踪失败时生成一条审核记录。

启用审核过程跟踪选项将产生大量事件，因此，通常情况下应将该选项设置为无审核。然而，通过提供过程启动和开始时间的详细日志记录，这些设置将在发生安全事故时为您提供大量有用信息。

表格 3.17：详细跟踪事件

审核系统事件

表格 3.18：设置

审核系统事件设置选项用于确定是否在用户重新启动或关闭计算机以及发生影响系统安全性或安全日志的事件时进行审核。如果将这个选项设置为成功，系统将系统事件执行成功时生成一条审核记录。如果将这个选项设置为失败，系统将在系统事件执行失败时生成一条审核记录。

以下表格包含了针对这一类别的某些最为有用的成功事件。