本文將就Windows XP操作系統(tǒng)如何在安全性上得到改善，進(jìn)一步提高用戶(hù)使用Windows XP操作系統(tǒng)的安全性，以及平時(shí)維護(hù)應(yīng)注意的一些事情展開(kāi)討論，希望能對(duì)廣大Windows XP用戶(hù)有些幫助。
1.安裝安全策略
�。�1） 不要選擇從網(wǎng)絡(luò)上安裝雖然微軟支持在線安裝，但這絕對(duì)不安全。在系統(tǒng)未全部安裝完之前不要連入網(wǎng)絡(luò)，特別是Internet。甚至不要把一切硬件都連接好來(lái)再安裝。因?yàn)閃indows XP安裝時(shí)，在輸入用戶(hù)管理員賬號(hào)“Administrator”的密碼后，系統(tǒng)會(huì)建立一個(gè)“ADMIN”的共享賬號(hào)，但是并沒(méi)有用剛輸入的密碼來(lái)保護(hù)它，這種情況一直會(huì)持續(xù)到計(jì)算機(jī)再次啟動(dòng)。在此期間，任何人都可以通過(guò)“ADMIN”進(jìn)入系統(tǒng)；同時(shí)，安裝完成，各種服務(wù)會(huì)馬上自動(dòng)運(yùn)行，而這時(shí)的服務(wù)器還到處是漏洞，非常容易從外部侵入。
（2） 要選擇NTFS格式來(lái)分區(qū)最好所有的分區(qū)都是NTFS格式，因?yàn)镹TFS格式的分區(qū)在安全性方面更加有保障。就算其他分區(qū)采用別的格式(如FAT32)，但至少系統(tǒng)所在的分區(qū)中應(yīng)是NTFS格式。另外，應(yīng)用程序不要和系統(tǒng)放在同一個(gè)分區(qū)中，以免攻擊者利用應(yīng)用程序的漏洞(如微軟的IIS的漏洞)導(dǎo)致系統(tǒng)文件的泄漏，甚至讓入侵者遠(yuǎn)程獲取管理員權(quán)限。
�。�3） 系統(tǒng)版本的選擇版本的選擇：Windows XP有各種語(yǔ)言的版本，對(duì)于我們來(lái)說(shuō)，可以選擇英文版或簡(jiǎn)體中文版，我強(qiáng)烈建議：在語(yǔ)言不成為障礙的情況下，請(qǐng)一定使用英文版。要知道，微軟的產(chǎn)品是以Bug&Patch而著稱(chēng)的，中文版的Bug遠(yuǎn)遠(yuǎn)多于英文版，而補(bǔ)丁一般還會(huì)遲至少半個(gè)月（也就是說(shuō)一般微軟公布了漏洞后你的機(jī)子還會(huì)有半個(gè)月處于無(wú)保護(hù)狀況）。
�。�4） 組件的定制Windows XP在默認(rèn)情況下會(huì)安裝一些常用的組件，但是正是這個(gè)默認(rèn)安裝是很危險(xiǎn)的，你應(yīng)該確切的知道你需要哪些服務(wù)，而且僅僅安裝你確實(shí)需要的服務(wù)，根據(jù)安全原則，最少的服務(wù)+最小的權(quán)限=最大的安全。
�。�5） 分區(qū)和邏輯盤(pán)的分配建議建立多于兩個(gè)分區(qū)，一個(gè)系統(tǒng)分區(qū)，一個(gè)以上應(yīng)用程序分區(qū)，把系統(tǒng)分區(qū)和應(yīng)用程序分區(qū)分開(kāi)，以此來(lái)保護(hù)應(yīng)用程序，一般來(lái)說(shuō)，病毒或者黑客利用漏洞攻擊，損壞的是系統(tǒng)分區(qū)，而不會(huì)對(duì)應(yīng)用程序分區(qū)造成損壞。
2．賬號(hào)安全策略
（1）用戶(hù)安全設(shè)置檢查用戶(hù)賬號(hào)，停止不需要的賬號(hào)，建議更改默認(rèn)的賬號(hào)名。
1)、禁用Guest賬號(hào)在計(jì)算機(jī)管理的用戶(hù)里面把Guest賬號(hào)禁用。為了保險(xiǎn)起見(jiàn)，最好給Guest加一個(gè)復(fù)雜的密碼。
2)、限制不必要的用戶(hù) 去掉所有的Duplicate User用戶(hù)、測(cè)試用戶(hù)、共享用戶(hù)等等。用戶(hù)組策略設(shè)置相應(yīng)權(quán)限，并且經(jīng)常檢查系統(tǒng)的用戶(hù)，刪除已經(jīng)不再使用的用戶(hù)。
3)、創(chuàng)建兩個(gè)管理員賬號(hào)創(chuàng)建一個(gè)一般權(quán)限用戶(hù)用來(lái)收信以及處理一些日常事物，另一個(gè)擁有Administrator權(quán)限的用戶(hù)只在需要的時(shí)候使用。
4)、把系統(tǒng)Administrator賬號(hào)改名Windows XP的Administrator用戶(hù)是不能被停用的，這意味著別人可以一遍又一遍地嘗試這個(gè)用戶(hù)的密碼。盡量把它偽裝成普通用戶(hù)，比如改成Guesycludx。
5)、創(chuàng)建一個(gè)陷阱用戶(hù)創(chuàng)建一個(gè)名為“Administrator”的本地用戶(hù)，把它的權(quán)限設(shè)置成最低，什么事也干不了的那種，并且加上一個(gè)超過(guò)10位的超級(jí)復(fù)雜密碼。
6)、把共享文件的權(quán)限從Everyone組改成授權(quán)用戶(hù) 不要把共享文件的用戶(hù)設(shè)置成“Everyone”組，包括打印共享，默認(rèn)的屬性就是“Everyone”組的。
7)、不讓系統(tǒng)顯示上次登錄的用戶(hù)名 打開(kāi)注冊(cè)表編輯器并找到注冊(cè)表項(xiàng)HKLMSoftwaremicrosoftWindowsTCurrentVersionWinlogonDont-DisplayLastUserName，把鍵值改成1。
8)、系統(tǒng)賬號(hào)/共享列表 Windows XP的默認(rèn)安裝允許任何用戶(hù)通過(guò)空用戶(hù)得到系統(tǒng)所有賬號(hào)/共享列表，這個(gè)本來(lái)是為了方便局域網(wǎng)用戶(hù)共享文件的，但是一個(gè)遠(yuǎn)程用戶(hù)也可以得到你的用戶(hù)列表并使用暴力法破解用戶(hù)密碼�？梢酝ㄟ^(guò)更改注冊(cè)表Local_MachineSystemCurrentControlSetControlLSA-RestrictAnonymous = 1來(lái)禁止139空連接，還可以在Windows XP的本地安全策略（如果是域服務(wù)器就是在域服務(wù)器安全和域安全策略中）就有這樣的選項(xiàng)RestrictAnonymous（匿名連接的額外限制）。
3.應(yīng)用安全策略
�。�1）安裝殺毒軟件殺毒軟件不僅能殺掉一些著名的病毒，還能查殺大量木馬和后門(mén)程序，因此要注意經(jīng)常運(yùn)行程序并升級(jí)病毒庫(kù)。
�。�2）安裝防火墻偵聽(tīng)外界對(duì)本機(jī)所采取的攻擊，及早提醒用戶(hù)采取防范措施。
（3）安裝系統(tǒng)補(bǔ)丁到微軟網(wǎng)站下載最新的補(bǔ)丁程序：經(jīng)常訪問(wèn)微軟和一些安全站點(diǎn)，下載最新的Service Pack和漏洞補(bǔ)丁，是保障服務(wù)器長(zhǎng)久安全的唯一方法。
（4）停止不必要的服務(wù)服務(wù)開(kāi)的太多也不是個(gè)好事，將沒(méi)有必要的服務(wù)通通關(guān)掉吧！服務(wù)組件安裝得越多， 用戶(hù)可以享受的服務(wù)功能也就越多。但是用戶(hù)平時(shí)使用到的服務(wù)組件畢竟有限， 而那些很少用到的組件除占用了不少系統(tǒng)資源，會(huì)引起系統(tǒng)不穩(wěn)定外，還為黑客的遠(yuǎn)程入侵提供了多種途徑。
為此我們應(yīng)該盡量把那些暫不需要的服務(wù)組件屏蔽掉。具體的操作方法為： 首先在控制面板中找到“管理工具”/“服務(wù)”，然后再打開(kāi)“服務(wù)”對(duì)話框，在該對(duì)話框中選中需要屏蔽的程序，并單擊鼠標(biāo)右鍵， 從彈出的快捷菜單中依次選擇“屬性”/“停止”命令，同時(shí)將“啟動(dòng)類(lèi)型”設(shè)置為“手動(dòng)”或“已禁用”，這樣就可以對(duì)指定的服務(wù)組件進(jìn)行屏蔽了。
4．網(wǎng)絡(luò)安全策略
�。�1）關(guān)閉不必要的端口
關(guān)閉端口意味著減少功能，在安全和功能上面需要你做一點(diǎn)決策。如果服務(wù)器安裝在防火墻的后面，冒險(xiǎn)就會(huì)少些。但是，永遠(yuǎn)不要認(rèn)為你可以高枕無(wú)憂(yōu)了。用端口掃描器掃描系統(tǒng)已開(kāi)放的端口，確定系統(tǒng)開(kāi)放的哪些服務(wù)可能引起黑客入侵。在系統(tǒng)目錄中的system32 driversetcservices 文件中有知名端口和服務(wù)的對(duì)照表可供參考。具體方法為：打開(kāi)“ 網(wǎng)上鄰居/屬性/本地連接/屬性/internet 協(xié)議(TCP/IP)/屬性/高級(jí)/選項(xiàng)/TCP/IP篩選/屬性” 打開(kāi)“TCP/IP篩選”，添加需要的TCP、UDP協(xié)議即可。
（2）設(shè)置好安全記錄的訪問(wèn)權(quán)限
安全記錄在默認(rèn)情況下是沒(méi)有保護(hù)的，把它設(shè)置成只有Administrators和系統(tǒng)賬戶(hù)才有權(quán)訪問(wèn)。
�。�3）使用Web格式的電子郵件系統(tǒng)
不要實(shí)用Outlook、Fox mail等客戶(hù)端郵件系統(tǒng)接受郵件，現(xiàn)在的一些郵件危害性很大，一旦植入本機(jī)，就有可能造成系統(tǒng)的癱瘓。同時(shí)，不要察看陌生人郵件中的附件，這些附件往往帶有病毒和木馬。
|
