系统安全从定制IP策略开始

来源：百度文库 编辑：神马文学网 时间：2024/10/02 22:21:28
IP安全策略个给予通讯分析策略，通讯容设定好规则进行比较以判断通讯否预期相吻合，然决定还通讯传输，弥补传统TCP/IP设计"随意信任"重安全漏洞，以实现更仔细更精确TCP/IP安全，就说，当们配置好IP安全策略，就相当于拥有个免费，但功能完善个人防火墙。

　　实战IP安全策略

　　1、 创建个IP安全策略

　　第步：单击"开始"，然选择"设置→控制面板"，弹出"控制面板"，双击"管理工具"图标，进入"管理工具"，再次双击其"本地安全策略"图标并进入"本地安全策略"话框。

　　第二步：鼠标右击"IP安全策略"，选择"创建IP安全策略"命令

　　弹出"IP安全策略向"话框，单击"步"，输入IP安全策略名称

　　如"屏蔽135端口"，再次单击"步"，保持默认参数设置不变，直至完成位置，这样就创建出个"屏蔽135端口"安全策略，单击"确定"返回。

　　2、设置IP筛选器

　　鼠标右击"IP安全策略"，选择"管理IP筛选器筛选器操作"，进入相应得话框，"管理IP筛选器列表"页面，点击"添加"，弹出"IP筛选器列表"输入名称"屏蔽135端口"，单击"添加"，再点击"步"。目标地址选择"IP地址"，点击"步"，协议选择"TCP"(般选择此项，根据具体端口设定，如关闭ICMP协议时，这里选择ICMP)，如图3所示，点击"步"，设置IP协议端口选择从任意端口此端口，此端口输入135，点击"步"，即完成屏蔽135端口设置，单击"确定"返回。其端口设置此类似。

 

　　3、筛选器操作

　　还"管理IP筛选器筛选器操作"话框，进入"管理筛选器操作"页面，点击"添加"，再单击"步"，名称输入""，点击"步"。筛选器操作选择"阻止"项，点击"步"，这样管理筛选器操作就增加""项。

　　单击"关闭"返回"本地安全设置"话框。

　　"本地安全设置"话框双击左侧窗口"IP安全策略 本地计算机"，们以看右侧窗口出现"屏蔽135端口"字样，鼠标右击这个新建IP安全策略"屏蔽135端口"，选择"属性"。规则选择"添加"，点击"步"，选择"此规则不指定隧道"，接着点击"步"，选择网络类型选择"所有网络连接"，点击"步"，IP筛选器列表选择"屏蔽135端口。

　　点击"步"，出现窗口选面操作添加""，单击"步"，这样就筛选器加入名 "屏蔽135端口"IP安全策略，单击"确定"返回。

　　4、指派

　　完成"屏蔽135端口"IP安全策略建立，但未被指派，并不起作。鼠标右击"屏蔽135端口"，选择"指派"，IP安全策略就生效。同样还以关闭其无端口，这样们就亲手创建个安全网络防火墙。    组策略是系统策略的高级扩展，是管理员为用户和计算机控制程序、网络资源、系统、Windows组件的主要工具，可对系统的各种特殊属性进行设置。简单地解释就是：组策略是调整注册表的一个所见即所得编辑器。系统高手们往往不仅精通注册表，还经常通过组策略完成一些系统的高级调整与修改。下面就介绍三招，如何利用组策略提升系统安全性。　　
　　第一招：清理IE上网痕迹　　在Windows XP系统中，关于组策略“Internet Explorer维护”的技巧有很多，我们可以进行个性化设置。其中，可以通过添加脚本的方法，实现在退出IE时对上网痕迹进行自动清理。具体步骤是找一台Windows 2000操作系统，将Deltree.exe文件复制到Windows XP系统的system32目录下。用记事本编写一个如下内容的文本文件：　　@echo off　　cd c:/documents ad　　settings/administrator/local　　settings/temporary internet files　　c:/winnt/system32/deltree ./*.* /y　　将文本保存为.bat批处理文件。在“开始”　“运行”中输入“gpedit.msc”打开组策略对话框，依次进入“用户配置”　“Windows设置”　“脚本(登录/注销)”，双击右边窗口中的“注销”，在“添加”项目中导入这个脚本文件即可。　　常见的端口号对应的协议及用途　　21：FTP（文件传输）　　23：TELNET（远程登录）　　25：SMTP（发送E-mail）　　80：HTTP（WWW服务）　　110：POP3（接收e-mail）　　119：NNTP（新闻服务）　　常见木马的入侵端口号　　灰鸽子：3389　　黑洞：2000　　冰河：7626　　广外女生：6267
　　第二招：禁用指定软件程序　　在组策略中，可以采取禁用注册表或光驱、隐藏磁盘分区等一系列设置。这些功能在Windows 2000中就能实现。在Windows XP系统中还增加了对软件的限制策略。在此以常用即时通讯软件QQ为例进行实例说明。　　打开组策略对话框，依次进入“计算机配置”　“Windows设置”　“安全设置”　“软件限制策略”　“其它规则”　“新路径规则”，点击“浏览”，找到QQ安装目录下的“QQ.exe”文件，在“安全级别”下选择“不允许”。重启计算机后，就无法用QQ了。若要重新使用QQ，把安全级别选为“不受限的”即可。　　第三招：打造系统防火墙　　　　在“组策略”中还可以打造系统防火墙。在默认设置下，Windows有很多端口是开放的，网络病毒和黑客可以通过这些端口接入你的电脑。为了资料的安全，应该把不必要的端口封闭，减少居心不良者入侵的机会。以封闭80端口为例：先在“计算机配置”的“IP安全策略”中单击右键，创建一个新的IP安全策略，在“属性”中添加“筛选器列表”，在“编辑规则属性”中选择“新IP筛选器列表”对话框并点击“添加”。　　　　现在用三个步骤屏蔽80端口。第一步寻址，源地址选“任何IP地址”，目标地址选“我的IP地址”；第二步选协议，选择“TCP”，在“到此端口”下的文本框中输入“80”；第三步创建，返回后进入“编辑规则属性”的“筛选器操作”，选择“请求安全（可选）”，确定后返回，再对“创建IP安全策略”选择“指派”。这样就对TCP的80端口的服务进行了屏蔽，因为端口80是HTFP的协议，提供WWW服务，因而屏蔽之后HTFP协议网站也将无法打开(要重新开放可对以上各项进行修改和删除)。同理我们也可对一些易被木马入侵的端口进行屏蔽，让木马靠边站。　　其他组策略安全技巧　　1、隐藏电脑的驱动器　　位置：用户配置/管理模板/Windows组件/Windows资源管理器　　将“隐藏‘我的电脑’中的这些指定驱动器”和“防止从‘我的电脑’访问驱动器”设置为“已启用”并设置欲阻止访问的驱动器　　2、禁用注册表　　位置：用户配置/管理模板/系统将“组织访问注册表编辑工具”设置为“已启用。　　3、禁用控制面板　　位置：用户配置/管理模板/控制面板　　将“禁止访问控制面板“设置为“已启用”；或启用“隐藏指定的控制面板程序”并设定隐藏的项目，如想在控制面板中隐藏Internet选项，则在隐藏控制面板程序里添加Inetcpl.cpl，具体名称可查看Windows/System32里以cpl结尾的文件。　　4、隐藏文件夹　　位置：用户配置/管理模板/Windows组件/Windows资源管理器将“从‘工具’菜单删除‘文件夹选项’菜单”设置为“已启用”。　　5、关闭缩略图缓存位置：用户配置/管理模板/Windows组件/Windows资源管理器将“关闭缩略图的缓存”项设置为“已启用”