補(bǔ)充知識(shí)1組策略性能事件查看器.ppt

1. 文件（夾）的安全設(shè)置 當(dāng)不同的用戶在使用同一臺(tái)計(jì)算機(jī)時(shí)，應(yīng)考慮到哪些文件針對(duì)于哪些用戶是可見的、可讀取或可讀寫的，況且當(dāng)Win2010 Server作為文件服務(wù)器時(shí)，也會(huì)出現(xiàn)許多用戶在網(wǎng)絡(luò)環(huán)境下同時(shí)訪問該機(jī)器的情況， 因此有必要對(duì)文件（夾）設(shè)立一套規(guī)則來保證其數(shù)據(jù)的安全。,補(bǔ)充知識(shí) 1、文件夾共享與數(shù)據(jù)加解密,【實(shí)例3-5】 設(shè)置用戶wlj只能對(duì)“d:評(píng)估資料”文件夾讀取，對(duì)“d:manpower”文件夾不能訪問（以某計(jì)算機(jī)中的內(nèi)容為例）。 打開資源管理器，右擊“d:評(píng)估資料”文件夾，在彈出的快捷菜單中選擇“屬性”菜單項(xiàng)。 在隨后出現(xiàn)的文件夾屬性窗口中，選擇“安全”標(biāo)簽項(xiàng)，如圖3-38所示。,圖3-38 文件夾屬性窗口,單擊“添加”按鈕，在“選擇用戶或組”對(duì)話框中雙擊已存在的用戶“wlj”，則該用戶便出現(xiàn)在顯示欄中，單擊“添加”按鈕。 在如圖3-39所示的對(duì)話框中，按要求設(shè)置該用戶對(duì)文件夾的訪問權(quán)限，最后單擊“確定”按鈕即可。對(duì)于另一個(gè)文件夾“d:manpower”作類似的處理，由于規(guī)定用戶wlj不能訪問該文件夾，因此應(yīng)該選中拒絕列中的所有項(xiàng)。,圖3-39 設(shè)置用戶對(duì)文件夾的訪問權(quán)限,2. 文件（夾）的存取審核 除了對(duì)文件（夾）進(jìn)行權(quán)限控制外，還可以針對(duì)用戶對(duì)文件（夾）所做的存取等動(dòng)作進(jìn)行監(jiān)控記錄，這種過程稱為審核。審核的結(jié)果將記錄在事件查看器的安全日志中。 【實(shí)例3-6】審核“d:評(píng)估資料”文件夾，記錄下所有對(duì)該文件夾的刪除、修改操作。,打開資源管理器，右擊“d:評(píng)估資料”文件夾，在彈出的快捷菜單中選擇“屬性”菜單項(xiàng)，并選擇“安全”標(biāo)簽項(xiàng)。 單擊“高級(jí)”按鈕，在進(jìn)入的訪問控制設(shè)置窗口中選取“審核”標(biāo)簽項(xiàng)，并單擊“添加”按鈕，在如圖3-40所示的界面中按實(shí)際需要設(shè)置對(duì)該文件夾的審核項(xiàng)目。 單擊“確定”按鈕直到關(guān)閉窗口。,圖3-40 文件夾審核項(xiàng)目設(shè)置,3. 文件（夾）的共享 Win2010中的很多地方都可新建共享的文件（夾），比如在“我的電腦”、“資源管理器”或“計(jì)算機(jī)管理”中。在“我的電腦”或“資源管理器”中設(shè)置共享本質(zhì)上是通過文件夾的屬性窗口來進(jìn)行的，方法非常簡單。下面以在“計(jì)算機(jī)管理”窗口中進(jìn)行設(shè)置為例介紹設(shè)置共享的具體方法。,單擊“開始”“程序”“管理工具”“計(jì)算機(jī)管理”菜單項(xiàng)，在隨后的窗口中展開“系統(tǒng)工具”“共享文件夾”“共享”項(xiàng)。右窗口中將顯示目前系統(tǒng)中文件夾的共享情況，如圖3-42所示。 右擊左窗口中的“共享”項(xiàng)，在彈出的快捷菜單中選擇“新文件共享”，出現(xiàn)如圖3-43所示的對(duì)話框，單擊“瀏覽”按鈕選取欲設(shè)置共享的文件夾名，并設(shè)置共享名后，單擊“下一步”按鈕。 在如圖3-44所示的窗口中，根據(jù)用戶需求設(shè)置共享文件夾的存取權(quán)限，單擊“完成”按鈕后，所指定的文件夾便會(huì)出現(xiàn)在圖3-42的右窗口顯示區(qū)中。,圖3-42 當(dāng)前文件夾的共享狀態(tài),圖3-43 創(chuàng)建共享文件夾,圖3-44 設(shè)置共享文件夾權(quán)限,4. 數(shù)據(jù)文件的加密與解密 Win2010中為了數(shù)據(jù)的安全，加入了文件加密系統(tǒng)，當(dāng)用戶不希望文件被看到或復(fù)制時(shí)就可以對(duì)文件加密。只有NTFS文件系統(tǒng)才支持該功能。 【實(shí)例3-7】 將某計(jì)算機(jī)中的d:my_work文件夾加密，且加密對(duì)目前已存在的及以后加入該文件夾的所有文件均有效。,在資源管理器中右擊d:my_work文件夾，在彈出的快捷菜單中選取“屬性”菜單項(xiàng)，在屬性窗口中單擊常規(guī)標(biāo)簽項(xiàng)下的“高級(jí)”按鈕。 在“高級(jí)屬性”窗口中選取“加密內(nèi)容以便保護(hù)數(shù)據(jù)”復(fù)選框，如圖3-45所示，按“確定”返回上一窗口。 再單擊“確定”或“應(yīng)用”按鈕，若文件夾中已有數(shù)據(jù)，則會(huì)出現(xiàn)如圖3-46所示的對(duì)話框供用戶選擇，據(jù)題意選取后，單擊“確定”按鈕。 文件夾加密后，其屬性便從“正?！弊?yōu)椤凹用堋薄?圖3-45 加密文件夾,圖3-46 設(shè)置加密文件夾的應(yīng)用范圍,5. 創(chuàng)建映射網(wǎng)絡(luò)驅(qū)動(dòng)器實(shí)現(xiàn)文件夾共享 對(duì)于設(shè)置成共享的文件夾，用戶可通過“網(wǎng)上鄰居”來瀏覽，但當(dāng)工作組、服務(wù)器和資源列表較多時(shí)，往往要花一定的時(shí)間才能找到自己所需資源。對(duì)于需要經(jīng)常使用的網(wǎng)絡(luò)資源，這種方式顯得不太方便。因此，可采用將某個(gè)網(wǎng)絡(luò)文件夾映射成一個(gè)驅(qū)動(dòng)器的方式，以后用戶對(duì)該文件夾的訪問就像是直接訪問計(jì)算機(jī)上的一個(gè)驅(qū)動(dòng)器一樣方便。 【實(shí)例3-8】將網(wǎng)絡(luò)中另一臺(tái)機(jī)器（桌面PC，裝有Windows XP）中的“大學(xué)城圖”文件夾映射成驅(qū)動(dòng)器Z，以便另一臺(tái)計(jì)算機(jī)（筆記本電腦，裝有Win2010 Server）能方便訪問。,在桌面機(jī)上將“大學(xué)城圖”文件夾置為共享，以實(shí)現(xiàn)在其他機(jī)器上能通過網(wǎng)上鄰居訪問。 在筆記本電腦上，單擊“網(wǎng)上鄰居”找到該文件夾，單擊鼠標(biāo)右鍵，在彈出的快捷菜單中選擇“映射網(wǎng)絡(luò)驅(qū)動(dòng)器”菜單項(xiàng)，彈出如圖3-47所示對(duì)話框，選擇所需的驅(qū)動(dòng)器號(hào)Z后，單擊“完成”按鈕即可。,圖3-47 映射網(wǎng)絡(luò)驅(qū)動(dòng)器,Win2010 Server提供了系統(tǒng)監(jiān)視與診斷工具，利用這些工具可以幫助調(diào)整服務(wù)器的硬件，并運(yùn)行相應(yīng)的服務(wù)，以便進(jìn)一步提高系統(tǒng)性能。系統(tǒng)監(jiān)視與診斷工具主要包括系統(tǒng)監(jiān)視器、性能日志和警報(bào)、事件查看器。,補(bǔ)充知識(shí) 2、系統(tǒng)監(jiān)視與診斷工具,1. 系統(tǒng)監(jiān)視器 系統(tǒng)監(jiān)視器由性能監(jiān)視器、性能日志和警報(bào)兩大部分構(gòu)成，提供了一個(gè)簡單形象的方式來查看服務(wù)器的重大事件。性能監(jiān)視器可以測(cè)試本地計(jì)算機(jī)或網(wǎng)絡(luò)上其他計(jì)算機(jī)的性能，即可以查看計(jì)算機(jī)的處理器、內(nèi)存、磁盤訪問等方面的性能及活動(dòng)情況；性能日志和警報(bào)可以記錄所選計(jì)算機(jī)及其對(duì)象的當(dāng)前活動(dòng)，并可將這些情況保存以便進(jìn)行分析比較。,(1) 性能監(jiān)視器 影響一臺(tái)服務(wù)器性能的瓶頸主要體現(xiàn)在內(nèi)存、CPU、磁盤和網(wǎng)絡(luò)四個(gè)方面。用戶通過性能監(jiān)視器的數(shù)據(jù)圖表來了解這幾個(gè)方面的性能情況，以發(fā)現(xiàn)性能瓶頸并決定如何調(diào)整。一般情況下，用戶需針對(duì)不同的測(cè)試對(duì)象（如內(nèi)存、CPU、硬盤等）選擇相應(yīng)的測(cè)量指標(biāo)（稱之為計(jì)數(shù)器），不同的計(jì)數(shù)器所反映的側(cè)重點(diǎn)不同。,例如，欲了解服務(wù)器的繁忙程度，以報(bào)告服務(wù)器發(fā)送和接收網(wǎng)絡(luò)數(shù)據(jù)的速度，則應(yīng)選擇服務(wù)器對(duì)象“Server”，對(duì)應(yīng)計(jì)數(shù)器為“Bytes Total/sec”；欲了解是否進(jìn)程的處理速度受到硬盤速度的影響，則應(yīng)選擇物理硬盤對(duì)象“Physical Disk”，相應(yīng)的計(jì)數(shù)器為“Current Disk Queue Length”（當(dāng)該值超過2時(shí)，說明已受到影響）；通過處理器對(duì)象“Processor”的“Processor Time”計(jì)數(shù)器和“InterruptsSecond”計(jì)數(shù)器，則可較全面地觀察CPU的特征。,【實(shí)例3-11】 利用系統(tǒng)監(jiān)視器了解本機(jī)的硬盤訪問速度是否對(duì)當(dāng)前進(jìn)程產(chǎn)生影響以及本機(jī)發(fā)送和接收網(wǎng)絡(luò)數(shù)據(jù)的速度情況。 單擊“開始”“程序”“管理工具”“性能”菜單項(xiàng)，彈出如圖3-60所示的性能監(jiān)視器窗口。 在右窗口的空白處單擊鼠標(biāo)右鍵，在彈出的快捷菜單中選擇“添加計(jì)數(shù)器”菜單項(xiàng)，打開如圖3-61所示的“添加計(jì)數(shù)器”對(duì)話框。 選取“使用本地計(jì)算機(jī)計(jì)數(shù)器”按鈕，并從下拉框中選擇“Physical Disk”對(duì)象，從列表框中選擇“Current Disk Queue Length”計(jì)數(shù)器后，單擊“添加”按鈕。,圖3-60 性能監(jiān)視器窗口,圖3-61 添加計(jì)數(shù)器,用類似的方法將服務(wù)器對(duì)象“Server”和“Bytes Total/sec”計(jì)數(shù)器添加進(jìn)來，單擊“關(guān)閉”按鈕關(guān)閉當(dāng)前窗口，則返回如圖3-62所示的界面，在該界面中以波形方式顯示了所指定對(duì)象的計(jì)數(shù)測(cè)量情況。圖3-62中紅色的波形（波峰較高的波形）表示本機(jī)硬盤的情況，另一顏色表示本機(jī)作為服務(wù)器的網(wǎng)絡(luò)訪問情況（由于監(jiān)視時(shí)無其他機(jī)器訪問本機(jī)，故該測(cè)量波形數(shù)據(jù)為）。,圖3-62 指定對(duì)象的系統(tǒng)監(jiān)視情況,(2) 性能日志和警報(bào) 性能日志和警報(bào)是系統(tǒng)監(jiān)視器中的另一種監(jiān)視工具。利用該工具可以收集來自本地或遠(yuǎn)程計(jì)算機(jī)上的性能數(shù)據(jù)，記錄的計(jì)數(shù)器數(shù)據(jù)可以通過性能監(jiān)視器或輸出到Excel或數(shù)據(jù)庫中，以便進(jìn)一步進(jìn)行分析與產(chǎn)生報(bào)告。 性能日志分為計(jì)數(shù)器日志與跟蹤日志，當(dāng)計(jì)數(shù)器的值達(dá)到、超過或低于一個(gè)定義的值時(shí)，警報(bào)通過事件日志向用戶發(fā)出警告。,2. 事件查看器 事件查看器可以監(jiān)視三種事件： 應(yīng)用程序事件、安全事件以及系統(tǒng)事件。Win2010通過三種日志形式記錄對(duì)應(yīng)的事件。 (1) 應(yīng)用程序日志： 包含由應(yīng)用程序產(chǎn)生的被程序記錄的事件，程序開發(fā)人員可以決定哪些事件需要監(jiān)視。,(2) 系統(tǒng)日志： 包含由操作系統(tǒng)產(chǎn)生的被Win2010系統(tǒng)組件記錄的事件，Win2010預(yù)先確定系統(tǒng)組件所能記錄的事件類型。例如，在啟動(dòng)過程中，系統(tǒng)日志可以記錄驅(qū)動(dòng)程序和其他系統(tǒng)組件裝載時(shí)的故障信息。 (3) 安全日志： 包含了由操作系統(tǒng)產(chǎn)生的有效或無效的登錄上網(wǎng)企圖以及有關(guān)資源使用的事件。例如，登錄情況記錄，創(chuàng)建、打開、刪除文件記錄等。,值得注意的是，Win2010啟動(dòng)時(shí)，事件日志服務(wù)自動(dòng)啟動(dòng)，所有用戶都可以查看應(yīng)用程序日志和系統(tǒng)日志，但只有系統(tǒng)管理員才有權(quán)查看安全日志。查看事件日志的方法如下： 單擊“開始”“程序”“管理工具”“事件查看器”菜單項(xiàng)，彈出如圖3-63所示的事件查看器窗口。 單擊窗口左欄中欲查看的日志，則右窗口中便顯示該日志中相應(yīng)的信息。也可通過該窗口中的“查看”“查找”菜單項(xiàng)打開查找對(duì)話框，查找想要查看的事件，或通過“查看”“篩選”菜單項(xiàng)打開日志的屬性窗口，來查看一組相同性質(zhì)的事件。,圖3-63 事件查看器窗口,每臺(tái)運(yùn)行 Windows 2010 的計(jì)算機(jī)都有且只有一個(gè)本地組策略對(duì)象。本地組策略對(duì)象其實(shí)就是一組存儲(chǔ)在本地的設(shè)置，即組策略設(shè)置的集合。 這些組策略用于設(shè)置一些特定的用戶族群，當(dāng)這些用戶在使用本機(jī)時(shí)必須受到一些條件的限制。例如，不允許用戶自行安裝軟件、無法使用控制臺(tái)組件、不可關(guān)閉計(jì)算機(jī)等。 針對(duì)本地計(jì)算機(jī)的Win2010的組策略，主要包括本地計(jì)算機(jī)配置及用戶配置兩大部分。在組策略中，用戶不僅可設(shè)置本地計(jì)算機(jī)的賬戶策略、用戶權(quán)限指派、審核策略以及安全性選項(xiàng)的設(shè)置等安全管理，也可進(jìn)行管理模板的設(shè)置，從而提高系統(tǒng)的安全級(jí)別。,補(bǔ)充知識(shí)： 3、本地計(jì)算機(jī)的組策略管理,啟動(dòng)組策略： gpedit.msc 從該窗口界面中可知，無論是計(jì)算機(jī)配置還是用戶配置，均包括軟件設(shè)置、Windows設(shè)置以及管理模板三項(xiàng)選項(xiàng)。 在下面的章節(jié)中主要介紹Windows設(shè)置中的安全設(shè)置及管理模板的應(yīng)用。 在安全設(shè)置中，最常用的策略有賬戶策略和本地策略。其中，與密碼和賬戶鎖定相關(guān)的策略在賬戶策略中設(shè)置； 對(duì)用戶權(quán)限進(jìn)行的設(shè)置及某些安全選項(xiàng)設(shè)置則在本地策略中進(jìn)行；與Windows系統(tǒng)有關(guān)的組件、外設(shè)的設(shè)置等由管理模板來實(shí)現(xiàn)。,圖3-31 本地組策略,1. 本地賬戶策略 (1) 密碼策略 展開左邊樹形目錄中“計(jì)算機(jī)配置”“Windows設(shè)置”“安全設(shè)置”“賬戶策略”，雙擊其中的“密碼策略”，即可在右窗口中顯示與密碼的長度及期限相關(guān)的設(shè)置，如圖3-32所示。 欲修改其中的某一策略設(shè)置，則只需鼠標(biāo)右擊該策略，在彈出的快捷菜單中選擇“安全性”菜單項(xiàng)，即可在隨后的窗口中進(jìn)行相應(yīng)的修改。,圖3-32 密碼策略,(2) 賬戶鎖定策略 該策略用于決定系統(tǒng)鎖定賬戶的時(shí)間，以及鎖定哪個(gè)賬戶。 “賬戶鎖定策略”包含“復(fù)位賬戶鎖定計(jì)數(shù)器”、“賬戶鎖定時(shí)間”以及“賬戶鎖定閾值”。 復(fù)位賬戶鎖定計(jì)數(shù)器： 當(dāng)密碼輸入不正確，設(shè)置允許在多少分鐘內(nèi)嘗試另一個(gè)密碼。 賬戶鎖定時(shí)間： 當(dāng)指定輸入次數(shù)的密碼都不正確時(shí)，此項(xiàng)可用于設(shè)置賬戶被鎖定的時(shí)間。在該鎖定時(shí)間內(nèi)，即使使用正確的用戶名與密碼也無法進(jìn)入。 賬戶鎖定閾值： 設(shè)定用戶登錄的次數(shù)，默認(rèn)是次無效登錄，即不對(duì)用戶鎖定。 ,2. 本地用戶權(quán)限指派 本地用戶權(quán)限指派用于決定在計(jì)算機(jī)上有登錄或任務(wù)特權(quán)的用戶或組。展開左邊樹形目錄中“計(jì)算機(jī)配置”“安全設(shè)置”“本地策略”，雙擊其中的“用戶權(quán)利指派”文件夾，右窗口便會(huì)出現(xiàn)可用于設(shè)置登錄、關(guān)閉系統(tǒng)、備份、計(jì)算機(jī)訪問等多方面的策略情況。,【實(shí)例3-2】 在默認(rèn)情況下，Users組無權(quán)關(guān)閉系統(tǒng)，現(xiàn)要求將關(guān)閉系統(tǒng)的權(quán)限授予該組及前面剛剛新建的“電子商務(wù)教研室”組。 雙擊“本地策略”中的“用戶權(quán)利指派”，在如圖3-33所示的窗口中，顯示目前的本地安全策略情況。 雙擊其中的“關(guān)閉系統(tǒng)”策略，在彈出的“本地安全策略設(shè)置”對(duì)話框中單擊“添加”按鈕，選擇所需的用戶組“Users”及“電子商務(wù)教研室”后，單擊“確定”按鈕，則會(huì)出現(xiàn)如圖3-34所示的對(duì)話框，最后再次單擊“確定”按鈕完成設(shè)置。 與上述操作相類似，還可設(shè)置允許安裝卸載設(shè)備驅(qū)動(dòng)程序的用戶（組）、設(shè)置哪些用戶組可以從網(wǎng)絡(luò)上訪問該計(jì)算機(jī)等。,圖3-33 用戶權(quán)利指派,圖3-34 擁用關(guān)閉系統(tǒng)權(quán)限的各組,3. 安全選項(xiàng) 在該項(xiàng)選項(xiàng)中，可啟用或禁用計(jì)算機(jī)的安全設(shè)置，例如設(shè)置啟用禁用Administrator 和 Guest 的賬戶名、軟盤驅(qū)動(dòng)器和光盤的訪問、驅(qū)動(dòng)程序的安裝以及登錄提示等。 【實(shí)例3-3】 設(shè)置只有登錄本機(jī)的用戶才能訪問光驅(qū)。 雙擊“本地策略”中的“安全選項(xiàng)”，然后在右窗口中雙擊“只有本地登錄的用戶才能訪問CD-ROM”策略； 在彈出的窗口中，選中“已啟用”單選按鈕后單擊“確定”按鈕。,4. 管理模板的應(yīng)用 組策略管理模板包括所有基于注冊(cè)表的策略信息。其中，計(jì)算機(jī)配置中的管理模板設(shè)置適用于登錄到該計(jì)算機(jī)的所有用戶。而用戶配置中的管理模板則是面向用戶進(jìn)行設(shè)置的，因此無論用戶登錄到哪臺(tái)計(jì)算機(jī)都適用于該用戶。 【實(shí)例3-4】 不允許使用