網(wǎng)絡(luò)維護(hù)實戰(zhàn)CHA06Windows安全管理實戰(zhàn)

1、BENET3.0第一學(xué)期課程第六章 Windows 2008安全管理實戰(zhàn)內(nèi)容回顧如何監(jiān)視Web服務(wù)器性能？如何優(yōu)化Web服務(wù)器性能？如何加強(qiáng)Web服務(wù)器安全性？如何實現(xiàn)站點(diǎn)到站點(diǎn)VPN？2技能展示掌握安全策略的配置掌握加密和數(shù)據(jù)保護(hù)的應(yīng)用掌握部署NAP服務(wù)掌握PKI高級應(yīng)用掌握RODC的配置3本章結(jié)構(gòu)Windows 2008安全管理實戰(zhàn)2008安全設(shè)置數(shù)據(jù)加密和數(shù)據(jù)保護(hù)部署NAP服務(wù)PKI高級應(yīng)用配置RODCNAP簡介部署NAP服務(wù)RODC簡介配置RODC4Windows 2008安全設(shè)置Windows 2008安全配置向?qū)榱撕喕踩渲眠^程，Windows 2008提供了安全配置向?qū)?案例

2、1：加強(qiáng)Windows 2008系統(tǒng)安全性BENET公司有一臺計算機(jī)中保存了許多重要文件。管理員發(fā)現(xiàn)經(jīng)常有人試圖訪問這些文件。為了保證該計算機(jī)的安全，管理員打算對這臺計算機(jī)進(jìn)行安全設(shè)置6案例1：加強(qiáng)Windows 2008系統(tǒng)安全性運(yùn)行“scw”命令，啟動安全配置向?qū)陆ò踩呗裕M(jìn)行安全配置教員演示操作過程7案例1：加強(qiáng)Windows 2008安全性學(xué)員練習(xí)：運(yùn)行“scw”命令，啟動安全配置向?qū)陆ò踩呗裕M(jìn)行安全配置10分鐘內(nèi)完成8數(shù)據(jù)加密和數(shù)據(jù)保護(hù)EFS簡介EFS全稱為加密文件系統(tǒng)，可以為系統(tǒng)中的文件提供加密保護(hù)EFS的加密過程是完全透明的，加密后不會影響用戶訪問文件9案例2：保證文件

3、服務(wù)器數(shù)據(jù)安全BENET公司的網(wǎng)絡(luò)中有一臺文件服務(wù)器，該服務(wù)器的E:Data文件夾中保存了大量機(jī)密文檔，為了防止這些文件外泄，公司要求禁止無關(guān)人員取讀、復(fù)制和修改這些文件10案例2：保證文件服務(wù)器數(shù)據(jù)安全加密E:Data文件夾，使用不同用戶訪問該文件夾備份密鑰（導(dǎo)出密鑰）恢復(fù)密鑰（導(dǎo)入密鑰）教員演示操作過程11案例2：保證文件服務(wù)器數(shù)據(jù)安全學(xué)員練習(xí)：加密E:Data文件夾，使用不同用戶訪問該文件夾備份密鑰（導(dǎo)出密鑰）恢復(fù)密鑰（導(dǎo)入密鑰）10分鐘內(nèi)完成12部署NAP服務(wù)NAP服務(wù)簡介為了保證企業(yè)網(wǎng)安全，企業(yè)通常要在局域網(wǎng)中推行一定的安全策略，這可以通過NAP技術(shù)實現(xiàn) NAP不是防范網(wǎng)絡(luò)攻擊的技術(shù)

4、，而是用于維護(hù)計算機(jī)健康，在網(wǎng)絡(luò)中推行安全策略的一種手段13案例3：通過NAP加強(qiáng)企業(yè)網(wǎng)安全BENET公司的網(wǎng)絡(luò)是一個Windows域，域名為。域中所有客戶機(jī)通過一臺DHCP服務(wù)器動態(tài)獲得IP地址。為了加強(qiáng)安全性，管理員希望只有啟用了Windows防火墻的計算機(jī)能訪問網(wǎng)絡(luò)，否則不能訪問14案例3：通過NAP加強(qiáng)企業(yè)網(wǎng)安全環(huán)境要求：域控制器Windows 2008網(wǎng)絡(luò)策略服務(wù)器DHCP服務(wù)器DNS服務(wù)器Windows Vista客戶機(jī)15案例3：通過NAP加強(qiáng)企業(yè)網(wǎng)安全實驗準(zhǔn)備：使用三臺計算機(jī)完成本實驗：計算機(jī)DC01，IP地址為，充當(dāng)域控制器和DNS服務(wù)器計算機(jī)NPS01，IP地址為，充當(dāng)DH

5、CP服務(wù)器和NPS服務(wù)器計算機(jī)Client01,充當(dāng)客戶機(jī)，自動獲得IP地址16案例3：通過NAP加強(qiáng)企業(yè)網(wǎng)安全配置活動目錄域：在計算機(jī)DC01中安裝活動目錄域服務(wù)和DNS服務(wù)，并將該計算機(jī)配置為域控制器，域名為將計算機(jī)NPS01加入域，成為成員服務(wù)器為計算機(jī)Client01配置靜態(tài)IP，加入域教員演示操作過程17案例3：通過NAP加強(qiáng)企業(yè)網(wǎng)安全安裝網(wǎng)絡(luò)策略服務(wù)器：在NPS01計算機(jī)上安裝網(wǎng)絡(luò)策略服務(wù)器教員演示操作過程18案例3：通過NAP加強(qiáng)企業(yè)網(wǎng)安全配置網(wǎng)絡(luò)策略服務(wù)器:在NPS01計算機(jī)上配置網(wǎng)絡(luò)策略服務(wù)器 教員演示操作過程19案例3：通過NAP加強(qiáng)企業(yè)網(wǎng)安全安裝和配置DHCP服務(wù)器:在N

6、PS01計算機(jī)安裝和配置DHCP服務(wù)器 教員演示操作過程20案例3：通過NAP加強(qiáng)企業(yè)網(wǎng)安全配置組策略:通過AD組策略配置Client01客戶機(jī)教員演示操作過程21案例3：通過NAP加強(qiáng)企業(yè)網(wǎng)安全測試實驗效果:在Client01計算機(jī)中啟用防火墻，該計算機(jī)能夠從DHCP服務(wù)器獲得IP地址在Client01計算機(jī)中關(guān)閉防火墻，再次檢查網(wǎng)絡(luò)配置（子網(wǎng)掩碼為55，說明網(wǎng)絡(luò)不正常） 22案例3：通過NAP加強(qiáng)企業(yè)網(wǎng)安全學(xué)員練習(xí)：實驗環(huán)境準(zhǔn)備配置活動目錄域安裝網(wǎng)絡(luò)策略服務(wù)器配置網(wǎng)絡(luò)策略服務(wù)器安裝和配置DHCP服務(wù)器配置組策略測試實驗效果40分鐘內(nèi)完成23PKI高級應(yīng)用加密恢復(fù)代理簡介使用EFS加密文件后

7、，默認(rèn)情況下，只有加密者本人能打開加密文件通過設(shè)置加密恢復(fù)代理，可以讓指定用戶打開別人加密的文件24案例4：設(shè)置加密恢復(fù)代理 為了保證公司財務(wù)數(shù)據(jù)的保密性，BENET公司財務(wù)部要求每個員工對自己所涉及的數(shù)據(jù)加密為了防止員工離職后加密數(shù)據(jù)無法打開，公司希望財務(wù)部主管可以打開別人加密的文件25案例4：設(shè)置加密恢復(fù)代理準(zhǔn)備實驗環(huán)境：建立Windows域，域名為。在活動目錄中建立財務(wù)部組織單位，名稱為Finance_OU。在OU中分別為財部主管、財務(wù)部員工B、財務(wù)部員工C建立帳戶UserA、UserB、UserC。并將這三個賬戶加入Domain Admins組在域控制器中安裝“Active Direc

8、tory證書服務(wù)”以UserB登錄域控制器，建立一個空文件夾，在文件夾中建立一個文本文件。將建立的文件夾及文件加密以UserA和UserC登錄域，訪問UserB建立的文件，系統(tǒng)提示“拒絕訪問”教員演示操作過程26案例4：設(shè)置加密恢復(fù)代理申請證書：以財務(wù)主管的帳戶UserA登錄域建立MMC管理控制臺，添加“證書”工具，申請證書教員演示操作過程27案例4：設(shè)置加密恢復(fù)代理導(dǎo)出剛剛申請的證書：教員演示操作過程28案例4：設(shè)置加密恢復(fù)代理在域控制器上設(shè)置組策略：教員演示操作過程29案例4：設(shè)置加密恢復(fù)代理數(shù)據(jù)解密：以UserB登錄域控制器，在前面建立的加密文件夾中再建立一個文件002.txt?？梢钥吹?/p>

9、，該文件自動被加密以UserA登錄域控制器，打開UserB加密的文件，可以打開，而且還可以取消加密狀態(tài)，說明UserA是加密恢復(fù)代理以UserC登錄域控制器，打開UserB加密的文件，仍然提示“拒絕訪問”教員演示操作過程30案例4：設(shè)置加密恢復(fù)代理學(xué)員練習(xí)：準(zhǔn)備實驗環(huán)境申請證書導(dǎo)出剛剛申請的證書在域控制器上設(shè)置組策略數(shù)據(jù)解密30分鐘內(nèi)完成31配置RODC RODC簡介RODC全稱為只讀域控制器，其中保存只讀的Active Directory數(shù)據(jù)庫，無論普通用戶還是管理員都不能修改活動目錄的內(nèi)容RODC使分支機(jī)構(gòu)在域的管理和安全方面有了新的選擇32案例5：配置RODC BENET公司的網(wǎng)絡(luò)是一個

10、Windows域，域名為。該域中有一臺Windows 2008域控制器公司新成立一個部門，并為該部門組建了單獨(dú)的局域網(wǎng)。公司打算在不增加管理負(fù)擔(dān)的基礎(chǔ)上，專門為該部門安裝一臺域控制器，但是不允許該部門的人修改域控制器的配置 33案例5：配置RODCRODC安裝準(zhǔn)備：以Administrator登錄現(xiàn)有域控制器將林功能級別提升為Windows Server 2003或更高版本 執(zhí)行“adprep /rodcprep” 命令安裝RODC：將要安裝為RODC的計算機(jī)加入域在RODC計算機(jī)中安裝“Active Directory域服務(wù)”運(yùn)行“dcpromo”命令，選擇“使用高級模式安裝”，安裝RODC 教員演示操作過程34案例5：配置RODC驗證安裝結(jié)果：以域管理員Administrator登錄域打開“Active Directory用戶和計算機(jī)”，展開“Domain Controllers”容器，可以看到RODC計算機(jī)35案例5：配置RODC驗證安裝結(jié)果：RODC上不能修改活動目錄配置（無“新建”選項） 教員演示操作過程36案例5：配置RODC學(xué)員練習(xí)：將林功能級別提升為Windows Server 2003或更高版本 執(zhí)行“adprep /rodcprep” 命令將要安裝為RODC的計