Win2000システムのセキュリティ上のリスクと注意事項の詳細

コンピュータショップニュース

Windows 2000 Serverオペレーティングシステムは、現在PCサーバーオペレーティングシステムで広く使用されています。本論文は、インストールと運用中のオペレーティングシステムのセキュリティリスクを分析し、システムセキュリティとアンチウイルス攻撃能力を改善するための対応する予防策を提案した。

キーワード：オペレーティングシステムのセキュリティリスク

MicrosoftのWindows 2000 Serverオペレーティングシステムは、その便利な操作と強力な機能により、大多数のユーザーに認識されています。システムは、Windows 2000 Serverオペレーティングシステム上で動作します。日常業務では、一部の管理者はオペレーティングシステムのインストールおよび設定時にセキュリティ上の予防措置に注意を払わず、システムのインストールが終了し、コンピュータウイルスもオペレーティングシステムに侵入します。安全なオペレーティングシステムを構築する方法は、セキュリティ管理者の関心事です。

I.オペレーティングシステムのセキュリティリスクの分析

（1）インストールの隠れた危険

Windows 2000 Serverオペレーティングシステムを1台のサーバーにインストールする場合、主に隠れた危険があります。

1.サーバーをネットワークにインストールします。管理者パスワードを入力すると、システムは自動的にADMIN $の共有を確立しますが、入力したばかりのパスワードでは保護されません。それまでの間、誰でもADMIN $からマシンに侵入することができます;同時に、インストールが終了すると同時にさまざまなサービスが自動的に実行され、サーバーに脆弱性がいっぱいになり、コンピューターウイルスが侵入しやすくなります。したがって、サーバーをネットワークにインストールすることは非常に間違っています。

2.オペレーティングシステムがアプリケーションシステムとディスクパーティションを共有します。オペレーティングシステムのインストール時に、オペレーティングシステムとアプリケーションシステムを同じディスクパーティションにインストールすると、攻撃者はオペレーティングシステムの脆弱性を介してアプリケーションシステムのアクセス権を取得することになり、アプリケーションシステムのセキュリティ運用に影響を及ぼす可能性があります。

3. FAT32ファイル形式でインストールします。 FAT32ファイル形式では、ファイルへのユーザーアクセスが制限されていないため、安全性の低いシステムになる可能性があります。

4.デフォルトのインストールを使用します。オペレーティングシステムがデフォルトでインストールされると、IIS、DHCP、DNSなどのセキュリティリスクのあるコンポーネントが自動的にインストールされ、システムのインストール後にセキュリティ上の脆弱性が発生します。

5、システムパッチのインストールはタイムリーで包括的ではありません。システムのインストール後、システムパッチは間に合わずにインストールされ、ウイルスの侵入を招きます。

（2）隠れた危険

システム運用中には、主に次のような隠れた危険があります。

1.デフォルトの共有。システムの実行後、いくつかの隠し共有が自動的に作成されます。 1つはC $ D $ E $各パーティションのルート共有ディレクトリです。もう1つは、ADMIN $リモート管理用の共有ディレクトリです。 3番目はIPC $空の接続です。 4つ目はNetLogonの共有です。 5番目に、FAX $、PRINT $共有など、他のシステムはデフォルトで共有しています。これらのデフォルトシェアは、システムの安全な運用に大きな隠れた危険をもたらします。

2.デフォルトのサービス。システムの実行後、Telnetサービス、DHCPクライアント、DNSクライアント、プリントスプーラ、リモートレジストリサービス、SNMPサービス、ターミナルサービスなどの多くのセキュリティサービスが自動的に開始されます。これらのサービスは、実際の作業で必要ない場合は無効にできます。

3.セキュリティポリシー。システムの稼働後、デフォルトでは、システムのセキュリティポリシーはアクティブ化されていないため、システムの運用上のセキュリティが低下します。

4.管理者アカウント。システムの実行後、管理者ユーザーのアカウントを無効にすることはできません。つまり、攻撃者はアカウントのパスワードを何度も推測しようとします。さらに、単純なユーザーアカウントパスワードを設定すると、システムの運用に隠れた危険性ももたらします。

5、ページファイル。ページファイルは、メモリにロードされていないプログラムやデータファイルの一部を格納するために使用される隠しファイルです。ページファイルには機密情報が含まれている可能性があり、システム情報が漏洩する可能性があります。

6.ファイルを共有します。デフォルトでは、全員が新しく作成されたファイル共有を完全に制御できます。これは非常に危険であり、共有ファイルへのアクセスを制限する必要があります。

7、ダンプファイル。 Dumpファイルは、システムがクラッシュしてブルースクリーンが発生したときに問題を見つけるのに役立つリソースです。ただし、アプリケーションのパスワードなど、機密情報を攻撃者に提供し、情報漏えいを引き起こす可能性もあります。

8、WEBサービス。システム自体に付属しているIISサービスおよびFTPサービスにはセキュリティ上のリスクがあり、これがシステムの攻撃につながる可能性があります。第二に、セキュリティ対策

（1）インストール方法

システムインストールを行う場合は、以下の対策を行ってください。

1.完全インストールでは、オペレーティングシステムを設定し、システムのシステムパッチをインストールする前に、マシンをネットワークに接続しないでください。

2.オペレーティングシステムをインストールするときは、少なくとも3つのディスクパーティションを分割することをお勧めします。最初のパーティションはオペレーティングシステムのインストールに使用され、2番目のパーティションはIIS、FTP、およびさまざまなアプリケーション用に、3番目のパーティションは重要なデータファイルとログファイル用に使用されます。

3.ファイルのセキュリティを確保し、ファイルへのユーザーアクセス権を制御するために、NTFSファイル形式でオペレーティングシステムをインストールします。

4.システムコンポーネントをインストールするときは、デフォルトのインストールを使用せず、デフォルトでシステムによって選択されているIIS、DHCP、DNS、およびその他のサービスを削除します。

5、オペレーティングシステムのインストール後、最初にアプリケーションシステムをインストールしてからシステムパッチをインストールする必要があります。インストールシステムのパッチは包括的である必要があります。

（2）運用対策

運用中に以下の対策を実施してください。

1.システムのデフォルトシェアをオフにします。

方法1：バッチ処理を使用するシステムの起動後、ファイルは自動的に共有を削除します。システムが自動的に実行するすべての共有ディレクトリを表示するには、Cmdプロンプトで< Net Share>コマンドを入力することをお勧めします。次に、SHAREDEL.BATというバッチファイルを作成し、そのバッチファイルをスケジュールされたタスクに入れます。起動するたびに実行するように設定されます。ファイルの内容は次のとおりです。

ネットシェアC $ /DELETE

ネットシェアD $ /DELETE

ネットシェアE $ /DELETE

……

NET SHARE IPC $ /DELETE

NET SHARE ADMIN $ /DELETE

方法2：既定の共有機能を無効にするようにシステムレジストリを変更します。 Local_Machine \\ System \\ CurrentControlSet \\ Services \\ Lanmanserver \\ parametersに、値 "' 0'"を持つ新しい2バイトエントリ "Local share"を作成します。

2.不要な不要なネットワークプロトコルを削除します。

ネットワークプロトコルのNWLink NetBIOSプロトコル、NWLink IPX /SPX /NetBIOSプロトコル、NeBEUIプロトコルプロトコルとサービスなどを削除し、TCP /のみを保持します。 IPネットワーク通信プロトコル

3.不要なセキュリティリスクを無効にする

表1に示すシステムが実際の状況に応じて自動的に実行するセキュリティリスクを無効にすることができます。

表1終了するサービステーブル4.セキュリティポリシーを有効にする

セキュリティポリシーには、次の5つの側面があります。

（1）アカウントロックアウトポリシー。アカウントのロックアウトしきい値を設定し、5回の無効なログイン後にアカウントをロックします。

（2）パスワードポリシー。まず、パスワードは複雑さの要件を満たしている必要があります。つまり、パスワードには、英字、数字、および特殊文字を含める必要があります。+ _（）*& ^％$＃@！？><'：{上部キーその他の特殊文字次に、サーバーのパスワードの長さは少なくとも8文字に設定されています。 3番目はパスワードの最長保存期間です。通常1〜3ヶ月、すなわち30〜90日に設定します。 4つ目は、パスワードの最小保存期間：3日です。 4番目は必須のパスワード履歴です。0はパスワードを記憶しています。 5つ目は「復元可能な暗号化を使用してドメイン内のすべてのユーザーのパスワードを保存する」を無効にすることです。

（3）監査戦略。デフォルトのインストールは無効になっています。この機能を有効にすると、管理者がマシンの状態を把握してシステムの侵入検知を容易にするのに役立ちます。ログから、そのマシンがブルートフォース、不正なファイルアクセスなどによって攻撃されているかどうかを知ることができます。セキュリティ監査を有効にすることは、システム内の侵入検知の最も基本的な方法です。攻撃者が何らかの方法でユーザーのシステムに侵入しようとすると（ユーザーのパスワードの試行、アカウントポリシーの変更、不正なファイルアクセスなど）、セキュリティ監査によって記録されます。システムが危険にさらされ、システムが損傷したことを間に合わせて検出できないようにします。ログインイベント、アカウントログインイベント、およびアカウント管理の少なくとも3つのイベントを確認することをお勧めします。

（4） - ユーザー権利の割り当て - ' [ユーザーの権利の割り当て]で、[リモートシステムからの強制シャットダウン]権限を設定して、ハッカーによるシステムのリモートシャットダウンを防ぐためにこの権限を他のユーザーに与えないようにします。

（5）<セキュリティオプション< /'> [セキュリティオプション]オプションで、[匿名接続の追加の制限]を[SAMアカウントを共有して共有]に変更します。レジストリの値を変更し、Local_Machine \\ System \\ CurrentControlSet \\ Control \\ LSA-RestrictAnonymousの値を' 1'に変更して、空の接続の確立を無効にすることもできます。 LSAディレクトリにそのようなキー値がない場合は、値が「1」で16進数の「restrictanonymous」という名前の新しい2バイト値を作成できます。これにより、SAMアカウントと共有リソースを列挙するためのIPC $空接続の使用を効果的に防ぐことができ、その結果、システム情報が開示されることになります。

5、管理者アカウントとGuestアカウントの管理を強化します。

管理者アカウントの名前を変更し、 "Administrator"という名前のトラップアカウントを作成します。パスワードは10を超える複雑なパスワードです。つまり、そのアクセス許可は最低に設定されています。つまり、どのグループにも属していないように設定し、セキュリティ監査を通じて、攻撃者の侵入の試みを見つけることです。