利用安全模板定义安全策略

啤酒中的虾

在WIN2K中大家都很熟悉组策略，那么大家知道利用安全模板来定义安全性能吗？ 0 f$ A$ J6 D2 @+ F8 G# X: m$ I1.了解安全模板[如图1]

8 }2 h& ?0 Y% c) p# [4 o. P

( J% n" ~/ ?1 J3 D( C& Z, d1 P5 J

compatws:提供基本的安全策略，放松用户组的默认文件和注册表权限，使之与多数没有验证的应用程序的要求一致。Power Users 组通常用于运行没有验证的应用程序。 hisecdc: 配置高安全的DC模板，默认具有一定的安全性能，securedc 的超集。对 LanManager 身份验证以及安全频道和 SMB 数据的加密和签字的进一步要求提供进一步的限制。为了将 hisecdc 用于 DC，在所有信任和受信域中的 DC 必须运行 Windows 2000 或更新版本。 hisecws:提供高安全的客户端策略模板，securews 的超集。对 LanManager 身份验证以及安全频道和 SMB 数据的加密和签字的进一步要求提供进一步的限制。为了将 hisecws 用于一个成员，包含登录到此客户所有用户的账户的所有 DC 必须运行 NT4 SP4 或更高。 : g1 f& ~5 _4 `7 U5 F " |, G" g3 t ~2 Prootsec:将默认的根目录权限运用于 OS 磁盘分区并将此权限传播到从根目录继承的子对象。传播时间由未受保护的子对象的数目决定。 : M: W& ^% i4 l, |7 R; c. K securedc:安全的策略模板,提供了较高的安全策略给DC，提供增强的域账户策略，限制 LanManager 身份验证的使用，对匿名用户提供进一步的限制。 如果 DC 配置了安全域控制器(securedc)，位于那个域账户的用户将不能连接到一个只是 LanMan 客户的任何成员服务器 2 j6 Q. R6 o1 G( a3 msecurews:提供安全的策略给客户机,提供增强的本地账户策略，限制 LanMan 身份验证的使用， 启用服务器端 SMB 签字，对匿名用户提供进一步的限制。 要用于一个域的成员，包含登录到此成员所有用户的账户的所有 DC 必须运行 NT4 SP4 或更高。 1 Z- |- Y+ [4 j7 t9 tsetup security:默认提供的安全策略，全新安装系统的默认安全设置 。 ( O* x$ u. y4 H' d: K& d% k* t2.配置一个安全策略模板[如图2] 8 y) e( l2 ^& ^) J2 r+ K进入后配置你需要配置的信息，也可以保持默认！ % \. x2 m" j2 ]" B# d 3.利用运行--输入MMC调用选择安全配置和分析[如图3,图4] * Z$ G+ h/ \. t

ilikenba

顶!

啤酒中的虾

4.选择安全配置和分析--右键--选择打开数据库，这个时候会让你选择一个数据库，你不用管他直接随便输入一个名字就可以了！然后选择打开[如图5] , c. L3 x! g+ L& B! \' B* x , K2 L# J6 W# K4 @2 x然后系统会自动提示你配置的结果[如图6]

* C& `! T% v! U- l/ k9 _4 ?$ R

5 @& W$ F+ I2 f. }2 L/ v选择安全配置和分析--选择立即配置到计算机[如图7]

6 X0 V+ ~ N$ |) l- `& |

以上的方法可以让我们通过安全模板来设置自己系统的安全性，当然我们还可以通过secedit的命令来配置，下面说一个列子。具体参数和详细资料参考SECEDIT命令 配置一个安全模板到计算机 9 a- d5 E& W5 t% W. J/ tsecedit /secedit /configure / z& o: _) h9 G( E2 {" d& y % g# Z2 W$ w3 X- m" s# g通过应用已存储模板，配置系统安全性。 语法 secedit /configure /db FileName [/cfg FileName ] [/overwrite][/areas area1 area2...] [/log FileName] [/quiet] C7 D- k" G7 _$ q" H 参数 /db FileName 必需的。提供数据库的文件名，该数据库包含应该使用的安全模板。 * I$ h2 B- o1 T/cfg FileName 指定安全模板的文件名，此安全模板将导入到数据库并应用于系统。只有当使用了 /db 参数时此命令行选项才有效。如果没有指定该参数，将应用已存储在数据库中的模板。 0 k/ Y0 v6 d) r5 A M/overwrite ) W3 N2 {0 f* O指定 /cfg 参数中的安全模板是否应该覆盖存储在数据库中的任何模板或复合模板，而不是将结果附加到存储的模板中。只有当使用了 /cfg 参数时此命令行选项才有效。如果没有指定，就会将 /cfg 参数中的模板附加到存储的模板中。 /areas area1 area2... 指定应用到系统中的安全区域。如果没有指定区域，则所有区域都应用到系统。每个区域应通过空格分隔。 区域名称 说明 7 A% q# {, o, V' ]& n8 T, I4 {/ k( QSECURITYPOLICY 系统的本地策略和域策略，包含帐户策略、审核策略等等。 GROUP_MGMT 在安全模板中指定的任何组的受限组设置 USER_RIGHTS 用户登录权限和特权 REGKEYS 本地注册表项上的安全性 0 r( g9 `* E5 H. ~! [9 YFILESTORE 本地文件存储的安全性 SERVICES 所有定义的服务的安全性 /log FileName 4 A) M1 U% h- y$ F' B指定过程日志文件的文件名。如果没有指定，将使用默认路径。 2 c4 W! P' M, N* j$ }6 i" W: i/quiet 不使用屏幕和日志文件的输出。 secedit /export $ n$ e0 |. V$ M5 U$ [ 1 g$ c# Q0 p- H( |3 w9 }1 h此命令从安全数据库中将存储的模板导出到安全模板文件中。 ' y- ~! N, Z+ E3 H6 n语法 secedit /export [/mergedpolicy] [/DB FileName] [/CFG FileName] [/areas area1 area2...] [/log FileName] [/quiet] * ?& d6 D0 R7 x% [ : h4 ]) c8 ]* g& V5 _6 m8 j参数 /mergedpolicy ( M$ C+ l/ E Q, H M" |5 j5 d合并并导出域和本地策略安全性。 9 b& _, c4 A4 r- u- e9 A/ z `: s/db FileName 指定包含将被导出的模板的数据库文件。如果没有提供数据库文件的名称，将使用系统策略数据库。 /db FileName 指定保存模板的文件名称。 /areas area1 area2... $ O( p4 {3 ~# E: [/ O* q4 x5 x指定将被导出到模板的安全区域。如果没有指定区域，则所有区域都将被导出。每个区域应通过空格分隔。 区域名称 说明 / q1 L, Z: U4 T+ z6 K( s, [SECURITYPOLICY 系统的本地策略和域策略，包含帐户策略、审核策略等等。 / B/ u/ H" x6 y( ^; g; zGROUP_MGMT 指定在安全模板中指定的任何组的受限组设置。 1 Y# G4 W; i7 Y1 d4 f. W- bUSER_RIGHTS 指定用户登录权限和特权 REGKEYS 指定本地注册表项的安全性 + h1 B. o' d( ~FILESTORE 指定本地文件存储的安全性 ; J; k+ P& j/ x7 c% ^SERVICES 指定所有定义的服务的安全性 ) W' {3 R% k9 `/ r K& P( F+ W/log FileName 指定该过程日志文件的文件名。如果没有指定，将使用默认路径。 /quiet . u6 x) L* ~6 T8 z不使用屏幕和日志文件的输出。 : v% L& G. u# b `( n5 usecedit /validate 验证要导入到分析数据库或系统应用程序的安全模板的语法。 语法 ( b# s+ L% Q1 i& Usecedit /validate FileName 9 v$ q( k, N! j: t) Q2 a ' ?* o5 W i" u! w/ v参数 % P* t& W$ v, V! r8 O0 O+ BFileName 指定使用安全模板创建的安全模板文件名。 注释 ' s" E8 l3 }* I) hsecedit /refreshpolicy 已经被 gpupdate 替代。有关如何刷新安全设置的信息，请参阅 gpupdate。 格式化图例 7 ]. f) z" Q, J4 X格式 含义 $ X+ s9 T! Y8 G斜体 用户必须提供的信息 粗体 用户必须准确键入的要显示的元素 1 g* k( ?" ~1 }* h省略号 (...) 在命令行中可多次重复的参数 # G9 b7 e: d8 w" y, u J中括号 ([]) 可选项 4 U+ e- n, l2 z, e8 w: n大括号 ({})；选项用竖线 (|) 分隔。例如： {even|odd} 用户必须从选项集合中选择一个 Courier 字体 代码或程序输出