51CTO专访微软MVP张诚:扎紧篱笆 野狗也就钻不进来了

原创
系统
“纵然是树大招风,但是只要篱笆扎得紧,野狗也就钻不进来了。”这是资深微软MVP张诚老师对于Windows Server服务器安全的描述。

前言:对于很多运维来说服务器的系统安全是让人十分揪心的事情。而Windows Server服务器在很多管理员看来又是噩梦,不仅漏洞百出,而且没有很好的工具来进行维护。其实这是错误的,那么如何才能完善Windows Server服务器的安全性能呢?那么经常使用的安全机制在被攻击时又有哪些表现呢?为此我们请到了资深微软MVP张诚老师为我们解答这些问题。

 张 诚

人物简介:张诚 微软资深系统架构师,IT 基础架构专家。三届微软全球最有价值专家(MVP),Windows Desktop Experience 方向,微软 TechED 大会特约讲师。他是微软中文社区 Windows 版版主,清华大学出版社特约作者,ITECN 博客(微软官方指定推荐博客)核心作者。他熟悉微软 Windows 操作系统和活动目录,具有多年微软服务器产品的项目和培训经验,现致力于传播绿色 IT 概念。曾获两次获得微软 CPE 杰出贡献奖、微软大中华区“认证达人”称号。著作有《Windows 7 安全指南》、《Windows 7 实用宝典》、《精通 Windows Powershell 脚本编程》等。

51CTO:如何完善Windows Server服务器的安全性能。

张诚:关于Windows服务器的安全话题,可以说是一个老生常谈的话题。经常听有人说在Windows平台总会漏洞百出,安全性能不及Linux和Unix,其实这都是错误的说法。就好比前阵子挪威出现的枪击事件,再安全的国度总会有意外情况发生,而Windows服务器之所以总是处于风口浪尖,和其市场占用率不无关系。纵然是树大招风,但是只要篱笆扎得紧,野狗也就钻不进来了。

关于任何服务器,包括客户端,重中之重就是打系统补丁,系统补丁至于操作系统的重要性不言而喻。因此这里就涉及到了一个新的话题,微软对于服务器操作系统的支持力度,比如微软对于Windows Server 2008 R2的支持肯定要远远胜于Windows Server 2000,因此我们在企业中就要尽可能的去升级到最新的平台,但是我这里说是尽可能,因为升级到新平台是需要花上一定的代价。

其次就是对于服务器的配置,就拿活动目录服务器来说,整个森林体系架构的设计,域的账户策略的定义,这些都需要事前通过大量的时间去设计,去做测试的,这个过程其实非常重要,但是现在的很多企业都很忽视这一点。我个人比较推崇的是微软所提出的“深层防御体系”,一共有7个层面,只要以这7层来设计整个网络体系,我觉得还是可以处于比较高的安全等级。

51CTO:在日常工作中Windows Server服务器最常遇到哪种形式的攻击?每种攻击的威胁都有哪些?

张诚:这个问题问得范围很广,因为Windows服务器只是一个基础平台,在上面跑得服务器程序才是重点,但这里的难点是,Windows服务器和上面跑得服务器程序又是一个相辅相成的关系。比如在Windows Server 2003上运行SQL Server 2000,如果SQL Server 2000上的SA启用了弱口令,被一些破解工具扫出,而这台SQL Server 2000又启用了XP_CMDSHELL这个存储过程(在2000上默认是启用的),那作为攻击者就很容易的通过运行"net user"这个命令来添加管理员帐号,而一旦Window Server上的远程桌面服务器被打开,那么攻击者就可以轻而易举的攻破服务器防线。因此做好服务器的防护和设置只是一部分内容,更多的要以更加宏观的角度来看待安全问题。

就目前比较多的服务器攻击而言,在企业内部要注意的是蠕虫病毒,我个人所在的企业就遇到过这个问题。当时企业网络中有受感染的客户端连入,而企业中的很多客户端计算机又没有及时更新补丁,因此这个时候蠕虫的冲击速度是非常快的,不停的尝试破解AD的管理帐号。最后只能借助于专杀工具,才把问题给解决了。

另外,现在比较流行的虚拟化,也要注意安全保护。因为虚拟化就好比把鸡蛋放在一个篮子,因此这个篮子如果被攻破了,那么其带来的影响可能是毁灭性的。

51CTO:Windows Server自带的高级防火墙在应对攻击的时候表现如何?在应对攻击的时候优点和缺点都有哪些?

从Windows Server 2008开始,Windows里面就附带了高级防火墙(WFAS)的功能,具体打开的命令是wf.msc(而是用firewall.cpl可以打开基本防火墙)。这个防火墙最大的特点就是支持出战数据监测和IPSEC集成,将Windows防火墙功能和Internet 协议安全(IPSec)集成到一个控制台中。使用这些高级选项可以按照环境所需的方式配置密钥交换、数据保护(完整性和加密)以及身份验证设置。可以针对Windows Server上的各种对象创建防火墙规则,配置防火墙规则以确定阻止还是允许流量通过具有高级安全性的Windows防火墙。传入数据包到达计算机时,具有高级安全性的Windows防火墙检查该数据包,并确定它是否符合防火墙规则中指定的标准。如果数据包与规则中的标准匹配,则具有高级安全性的Windows防火墙执行规则中指定的操作,即阻止连接或允许连接。如果数据包与规则中的标 准不匹配,则具有高级安全性的Windows防火墙丢弃该数据包,并在防火墙日志文件中创建条目(如果启用了日志记录)。

如果说有弱点的话,我觉得还不足够的智能,还不足以去感应服务器上的角色,从而自动变化配置。可能我的要求有点高吧。

51CTO:作为运维人员来说每一个企业都会有不同的生产环境,打造一套合适的生产环境需要运维人员注意那些?

张诚:还是说一下我刚刚提及的“深层防御体系”,从上到下分别是数据层、应用程序、主机、内部网络、边缘、物理安全和最下面的策略制定。在数据层面,我们可能需要用到ACL、EFS来加密我们的数据。在应用程序层,要用防病毒软件和我刚刚体积的合理化的配置来解决安全性的问题。在主机层,要定期更新系统补丁,使用AD完成身份验证的工作。在内部网络层,我们要使用网络分段、IPSec以及NIDS技术来加固。在边缘层,自然就是通过防火墙、VPN隔离来把篱笆扎得更紧。而物理安全是我们经常忽略的一个问题,这里面牵涉到机房人员的进出,服务器的硬件状态等,这里我建议大家可以去参考机房的一些建设模型。而最后我想强调的就是公司的策略制定,因为一切的一切都是以人为本,人的教育意识问题永远放在第一位,秦始皇治理天下的首要目的就是车同轨,书同文,一旦用户的意识有了一致,那么这个地基就算打牢固了。

51CTO:最后您有没有对Windows运维人员分享一些工作中的技巧或者经验呢?

张诚:可以多去看一些优秀的技术博客和书籍,然后适当的去接触一些新技术。对于自己比较感兴趣的,用虚拟机,搭建一个虚机环境,做好快照,然后一步一步的去配置,并把心得体会,可以通过博客或者论坛的途径来分析给更多的技术同行,广交良友。

责任编辑:张浩 来源: 51CTO.com
相关推荐

2011-10-09 09:22:41

2011-05-11 13:01:55

2012-01-05 19:19:19

微软

2011-11-01 12:15:16

TechEd 2011

2017-03-30 14:10:16

51CTO 学院

2010-08-26 08:57:04

AndroidAndroid开发

2012-07-13 09:58:06

WEBWEB前端性能优化

2011-10-25 15:10:56

微软TechE d2011

2011-12-23 16:13:25

2009-11-13 04:23:12

云计算Gartner专访

2011-01-04 15:29:30

开发技术

2012-10-10 10:00:14

2009-08-07 11:45:58

云计算SOA虚拟化

2014-03-05 18:57:31

2011-09-08 13:50:51

51cto 51CTO

2011-05-20 08:56:55

Office应用访谈金山

2010-07-06 15:14:16

微软MVP

2010-12-10 13:21:47

51CTO博客大赛

2011-01-13 14:55:48

周金桥

2011-09-08 13:26:27

51cto 51CTO
点赞
收藏

51CTO技术栈公众号