问答：如何阻止对服务器的非法网络访问

　　 

    问：

    我需要改造一个使用“Windows Server 2003”和“Windows XP Pro”操作系统的网络。用户虽然能够登录在这台服务器中的域，但是，这些用户一般都不登录这个域。相反，他们使用这台服务器不知道的用户名登录这台本地的机器。

通过以快捷方式和脚本的方式的使用这台服务器的IP地址，未经授权的用户能够访问存储在这台服务器中的文件。我认为，这台服务器的安全功能肯定是被部分地关闭了以便允许未经授权的用户访问。我不敢肯定这种事情是不是有问题。但是，我最近发现这台路由器正在被用作DHCP（动态主机配置协议）服务器，而不是当作Win2003服务器。谁能提供一个建议强制用户登录到这个域以阻止这种未经允许的访问行为？

    答1：

    每一台客户机都可以访问对方的网络账户。要阻止这种事情发生，把本地管理员账户名称改为用户不知道的其它名称。这很容易做到，简单地通过组策略就可以实现。我还要修改域控制器和工作站账户。这将迫使每一个人都使用分配给他们的域用户账户。如果你要查看谁试图访问这个账户，你可以创建一个虚假的、关闭功能的管理员账户，并把这个账户用于安全登录的目的。">这听起来好像是所有这些系统都是使用同样的用户名和口令创建的。我倾向于认为他们在使用“管理员”用户名。而且，如果这个“管理员”账户在这两台计算机上都有，并且这个账户的口令是“p@ssw0rd”，每一台客户机都可以访问对方的网络账户。要阻止这种事情发生，把本地管理员账户名称改为用户不知道的其它名称。这很容易做到，简单地通过组策略就可以实现。我还要修改域控制器和工作站账户。这将迫使每一个人都使用分配给他们的域用户账户。如果你要查看谁试图访问这个账户，你可以创建一个虚假的、关闭功能的管理员账户，并把这个账户用于安全登录的目的。

    答2：

    我会检查域安全政策和本地安全政策。确认每一个人都加入了这个域，而且你的许可没有限制。用户必须获得批准才能访问这个域和资源。你在管理工具中能够发现大多数这些内容。删除在XP主机中的工作组PC（输入域名系统前缀并且选择“改变域名系统前缀”）。

    答3：

    要限制本地登录，你可以使用组策略。有一种安全设置可以在组策略中进行设置。阅读微软知识库中编号823659的文章可以了解这种设置方法。

    你还可以修改NTFS（新技术文件系统）安全设置来控制最终用户访问的文件/文件夹。设置这个功能，这样只有获得批准的域的未经授权的用户能够访问你认为可以访问的内容。

    如果你知道正在使用的用户名和口令是什么，修改这些用户名和口令。如果这是本地计算机管理员的账户，有许多可用的脚本能够很方便地进行这种修改。

    答4：

    你好像有一个像工作组一样工作的域。如果你拥有这个权限，创建一个与本地账户名称不同的域账户。然后，然后关闭用来绕过域安全措施的任何域账户（或者至少要修改口令），强制用户使用他们的域账户。你需要确认用户必须使用他们自己的域账户访问他们在服务器上需要的资源。

    然而，要记住，我在推测工作站是域成员。一旦用户开始使用域账户登录，你就可以使用组和策略来管理他们。

    对于记录来说，DHCP服务器是什么设备都没有关系，只要它能够提供合适的地址和你的环境选项就行。路由器对于一个单个的子网是一种合理的选择。由于路由器没有硬盘，路由器可能会比服务器更可靠。

    答5：

    我是这样做的。首先，进入“开始”->“程序”->“管理工具”->域控制器安全策略。然后进入安全选项。

    下一步，验证如下两个项目：

    网络接入：允许“每一个人”申请匿名用户――>关闭。

    网络接入：不允许匿名列举存储域管理账户和共享――>打开。

    选择这两个选项应该能够纠正匿名访问问题。

    最后，我会验证这些用户登录使用的本地账户与你的预的账户不一样，或者是你域控制器本地的账户。如果你让他们相同的话，这些用户名可以是一样的。但是，你必须确认口令是不同的，而且用户不知道这个口令是什么。因此，如果这些用户名是相同的，域将提示用户输入口令。遗憾的是Windows仅证实用户名，不验证这种安全识别符号。按照这些步骤应该能够解决你的服务器的未经授权的访问难题。

原文转自：http://www.ltesting.net