打造安全的Windows 2003系统(2)

　　1．关闭默认的磁盘共享，修改组或用户对磁盘的控制权限。

　　安装完成后，默认是共享了所有硬盘分区的，还包括提供远程IPC和远程管理的两个共享：IPC$和ADMIN$，这就为以后的系统安全埋下了隐患，图1。解决这个问题有很多办法，这里介绍一种简单可行的解决方案。从“计算机管理”里打开“服务”（或者在运行里键入Services.msc回车），在里面找到Server服务，双击打开其属性，并设置为“禁用”即可，图2。Server服务是系统默认的和共享有关的服务，支持计算机通过网络的文件、打印和命名管道共享，禁用此服务后，一切基于此服务的其他服务也同时被禁止，包括Computer Browser和Distributed File Sysetm两个服务。前一个服务是Windows Server 2003的新服务，利用它可以把分散的共享合并成一个逻辑名称空间并在网络上管理这些逻辑卷，这能大大方便用户使用和管理那些分散的共享。后一个服务用来维护网络上计算机的更新列表，并将列表提供给计算机指定浏览，如果停止此服务，则列表就不会被更新或维护。当禁用Server服务后，这两个服务就不能使用。

图 1



图 2

　　另外，默认Everyone组用户对所有共享拥有完全的控制权，这也是非常危险的，任何人只要访问共享，就可以完全控制此共享，这当然是不符合安全要求的，图3。解决的办法也很简单，修改共享的安全属性，删除Everyone组或修改其访问权限即可。首先在共享上点右键打开其属性，在“安全”标签里可以看到此时可以访问此共享的组或用户情况，图3，下面的框显示的是被选中组或用户所拥有的权限。这里可以看到Everyone组拥有完全控制权。现在我们可以根据自己的实际情况来配置里面的组或用户拥有的权限。如果继续允许Everyone组用户访问，则必须从新设置其访问权限，只需要把“允许”里的权限后面的方框里的钩去掉即可。如果要删除Everyone组，则单击“删除”即可。如果需要新添加用户或组，使其也可以访问此共享，单击“高级”按钮进入高级安全设置，如图4。再单击“添加”进入用户选择，单击“高级”，选择“立即查找”就可以找到此计算机上所有的用户和组，图5。这里以Users组为例介绍。首先找到并选中Users组，单击“确定”进入权限设置，图6，这里就可以为Users组用户选择共享的权限，完了确定即可。这时候，Users组用户也可以访问此共享，并且拥有为其设置好的权限。

图 3



图 4



图 5



图 6