Windows 2000的安全维护及出错解决一例

计算机安全不仅包括保护计算机的本地数据，还要保护网络上的数据安全。优秀的操作系统可以对试图访问计算机资源的人员进行身份识别，防止特定资源被用户不适当地访问，并且提供用户简单有效的方法来设置和维护计算机的安全。目前PC用户常用的还是Windows，比较以前的版本，基于NT平台技术的 Windows 2000在稳定性和安全性上有很大的改善。下面以Windows 2000 Professional 为例进行说明，并顺便介绍一个应用问题的解决。

一、 Windows 2000安全功能

1．用户帐户和帐户组功能

确保只有有权用户才能访问计算机，同时有效地管理用户的特定任务权利和权限，如文件夹访问权限等。系统内置组可以使大多数用户获得执行各自任务所需的全部用户权利和权限。管理界面在“控制面板”中的“用户和密码”。

2．共享文件夹权限

通过给任何文件夹赋予共享文件夹权限，您可以限制或允许通过网络访问这些文件夹。通过项目的属性菜单设置。默认情况下，在Windows 2000中新增一个共享目录时，操作系统会自动将EveryOne这个用户组添加到权限模块当中，由于这个组的默认权限是完全控制，结果使得任何人都可以对共享目录进行读写。因此，在新建共享目录之后，要立刻删除EveryOne组或者将该组的权限调整为读取。

3．比FAT和FAT32更安全的NTFS文件系统的功能：

磁盘限额服务，可以控制每个用户允许使用的磁盘空间大小；

支持设置文件或文件夹的权限，限制或允许用户或组的访问，规定访问类型，就是说可以将每个用户允许读写的文件限制在磁盘目录下的任何一个文件夹内。如果要共享位于 NTFS 驱动器的文件夹无需特别设置，NTFS 文件夹访问权限在本机和网络上均有效；

NTFS还支持所有者加密文件和文件夹，更好地保护信息。

推荐使用NTFS磁盘分区。

4．打印机权限

通过指派打印机权限来限制用户访问。分打印文档、管理文档、管理打印机三种权限。通过项目的属性菜单设置。

5．审核

可以使用审核跟踪用于访问文件或其他对象的帐户，以及用户登录尝试、关闭或重新启动系统及其它指定的事件。在审核发生之前，您必须使用“组策略”指定要审核的事件类型。例如，要审核文件夹，首先要启用“组策略”中“审核策略”的“审核对象访问”。下一步，您可以象设置权限那样来设置审核：选择对象（例如文件或文件夹），然后选择要审核其操作的用户和组。最后，选择想要审核的操作，例如，试图打开或删除受限制的文件夹。可以审核成功和失败的尝试。通过使用“事件查看器”来查看“安全”日志可以跟踪审核活动。对于磁盘访问的审核机制只能应用在NTFS文件系统之上。应对所有需要审核的用户使用审核机制。

6．用户权利

用户权利是确定用户可以在计算机上所执行操作的规则。此外，用户权利控制用户是否可以直接（在本地）或通过网络登录到计算机、将用户添加到本地组、删除用户，等等。内置组具有已指派的用户权利集合。通常情况下，管理员通过向一个内置组添加用户帐户，或者通过创建新组并为该组指派特定用户权利来指派用户权利。随后添加到组中的用户自动获得指派给组帐户的所有用户权利。用户权利是通过“组策略”管理的。

7．其它本地安全设置

允许安全管理员配置指派给“组策略”对象或本地计算机策略的安全等级。本地安全策略是用于配置本地计算机的安全设置。这些设置包括密码策略、账户锁定策略、审核策略、IP 安全策略、用户权限指派、加密数据的恢复代理以及其他安全选项。由于本地安全策略主要是针对本地用户设置的，因此只有在不是域控制器的 Windows 2000 计算机上才可用。

以上前四点功能常用且易于设置，而审核与用户权利等安全设置使用较为复杂，但是功能确实非常强大，用户可对系统的操作参数进行深入细致的微调，直至完全满足个人需求。比如：

* 防止来自局域网内部的恶意攻击，用户可以得到某账户被人远程尝试登录的机器位置和次数的记录，取消某账号远程登录的权利等，这非常有用。

* 可以在策略上控制你所拥有的资源，比如禁止从网络访问本地的软驱或光驱，无论是否被设置为共享权限。

* 使用安全策略保护数据，让攻击者破解困难或根本不可能。算法和密钥的组合用于保护信息。Windows 2000通过使用基于加密的算法和密钥获得高安全级。

Windows 2000的安全设置主要在“本地安全策略”中进行。使用时单击“开始”，指向“程序”，指向“管理工具”，然后单击“本地安全策略”就行了。 它的设置包括：

* 帐户策略：密码和帐户锁定策略

* 本地策略：审核、用户权利和安全选项策略

* 公钥策略（IP 安全策略）： Internet 协议安全性 (IPSec) 管理。IPSec 策略为与别的计算机进行安全通讯的管理策略。

使用它最好有高级管理员的指导。

二、本地安全策略设置出错一例解决及进一步建议

1．本地安全策略设置过程中不注意的话，会产生比较大的麻烦。一个例子：

单位一台运行 Windows 2000 Professional的机器，用户设置时出错，在“本地策略”中，把“用户权利分配”的“拒绝本地登录”项目设为“Users,Guests,EveryOne”。导致注销后用户无法再次登录，系统提示“无法进行交互式会话”。设置项包含“EveryOne”使得所有账号都被禁止登录。

解决办法：Windows 2000将当前本地安全设置的数据记录存放在Windows系统目录system32下的config目录中，文件名SECURITY，只有将它修改正确才能正常登录。为简单起见，用系统初始配置覆盖它。由于机器使用FAT32格式，采用干净的Win98软盘启动，将Windows目录repair子目录下的SECURITY文件拷贝到config下覆盖出错文件。登录正常。正确设置如下图：

如果机器使用了NTFS格式，就必须用Windows 2000 安装软盘或者安装光盘启动。为了防止类似故障发生后一时找不到启动盘，难以快速解决问题，可以应用Windows 2000 故障恢复控制台特性。

2．Windows 2000故障恢复控制台

Windows 2000 故障恢复控制台是命令行控制台，可以从 Windows 2000 安装程序启动。使用故障恢复控制台，无需从硬盘启动 Windows 2000 就可以执行许多任务，可以启动和停止服务，格式化驱动器，在本地驱动器上读写数据（包括被格式化为 NTFS的驱动器），执行许多其他管理任务。如果需要通过从软盘或 CD-ROM 复制一个文件到硬盘来修复系统，或者需要对一个阻止计算机正常启动的服务进行重新配置，故障恢复控制台将特别有用。由于故障恢复控制台非常强大，只有通晓 Windows 2000 的高级用户才能使用。此外必须是管理员才有权使用故障恢复控制台。

可以从 Windows 2000 安装磁盘或者 Windows 2000 Professional CD 运行故障恢复控制台。作为备用选择，可以在计算机上安装故障恢复控制台，以便在不能重新启动 Windows 2000 时解决问题。这时只需从引导菜单上选中 Windows 2000 故障恢复控制台选项即可。在启动故障恢复控制台后，必须选择要登录的驱动器（如果有双重引导或者多重引导系统）且必须用管理员密码登录。

故障恢复控制台提供了一个命令行，这样在 Windows 2000 不启动时，就可以更改系统。一旦运行故障恢复控制台，在命令提示符下键入“help”可获得关于可用命令的帮助。要重新启动计算机，键入 exit 关闭命令提示符窗口。

将故障恢复控制台安装为一个启动选项，以便在计算机无法重新启动时，可以运行。安装为启动选项的方法：以管理员或具有管理员权限的用户登录 Windows 2000。将 Windows 2000 Professional 光盘插入 CD-ROM 驱动器。如果提示升级到 Windows 2000，单击“否”。 从命令提示符下（或从 Windows 2000 的“运行”命令框内）键入指向相应 Winnt32.exe 文件（在Windows 2000 光盘内）的路径，后跟一个空格和 /cmdcons 开关选项。例如：

e://i386/winnt32.exe /cmdcons

遵循出现的提示操作。

　故障恢复控制台安装在根文件夹下 /Cmdcons 文件夹内，包括根文件夹中的Cmldr 文件。Boot.ini 文件内包含故障恢复控制台的启动条目。

在Windows 2000的安全性无疑很高，但是，如果日常使用中不加注意的话，漏洞仍然存在，比如那些源自用户自己的问题。对于一般用户，笔者建议将控制面板的管理工具中的本地安全策略隐去，以免发生使用不当的问题。确实需要时可以从命令行[命令格式：c:/winnt/system32/secpol.msc /s]启动本地安全策略设置。