Windows 2003：強(qiáng)化IAS服務(wù)器

發(fā)布時(shí)間: 2012/7/12 10:10:44

本章提供了有關(guān)對(duì)運(yùn)行于Microsoft? Windows Server? 2003之上的Internet Authentication Service(IAS)服務(wù)器進(jìn)行安全性強(qiáng)化的建議和資源。IAS是一種遠(yuǎn)程身份驗(yàn)證撥號(hào)用戶(hù)服務(wù)(RADIUS)服務(wù)器，它實(shí)現(xiàn)了用戶(hù)身份驗(yàn)證、授權(quán)以及帳戶(hù)的集中管理等功能。IAS可用于驗(yàn)證位于Windows Server 2003、Windows NT 4.0或Windows 2000域控制器數(shù)據(jù)庫(kù)中的用戶(hù)。IAS支持各種網(wǎng)絡(luò)訪問(wèn)服務(wù)器(NAS)，包括路由和遠(yuǎn)程訪問(wèn)(RRAS)。

　　RADIUS隱藏機(jī)制使用了共享秘文的RADIUS、Request Authenticator以及MD5散列算法來(lái)給用戶(hù)的口令以及其它屬性加密，例如隧道口令(Tunnel – Password)和MS – CHAP – MPPE – Keys。RFC 2865指出了用戶(hù)對(duì)評(píng)估環(huán)境威脅以及決定是否應(yīng)當(dāng)使用附加安全性的潛在需要。

　　您可以通過(guò)利用了ESP(Encapsulating Security Payload)和一種加密算法(例如3DES)的IPSec為隱藏屬性提供更多的保護(hù)，同時(shí)為所有RADIUS消息提供數(shù)據(jù)機(jī)密性。

　　Windows Server 2003以在發(fā)售之時(shí)具有安全的缺省配置。為提高本章的易用性，這里僅僅介紹那些沒(méi)有被成員服務(wù)器基線策略(MSBP)修改的設(shè)置。如需了解更多關(guān)于MSBP設(shè)置的信息，請(qǐng)參看第3章“創(chuàng)建成員服務(wù)器基線”。如需了解關(guān)于所有缺省設(shè)置的信息，請(qǐng)參看本指南的姐妹篇“威脅與對(duì)策：Windows Server 2003與Windows XP的安全設(shè)置”。

　　注意：IAS服務(wù)器角色的設(shè)置要求僅在企業(yè)客戶(hù)(Enterprise Client)環(huán)境中進(jìn)行了測(cè)試。因此，此處沒(méi)有包括本指南為其他大部分服務(wù)器角色所提供的有關(guān)IPSec過(guò)濾器和DoS攻擊的信息。

　　審核策略設(shè)置

　　在本指南所定義的三種環(huán)境下，IAS服務(wù)器的審核策略設(shè)置通過(guò)MSBP來(lái)配置。要了解更多關(guān)于MSBP的信息，請(qǐng)參看第3章“創(chuàng)建成員服務(wù)器基線”。MSBP設(shè)置確保與安全性相關(guān)的所有信息都能夠記錄在所有IAS服務(wù)器上。

　　用戶(hù)權(quán)限分配

　　在本指南定義的三種環(huán)境下，IAS服務(wù)器的用戶(hù)權(quán)限分配也通過(guò)MSBP來(lái)配置。要了解關(guān)于MSBP的更多信息，請(qǐng)參看第3章“創(chuàng)建成員服務(wù)器基線”。MSBP設(shè)置確保了企業(yè)能夠?qū)AS訪問(wèn)進(jìn)行統(tǒng)一的正確配置。

　　安全選項(xiàng)

　　在本指南定義的三種環(huán)境下，IAS服務(wù)器的安全選項(xiàng)設(shè)置也是通過(guò)MSBP來(lái)配置。要了解更多關(guān)于MSBP的信息，請(qǐng)參看第3章，“創(chuàng)建成員服務(wù)器基線”。MSBP設(shè)置保證了企業(yè)可以統(tǒng)一配置對(duì)IAS服務(wù)器的安全訪問(wèn)。

　　事件日志

　　在本指南定義的三種環(huán)境下，IAS服務(wù)器的事件日志設(shè)置通過(guò)MSBP來(lái)配置。要了解關(guān)于MSBP的更多信息，請(qǐng)參看第3章，“創(chuàng)建成員服務(wù)器基線”。

　　系統(tǒng)服務(wù)

　　任何服務(wù)或應(yīng)用程序都是潛在的攻擊點(diǎn)，因此任何不必要的服務(wù)或可執(zhí)行文件都應(yīng)當(dāng)被禁用或刪除。在MSBP中，這些可選的服務(wù)以及其他任何不必要的服務(wù)都將被禁用。

　　因此，本指南中關(guān)于IAS服務(wù)器角色的建議可能不適用于您的環(huán)境。請(qǐng)根據(jù)您的實(shí)際需要，調(diào)整這些IAS服務(wù)器組策略的建議以滿(mǎn)足您所在組織的需要。

本文出自：億恩科技【www.ypdoo.com.cn】

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]