目前，Windows2000 SERVER是比较流行的服务器操作系统之一，但是要想安全的配置微软的这个操作系统，却不是一件容易的事。本文试图对Windows2000 SERVER的安全配置进行初步的探讨。
一、 定制自己的Windows2000 SERVER
1． 版本的选择：Windows2000有各种语言的版本，对于我们来说，可以选择英文版或简体中文版，我强烈建议：在语言不成为障碍的情况下，请一定使用英文版。要知道，微软的产品是以Bug & Patch而著称的，中文版的Bug远远多于英文版，而补丁一般还会迟至少半个月（也就是说一般微软公布了漏洞后你的机子还会有半个月处于无保护状况）
2． 组件的定制：Windows2000在默认情况下会安装一些常用的组件，但是正是这个默认安装是极度危险的（米特尼科说过，他可以进入任何一台默认安装的服务器，我虽然不敢这么说，不过如果你的主机是Windows2000 SERVER的默认安装，我可以告诉你，你死定了）你应该确切的知道你需要哪些服务，而且仅仅安装你确实需要的服务，根据安全原则，最少的服务 最小的权限=最大的安全。典型的WEB服务器需要的最小组件选择是：只安装IIS的Com Files，IIS Snap-In，WWW Server组件。如果你确实需要安装其他组件，请慎重，特别是：Indexing Service, FrontPage 2000 Server Extensions, Internet Service Manager (HTML)这几个危险服务。
3． 管理应用程序的选择
选择一个好的远程管理软件是非常重要的事，这不仅仅是安全方面的要求，也是应用方面的需要。Windows2000的Terminal Service是基于RDP（远程桌面协议）的远程控制软件，他的速度快，操作方便，比较适合用来进行常规操作。但是，Terminal Service也有其不足之处，由于它使用的是虚拟桌面，再加上微软编程的不严谨，当你使用Terminal Service进行安装软件或重起服务器等与真实桌面交互的操作时，往往会出现哭笑不得的现象，例如：使用Terminal Service重起微软的认证服务器（Compaq, IBM等）可能会直接关机。所以，为了安全起见，我建议你再配备一个远程控制软件作为辅助，和Terminal Service互补，象PcAnyWhere就是一个不错的选择。
二、 正确安装Windows2000 SERVER
1．分区和逻辑盘的分配，有一些朋友为了省事，将硬盘仅仅分为一个逻辑盘，所有的软件都装在C驱上，这是很不好的，建议最少建立两个分区，一个系统分区，一个应用程序分区，这是因为，微软的IIS经常会有泄漏源码/溢出的漏洞，如果把系统和IIS放在同一个驱动器会导致系统文件的泄漏甚至入侵者远程获取ADMIN。推荐的安全配置是建立三个逻辑驱动器，第一个大于2G，用来装系统和重要的日志文件，第二个放IIS，第三个放FTP，这样无论IIS或FTP出了安全漏洞都不会直接影响到系统目录和系统文件。要知道，IIS和FTP是对外服务的，比较容易出问题。而把IIS和FTP分开主要是为了防止入侵者上传程序并从IIS中运行。（这个可能会导致程序开发人员和编辑的苦恼，管他呢，反正你是管理员J）
2．安装顺序的选择：不要觉得：顺序有什么重要？只要安装好了，怎么装都可以的。错！Windows2000在安装中有几个顺序是一定要注意的：
首先，何时接入网络：Windows2000在安装时有一个漏洞，在你输入Administrator密码后，系统就建立了ADMIN$的共享，但是并没有用你刚刚输入的密码来保护它，这种情况一直持续到你再次启动后，在此期间，任何人都可以通过ADMIN$进入你的机器；同时，只要安装一完成，各种服务就会自动运行，而这时的服务器是满身漏洞，非常容易进入的，因此，在完全安装并配置好Windows2000 SERVER之前，一定不要把主机接入网络。
其次，补丁的安装：补丁的安装应该在所有应用程序安装完之后，因为补丁程序往往要替换/修改某些系统文件，如果先安装补丁再安装应用程序有可能导致补丁不能起到应有的效果，例如：IIS的HotFix就要求每次更改IIS的配置都需要安装（变不变态？）
三、 安全配置Windows2000 SERVER
即使正确的安装了Windows2000 SERVER，系统还是有很多的漏洞，还需要进一步进行细致地配置。
1．端口：端口是计算机和外部网络相连的逻辑接口，也是计算机的第一道屏障，端口配置正确与否直接影响到主机的安全
2．IIS：IIS是微软的组件中漏洞最多的一个，平均两三个月就要出一个漏洞，而微软的IIS默认安装又实在不敢恭维，所以IIS的配置是我们的重点，现在大家跟着我一起来：
首先，把C盘那个什么Inetpub目录彻底删掉，在D盘建一个Inetpub（要是你不放心用默认目录名也可以改一个名字，但是自己要记得）在IIS管理器中将主目录指向D:\Inetpub；其次，那个IIS安装时默认的什么scripts等虚拟目录一概删除（罪恶之源呀，忘了http://www.target.com/scripts/..
采用以下四个步骤，你能够减轻保护网络的压力。下面是一些加强你的网络防护的方法。
最近，微软在宣传如果你想要得到一个真正安全的网络，你必须关注5个重要的领域。这些领域包括周边防护，网络防护，应用防护，数据防护，和主机防护。在本文中，我将讨论网络防护，帮助获得深度安全。
微软的安全哲学是你应该关注五个独立的领域，就好象你需要独立对它们进行防护。这样的话，你就能够确保这些领域都得到了妥善的防护。通过独立地关注这些领域，你还能够确保当其中一项防护受到安全威胁的时候，其他的四层防护还是能够起效果并且保护你的网络。
什么是网络防护？
首先，网络防护的概念显得过于宽泛笼统。但是在这个领域内没有什么是多余或者是过于笼统的。网络防护解决了包括网络之间联接的问题，把所有的网络联接成一个整个的网络。网络防护并不解决诸如外部防火墙或者拨号联接的问题，周边安全性包含了这些问题。网络防护也不涵盖单个的服务器或者工作站的问题，那是属于主机防护的问题。网络防护涵盖了包括协议和路由器等问题。
内部防火墙
网络防护不包含外部防护墙，但这并不意味着它完全不涉及防火墙。相反，我所建议的网络防护的第一步就是在可能的情况下使用内部防火墙。内部防火墙同外部防火墙一样是安全的基础。两者主要的区别在于内部防火墙的主要工作是保护你的机器不受内部通信的伤害。有很多使用内部防火墙的理由。
首先，想象一下，如果一个黑客或者某种病毒以某种方式控制了你的外部防火墙，那么他就可以不受防火墙阻碍地同内部网络进行通信。通常，这意味着你的网络对于外部世界完全敞开。但是，如果你有内部防火墙，那么内部防火墙会阻止从外部防火墙里溜进来的恶意的数据包。
使用内部防火墙的另一个主要的原因是很多攻击都是内部的。首先，你可能听说过这种说法，并且认为内部攻击不太可能出现在你的网络中，但是我在我所工作过的每一家公司的安全部门里，都见过内部攻击。
在我曾经工作过的两个地方，其他部门的有些人是黑客或者对管理权狂热爱好。他们会认为探测网络以获得尽可能多的信息是一件很酷而且很值得炫耀的事情。在这两个地方，他们都没有任何主观上的恶意（或者说他们都声明自己没有恶意），他们只是想在朋友面前炫耀自己能够攻击系统。不论他们的动机如何，他们确实给网络安全造成了危害。你必须防范你的网络受到这样的人的攻击。
在我工作过的其他一些地方，我看到人们未经授权就自己安装软件，而这些软件中却包含了特洛伊木马。这些特洛伊木马进入系统后就可以通过特定端口将你的信息广播出去。防火墙很难阻止恶意的数据包进入网络，因为数据包已经在网络之中了。
这些事实导致了一个有趣的现象：我认识的绝大部分技术人员都让他们的外部防火墙阻止绝大部分流入网络的通信包，但是却对于流出的通信包却不加限制。我建议要对流出的通信也要像对待流入的通信一样谨慎，因为你永远不会知道，什么时候会有一个特洛伊木马躲在你的网络里，向外广播你网络中的信息。
内部防火墙可以放在任何一台电脑上或者任何一台服务器上。市场上有一些很好的个人防火墙产品，比如赛门铁克 Norton Personal Firewall 2003。但是因为Windows XP自带了一个内置个人防火墙，所以你并不一定要为你的工作站花钱购买独立的个人防火墙。
如果你想使用Windows XP防火墙，用鼠标右键点击“我的网络”，然后从快捷菜单中选择“属性”来打开“网络连接”窗口。接下来，用鼠标右键点击你想要保护的网络联接并选择属性。现在，选择高级菜单，然后点击互联网连接防火墙选项。你可以使用 “设置”按钮来选择保持开放的端口。虽然Windows XP防火墙是一个互联网防火墙，它也可以被作为内部防火墙使用。
加密
我建议的下一个步骤对于你的网络通信进行加密。只要可能的话，就要采用IPSec。因此，你需要了解IPSec安全性。
如果你配置一台机器使用IPSec，你应该对于进行双向加密。如果你让IPSec要求加密，那么当其他的机器试图连接到你的机器上的时候，就会被告之需要加密。如果其他机器有IPSec加密的能力，那么在通信建立的开始就能够建立一个安全的通信通道。另一方面，如果其他机器没有IPSec加密的能力，那么通信进程就会被拒绝，因为所要求的加密没有实现。
请求加密选项则略有不同。当一个机器请求联接，它也会要求加密。如果两台机器都支持IPSec机密，那么就会在两台机器之间建立起一个安全的通路，通信就开始了。如果其中一台机器不支持IPSec加密，那么通信进程也会开始，但是数据却没有被加密。
由于这个原因，我提供一些建议。首先，我建议把一个站点内所有的服务器放在一个安全的网络中。这个网络应该完全同平常的网络分开。用户需要访问的每一台服务器都应该有两块网卡，一个联接到主要网络，另一个联接到私有服务器网络。这个服务器网络应该只包含服务器，而且应该有专用的集线器或者交换机。
这样做，你需要在服务器之间建立专用的骨干网。所有的基于服务器的通信，比如RPC通信或者是复制所使用的通信就能够在专用骨干网里进行。这样，你就能够保护基于网络的通信，你也能够提高主要网络的可用带宽的数量。
接下来，我推荐使用IPSec。对于只有服务器的网络，应该要求IPSec加密。毕竟这个网络里只有服务器，所以除非你有UNIX、Linux、 Macintosh或者其他非微软的服务器，你的服务器没有理由不支持IPSec。因此你可以很放心地要求IPSec加密。
现在，对于连接到重要网络上的所有工作站和服务器，你应该让机器要求加密。这样，你就能够在安全性和功能性之间获得一个优化平衡。
不幸的是，IPSec不能区分在多台家庭电脑上网络适配器。因此，除非一台服务器是处在服务器网络之外，你可能会需要使用请求加密选项，否则其他的客户端就不能够访问该服务器。
当然IPSec并不是你网络通信所能选择的唯一加密方式。你还必须考虑你要如何保护通过你的网络周边以及通向你无线网络的通信。
今天谈论无线加密还有点困难，因为无线网络设备还在发展。大部分网络管理员都认为无线网络是不安全的，因为网络通信包是在开放空间传播的，任何一个人都可以用带有无线NIC卡的笔记本电脑截获这些通信包。
虽然无线网络确实存在一些风险，但是从某种角度来说，无线网络甚至比有线网络更安全。这是因为无线通信主要的加密机制是WEP加密。WEP加密从40位到152位甚至更高。实际的长度取决于最低的通信参与者。例如，如果你的接入点支持128位WEP加密，但是你的一个无线网络用户设备只支持64位WEP 加密，那么你就只能获得64位加密。但是目前基本上所有的无线设备都至少支持128位加密。
很多管理员并没有意识到的事情是，虽然无线网络可以使用WEP加密，但是这并不是他们能够使用的唯一的加密方式。WEP加密仅仅是对所有通过网络的通信进行加密。它对于自己所加密的是何种类型的数据并不关心。因此，如果你已经使用了IPSec来加密数据，那么WEP就能够对已经加密的数据进行第二重加密。
网络隔离
如果你的公司非常大，那么你很有可能有一台Web服务器作为公司网站的主机。如果这台网络服务器不需要访问后台数据库或者你私有网络中的其他资源的话，那么就没有理由把它放在你的私有网络中。既然你可以把这台服务器和你自己的网络隔离开来，那为什么要把它放在私有网络内部，给黑客一个进入你私有网络的机会呢？
如果你的Web服务器需要访问数据库或者私有网络中的其他资源，那么我建议你在你的防火墙和网络服务器之间放置一台 ISA服务器。互联网用户同ISA服务器进行通信，而不是直接通过Web服务器访问。ISA服务器将代理用户和Web服务器之间的请求。你就能在Web服务器和数据库服务器建立起一个IPSec连接，并在Web服务器和ISA服务器之间建立起了一个SSL联接。
包监听
在你已经采取了所有必要的步骤来保护经过你的网络中的通信之后，我建议偶尔采用包监听来监视网络通信。这仅仅是一个预防措施，因为它帮助你了解在你的网络中究竟发生了哪些类型的通信。如果你发现了意料不到的通信包类型，你就可以查找到这些包的来源。
协议分析器的最大问题在于它可能被黑客所利用，成为黑客手中的利器。由于包监听的特性，我曾经认为不可能探测出谁在我的网络中进行包监听。包监听仅仅是监视线缆中发生的通信。由于包监听不改变通信包，那又怎么能够知道谁在进行监听呢？
其实检查包监听比你想象的要容易得多。你所需要的仅仅是一台机器作为诱饵。诱饵机器应该是一台除了你之外任何人都不知道它存在的工作站。确保你的诱饵机器有一个IP地址，但是不在域之中。现在把诱饵机器连接到网络中，并让它产生一些通信包。如果有人在监听网络。监听这就会发现这些由诱饵机器所发出的通信包。问题在于监听者会知道诱饵机器的IP地址，但是却不知道它的主机名。通常，监听者会进行一次DNS查找，试图找到这台机器的主机名。由于你是唯一知道这台机器存在的人，没有人会进行DNS查找来寻找这台机器。所以，如果你发现DNS日志中有人进行DNS查找来查找你的诱饵机器，那么你就有理由怀疑这台机器被利用来监听网络了。
另一个你可以采取、用以阻止监听的步骤是用VLAN交换机替换掉所有现有的集线器。这些交换机在包的发送者和接受者创建虚拟网络。包不再经过网络里的所有机器。它将直接从发送端发送到接受端。这意味着如果有监听者在监听你的网络，他就很难获得有用的信息。
这种类型的交换机还有其他的优点。对于一个标准的集线器，所有的节点都落在同一个域中。这就意味着如果你有100 Mbps的总带宽，那么带宽将在所有的节点之间进行分配。但是VLAN交换机却不是如此，每一个虚拟LAN都有专有的带宽，它不需要进行分享。这就意味着一台100 Mbps交换机能够同时处理好几百Mbps的通信量，所有的通信都发生在不同的虚拟网络上。采用VLAN交换机能够同时提高安全性和效率。
Apache服务器已经内置用户验证机制，大家只要适当的加以设置，便可以控制网站的某些部分要用户验证。大家只要跟着我一步步做下来就应该能轻松实现用户验证。
前期准备，必须已经安装Apache。
第1步：
我们在/var/www(apache的主页根目录)下建立一个test目录，
mkdir /var/www/test
第2步：
然后我们编辑httpd.conf，添加，
Alias /test"/var/www/test"
Options Indexes MultiViews
AllowOverride AuthConfig #表示进行身份验证
Order allow,deny
Allow from all
AllowOverride AuthConfig 表示进行身份验证，这是关键的设置。
第3步：
在/var/www/test创建.htaccess文件
vi /var/www/test/.htaccess
AuthName "frank share web"
AuthType Basic
AuthUserFile /var/www/test/.htpasswd
require valid-user
#AuthName 描述，随便写
#AuthUserFile /var/www/test/.htpasswd
#require valid-user 或者 require user frank 限制是所有合法用户还是指定用户
密码文件推荐使用.htpasswd，因为apache默认系统对“.ht”开头的文件默认不允许外部读取，安全系数会高一点哦。
第4步：
就是创建apache的验证用户。
htpasswd -c /var/www/test/.thpasswd frank
第一次创建用户要用到-c 参数 第2次添加用户，就不用-c参数。如果你们想修改密码，可以如下
htpasswd -m .htpasswd frank
第5步：
重启Apache服务，然后访问 http://你的网站地址/test 如果顺利的话，应该能看到一个用户验证的弹出窗口，只要填入第4步创建的用户名和密码就行。
后话，为了服务器的性能，一般不推荐使用AllowOverride AuthConfig或者AllowOverride ALL，因为这会使服务器会不断的去寻找.htaccess，从而影响服务器的效能，一般我们把一些后台管理界面或者其他特殊目录可能需要加验证这个需求。
目前网络中有一种攻击让网络管理员最为头疼，那就是拒绝服务攻击，简称DOS和DDOS。它是一种滥用资源性的攻击，目的就是利用自身的资源通过一种放大或不对等的方式来达到消耗对方资源的目的。同一时刻很多不同的IP对服务器进行访问造成服务器的服务失效甚至死机。
今天就笔者公司管理服务器的经验为各位读者介绍几个简单有效的防范拒绝服务攻击的方法，虽然不能彻底防护，但在与DDOS的战斗中可以最大限度降低损失。
1、如何发现攻击
在服务器上可以通过CPU使用率和内存利用率简单有效的查看服务器当前负载情况，如果发现服务器突然超负载运作，性能突然降低，这就有可能是受攻击的征兆。不过也可能是正常访问网站人数增加的原因。如何区分这两种情况呢？按照下面两个原则即可确定受到了攻击。
（1）网站的数据流量突然超出平常的十几倍甚至上百倍，而且同时到达网站的数据包分别来自大量不同的IP。
（2）大量到达的数据包(包括TCP包和UDP包)并不是网站服务连接的一部分，往往指向你机器任意的端口。比如你的网站是Web服务器，而数据包却发向你的FTP端口或其它任意的端口。
2、BAN IP地址法
确定自己受到攻击后就可以使用简单的屏蔽IP的方法将DOS攻击化解。对于DOS攻击来说这种方法非常有效，因为DOS往往来自少量IP地址，而且这些IP地址都是虚构的伪装的。在服务器或路由器上屏蔽攻击者IP后就可以有效的防范DOS的攻击。不过对于DDOS来说则比较麻烦，需要我们对IP地址分析，将真正攻击的IP地址屏蔽。
不论是对付DOS还是DDOS都需要我们在服务器上安装相应的防火墙，然后根据防火墙的日志分析来访者的IP，发现访问量大的异常IP段就可以添加相应的规则到防火墙中实施过滤了。
当然直接在服务器上过滤会耗费服务器的一定系统资源，所以目前比较有效的方法是在服务器上通过防火墙日志定位非法IP段，然后将过滤条目添加到路由器上。例如我们发现进行DDOS攻击的非法IP段为211.153.0.0 255.255.0.0，而服务器的地址为61.153.5.1。那么可以登录公司核心路由器添加如下语句的访问控制列表进行过滤。
cess-list 108 deny tcp 211.153.0.0 0.0.255.255 61.135.5.1 0.0.0.0，这样就实现了将211.153.0.0 255.255.0.0的非法IP过滤的目的。
小提示：在访问控制列表中表示子网掩码需要使用反向掩码，也就是说0.0.255.255表示子网掩码为255.255.0.0 。
3、增加SYN缓存法
上面提到的BAN IP法虽然可以有效的防止DOS与DDOS的攻击但由于使用了屏蔽IP功能，自然会误将某些正常访问的IP也过滤掉。所以在遇到小型攻击时不建议大家使用上面介绍的BAN IP法。我们可以通过修改SYN缓存的方法防御小型DOS与DDOS的攻击。该方法在笔者所在公司收效显著。
修改SY缓存大小是通过注册表的相关键值完成的。我们将为各位读者介绍在WINDOWS2003和2000中的修改方法。
（1）WIN2003下拒绝访问攻击的防范：
第一步：“开始->运行->输入regedit”进入注册表编辑器。
第二步：找到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services，在其下的有个SynAttackProtect键值。默认为0将其修改为1可更有效地防御SYN攻击。
小提示：该参数可使TCP调整SYN-ACKS的重新传输。将SynAttackProtect设置为1时，如果系统检测到存在SYN攻击，连接响应的超时时间将更短。
第三步：将HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下EnableDeadGWDetect键值，将其修改为0。该设置将禁止SYN攻击服务器后强迫服务器修改网关从而使服务暂停。
第四步：将HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下EnablePMTUDiscovery键值，将其修改为0。这样可以限定攻击者的MTU大小，降低服务器总体负荷。
第五步：将HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下KeepAliveTime设置为300,000。将NoNameReleaseOnDemand
设置为1。
（2）WIN2000下拒绝访问攻击的防范：
在WIN2000下拒绝访问攻击的防范方法和2003基本相似，只是在设置数值上有些区别。我们做下简单介绍。
第一步：将SynAttackProtect设置为2。
第二步：将EnableDeadGWDetect设置为0。
第三步：将EnablePMTUDiscovery设置为0。
第四步：将KeepAliveTime设置为300000。
第五步：将NoNameReleaseOnDemand设置为1。
总结：经过上面介绍的察觉攻击法，BAN IP法和最后的修改注册表法可以有效的防范DOS与DDOS的攻击。不过由于DDOS攻击的特点，实际上没有一台服务器能够彻底防范它，即使安装了专业的防范DDOS的硬件防火墙也不能百分之百的避免损失。今天介绍的几个方法只是免费的防范手段，实际中能起到一定的效果。
很多网络初级用户认为，只要装了杀毒软件，系统就绝对安全了，这种想法是万万要不得的！在现今的网络安全环境下，木马、病毒肆虐，黑客攻击频繁，而各种流氓软软件、间谍软件也行风作浪。怎样才能让我们的系统立于如此险恶的网络环境呢？光靠杀毒软件足以保证我们的系统安全吗？下面我就从影响系统安全的几个方面来剖析防火墙的重要性。
现在的网络安全威胁主要来自病毒攻击、木马攻击、黑客攻击以及间谍软件攻击。杀毒软件发展了十几年，依然是停留在被动杀毒的层面，而国外的调查表明，当今全球杀毒软件对80%的病毒无法起到识别作用，也就是说，杀毒软件之所以能杀毒，纯粹是根据病毒样本的代码特征来识别他是否是病毒，就如警察抓住一个小偷，这个小偷留着大胡子，于是警察就天天在街上盯着大胡子的人。这样的杀毒效果可想而知。同样的道理，杀毒软件对于木马、间谍软件的防范也是基于这种方式。
现在病毒、木马的更新很快，从全球范围内来看，能造成较大损失的病毒木马，大部分都是新出现的，或者是各类变种，由于这些病毒木马的特征并没有被杀毒软件掌握，因此杀毒软件对它们是既不能报警，也无法剿杀。难道我们就任病毒木马宰割了吗？当然不！高手岂能向几个病毒木马低头！虽然杀毒软件只能干瞪眼，可是我们还有严守大门的防火墙呢！
防火墙为什么就能挡住病毒木马甚至是最新的病毒木马变种呢？这就要从防火墙的防御机制说起了。防火墙是根据连接网络的数据包来进行监控的，也就是说，防火墙就相当于一个严格的门卫，掌管系统的各扇门（端口），它负责对进出的人进行身份核实，每个人都需要得到最高长官的许可才可以出入，而这个最高长官，就是你自己了。每当有不明的程序想要进入系统，或者连出网络，防火墙都会在第一时间拦截，并检查身份，如果是经过你许可放行的（比如在应用规则设置中你允许了某一个程序连接网络），则防火墙会放行该程序所发出的所有数据包，如果检测到这个程序并没有被许可放行，则自动报警，并发出提示是否允许这个程序放行，这时候就需要你这个“最高统帅”做出判断了。一般来说，自己没有运行或者不太了解的程序，我们一律阻拦，并通过搜索引擎或者防火墙的提示确认该软件的性质。
写到这里，大家估计对杀毒软件和防火墙的区别有一定了解了，举个直观的例子：你的系统就好比一座城堡，你是这个城堡的最高统帅，杀毒软件和防火墙是负责安全的警卫，各有分工。杀毒软件负责对进入城堡的人进行鉴别，如果发现可疑的人物就抓起来（当然，抓错的几率很大，不然就没有这么多误杀误报事件了）；而防火墙则是门卫，对每一个进出城堡的人都进行检查，一旦发现没有出入证的人就向最高统帅确认。因此，任何木马或者间谍软件，或许可能在杀毒软件的眼皮底下偷偷记录你的帐号密码，可是由于防火墙把城门看得死死的，再多的信息也传不出去，从而保护了你的系统安全。
另外，对于黑客攻击，杀毒软件是没有任何办法的，因为黑客的操作不具有任何特征码，杀毒软件自然无法识别，而防火墙则可以把你系统的每个端口都隐藏起来，让黑客找不到入口，自然也就保证了系统的安全。
被窃盗的信用卡号、遭受攻击的计算机系统以及其他一些著名的在线攻击已经引起了许多用户的警惕，使安全管理人员将注意力放在了高级入侵检测系统、防火墙和其他高水平防御上。然而，许多人忘了，无论他们如何努力地加强站点的安全，Internet结构中存在的脆弱性仍使他们处于危险之中。
像请求在两台计算机之间建立连接这种简单功能就会造成漏洞，而每年报告的攻击中有15%是由这种漏洞造成的，这是由于自TCP/IP被接受为Arpanet传输协议之日起，它就一直没有什么变化，而IP最初是在一个内部非常信任的具有内聚力的社区中编写的，因此缺省值是IP应用认为它们应当信任人。
利用TCP/IP功能的拒绝服务攻击和数据欺诈攻击可以使用多数服务器操作系统中能够被打开的安全功能、路由器或新版IP(IPv6)内置的过滤器来防范。但是，这些安全措施经常被忽视。
近期有公司受到了“重新发现”的TCP攻击，这是一种利用TCP存在的老问题的新途径：如果黑客可以猜出两台计算机用来启动发送数据包序列的随机初始序列号(ISN)的话，这位黑客就可以劫持一次会话。一旦攻击者猜出ISN，他就可以改变数据包的传送方向或向数据流中注入任何东西。人们认为软件厂商已经利用随机包序列发生器解决了这一问题。但结果是这种随机序列并不随机，它实际包含使ISN很容易猜到的模式。
另一种古老手段IP地址欺骗今天也很常见。像IP欺骗和利用缓冲区溢出的拒绝攻击这类古典的TCP/IP攻击仍在使用。以分布式拒绝攻击为例，将特洛伊木马植入到未受怀疑的服务器中。然后，这些服务器利用大量的包含虚假源IP地址的服务请求淹没了许多电子商务站点。攻击造成这些商务站点上的很多服务器崩溃。
非IP攻击一般寻找服务器软件或像地址簿和自动邮件程序这类功能中脆弱的端口和服务。
常见的针对TCP/IP的攻击
在八十年代中，有几十种针对TCP/IP的攻击袭击过Arpanet。其中的一些攻击今天依然存在。最常见的包括：
1. Smurf攻击：一种由有趣的卡通人物而得名的拒绝服务攻击。Smurf攻击利用多数服务器中具有的同时向许多计算机广播请求的功能。攻击者伪造一个合法的IP地址，然后由网络上所有的服务器广播要求向受害者地址做出回答的请求。由于这些数据包表面上看是来自已知地址的合法请求，因此网络中的所有系统向这个地址做出回答，回答淹没了这台合法的机器，造成拒绝服务。
2. SYN洪水：一种拒绝服务攻击，在这种攻击中，攻击者利用伪造的IP地址向目标发出多个连接(SYN)请求。目标系统然后发送确认信息，并等待回答。由于伪造的IP地址不属于任何实际的机器，因此，不会有回答，从而使连接保持开放并阻塞了合法的数据流。
3. 源路由篡改：一种拒绝服务和数据劫持攻击，在这种攻击中，攻击者篡改路由表表项(通常在边缘路由器上)，使发送到某一站点的数据流改向传送到另一个站点上(在这个站点上信息可以被截获)或者什么地方都不发送。
阻挡与过滤
关闭边缘路由器上的“广播”功能可以阻挡Smurf攻击。以三秒或更短的间隔中止不完整的SYN请求通常可以防止SYN洪水。IP路由包过滤功能可以捕获劫持企图。事实上，过滤功能正是TCP/IP保护所做的事。
例如，最近分布式拒绝服务攻击的许多受害者现在都在自己ISP的位置对数据流进行过滤，而不是等待“洪水”袭击自己的计算机。一些受害者还对自己的操作系统进行了配置，使其可以更快地中断SYN请求，并改变受到拒绝服务攻击的服务器的IP地址避免再受到攻击。
除了防火墙和入侵检测外，用户还可使用下列过滤技术以防止TCP/IP攻击：·在边缘路由器上设置过滤阻挡假地址或SYN攻击。·阻挡连接请求、防止高容量攻击的速率限制过滤器。·检测符合攻击特征的进入连接或跟踪攻击发源地供起诉之用的数据流分析。·通过过滤已知攻击类型，防止拒绝服务攻击的基于主机的防火墙。
由于这类安全特性不属于缺省配置，所以IT人员可能不知道这些特性，因此并没有开启这些特性，或者他们害怕过滤功能会降低他们的速度。但是实际上这些特性不会给性能造成太大的影响。
例如，Cisco公司的路由器包含一种叫做单播逆向路径转发检查的特性，这种逆向IP查找功能自三年前Cisco发布IOS第10版起就是该操作系统的一部分。这种功能可以通过检查上游路由表查看数据包是否来自它们自称的IP地址来检测伪造的数据流。尽管这类技术几乎无处不在，但是用户还是很少使用它们。
对性能问题的担心也是造成新的ISN猜测威胁的原因。1996年中，厂商有机会采用一种更强键的随机序列发生器，但多数厂商不愿意采用它，因为从CPU使用的角度看，它费用更高。
而且，IPSec也被大多数人所忽视，IPSec是IPv6的一个子集，它的设计目的是利用公共密钥在计算机进行连接前对计算机进行认证。这两种同是在1998年公布的安全特性可以帮助解决许多TCP/IP安全问题。
目前厂商产品真正支持IPSec的还不多。这是因为企业没有看到采用IPSec或IPv6的令人信服的理由，特别是VPN隧道技术具有与IPSec几乎相同的功能。
此外，升级到IPv6需要一定的时间，大家未来需要同时升级到IPv6。否则，由于兼容性问题，那些先升级的人将不能接入到Internet的很多部分中。随着无线Internet设备的出现，对地址空间的需求不久将会呈爆炸式增长。同时，对更强过滤功能和IP安全的需求也会出现爆炸。否则，总有一天，任何Internet连接的设备，甚至包括电冰箱，都会黑世界一把。
该方案不能用在带有受控的访问保护概要文件（CAPP）和评估保证级别 4 （EAL4 ）功能的系统中。
1. 通过输入以下命令验证 bos.net.tcp.client 文件集已安装到您的系统上：
lslpp -L | grep bos.net.tcp.client
如果没有收到输出，则该文件集未安装。
2. 通过输入以下命令验证系统的 /home 目录下是否至少有 8 MB 的可用空间：
df -k /home
步骤4中的脚本需要 /home 目录下至少有 8 MB 可用空间来安装所需的文件和目录。
3. 使用 root 权限，更改为 /usr/samples/tcpip 目录。例如：
cd /usr/samples/tcpip
4. 要设置账户，请运行以下脚本：
./anon.ftp
5. 当提示确定要修改 /home/ftp？时，输入 yes。输出类似于以下显示：
Added user anonymous.
Made /home/ftp/bin directory.
Made /home/ftp/etc directory.
Made /home/ftp/pub directory.
Made /home/ftp/lib directory.
Made /home/ftp/dev/null entry.
Made /home/ftp/usr/lpp/msg/en_US directory.
6. 更改到 /home/ftp 目录。例如：
cd /home/ftp
7. 通过输入以下命令创建 home 子目录：
mkdir home
8. 通过输入以下命令将 /home/ftp/home 目录的许可权更改为 drwxr-xr-x：
chmod 755 home
9. 通过输入以下命令更改到 /home/ftp/etc 目录：
cd /home/ftp/etc
10. 通过输入以下命令创建 objrepos 子目录：
mkdir objrepos
11. 通过输入以下命令将 /home/ftp/etc/objrepos 目录的许可权更改为 drwxrwxr-x：
chmod 775 objrepos
12. 通过输入以下命令将 /home/ftp/etc/objrepos 目录的所有者和组更改为 root 用户和 system 组：
chown root:system objrepos
13. 通过输入以下命令创建 security 子目录：
mkdir security
14. 通过输入以下命令将 /home/ftp/etc/security 目录的许可权更改为 drwxr-x---：
chmod 750 security
15. 通过输入以下命令将 /home/ftp/etc/security 目录的所有者和组更改为 root 用户和 security 组：
chown root:security security
16. 通过输入以下命令更改为 /home/ftp/etc/security 目录：
cd security
17. 通过输入以下 SMIT 快速路径来添加用户：
smit mkuser
在本例中，我们要添加一个名为 test 的用户。
18. 在 SMIT 字段中，输入以下值：
用户名 [test]
管理用户？ true
主组 [staff]
组集 [staff]
另一用户可 SU 至用户？ true
主目录 [/home/test]
输入更改之后，按下回车键创建用户。在 SMIT 过程完成后，退出 SMIT。
19. 用以下命令为该用户创建密码：
passwd test
当提示时，输入期望的密码。必须再一次输入新密码以确认。
20. 通过输入以下命令更改到 /home/ftp/etc 目录：
cd /home/ftp/etc
21. 通过输入以下命令复制 /etc/passwd 文件到 /home/ftp/etc/passwd 文件：
cp /etc/passwd /home/ftp/etc/passwd
22. 使用您喜欢的编辑器，编辑 /home/ftp/etc/passwd 文件。例如：
vi passwd
23. 从复制的内容中删除除 root、ftp 和 test 用户以外的所有行。编辑之后，内容看起来应该与以下类似：
root:!:0:0::/:/bin/ksh
ftp:*:226:1::/home/ftp:/usr/bin/ksh
test:!:228:1::/home/test:/usr/bin/ksh
24. 保存更改并退出编辑器。
25. 通过输入以下命令将 /home/ftp/etc/passwd 文件的许可权更改为 -rw-r--r--：
chmod 644 passwd
26. 通过输入以下命令将 /home/ftp/etc/passwd 目录的所有者和组更改为 root 用户和 security 组：
chown root:security passwd
27. 通过输入以下命令将 /etc/security/passwd 文件内容复制到 /home/ftp/etc/security/passwd 文件：
cp /etc/security/passwd /home/ftp/etc/security/passwd
28. 使用您喜欢的编辑器，编辑 /home/ftp/etc/security/passwd 文件。例如：
vi ./security/passwd
29. 从复制的内容中删去除 test 用户之外的所有节。
30. 从 test 用户节中除去 flags = ADMCHG 行。编辑之后，内容看起来应该与以下类似：
test:
password = 2HaAYgpDZX3Tw
lastupdate = 990633278
31. 保存更改并退出编辑器。
32. 通过输入以下命令将 /home/ftp/etc/security/passwd 文件的许可权更改为 -rw-------：
chmod 600 ./security/passwd
33. 通过输入以下命令将 /home/ftp/etc/security/passwd 目录的所有者和组更改为 root 用户和 security 组：
chown root:security ./security/passwd
34. 使用您喜欢的编辑器，编辑 /home/ftp/etc/security/group 文件。例如：
vi ./security/group
35. 将以下行添加到文件中：
system:*:0:
staff:*:1:test
36. 保存更改并退出编辑器，并对/home/ftp/etc/group 文件执行同样的操作。
37. 使用以下命令将相应的内容复制到 /home/ftp/etc/objrepos 目录：
cp /etc/objrepos/CuAt ./objrepos
cp /etc/objrepos/CuAt.vc ./objrepos
cp /etc/objrepos/CuDep ./objrepos
cp /etc/objrepos/CuDv ./objrepos
cp /etc/objrepos/CuDvDr ./objrepos
cp /etc/objrepos/CuVPD ./objrepos
cp /etc/objrepos/Pd* ./objrepos
38. 通过输入以下命令更改到 /home/ftp/home 目录：
cd ../home
39. 通过输入以下命令为您的用户新建一个主目录：
mkdir test
这将是新的 ftp 用户的主目录。
40. 通过输入以下命令将 /home/ftp/home/test 目录的所有者和组更改为 test 用户和 staff 组：
chown test:staff test
41. 通过输入以下命令将 /home/ftp/home/test 文件的许可权更改为 -rwx------：
chmod 700 test
此时，您已经在机器上设置了 ftp 子登录。您可以用以下的过程来测试它。
1. 使用 ftp，连接到您创建 test 用户的主机。例如：
ftp MyHost
2.
几乎可以这样说，如果你有免费电子邮箱，你收到垃圾邮件的机会将会很高。对付垃圾邮件除了各方共同努力外，对于普通用户来讲，注意以下几点是可以防范垃圾邮件的：
一、不要响应不请自来的电子邮件或者垃圾邮件，绝对不要回复垃圾邮件，如果你回复甚至警告他们不要再发，这无疑也相当于告诉对方你的邮件地址实际存在，今后你可能会收到更多的垃圾邮件。所以，即使垃圾邮件上写有“如果不需要此邮件的话请回信告知”等句子，也决不要回复，这一点非常重要。
二、不要试图点击垃圾邮件中的任何链接，某些垃圾邮件发送者会自动收集点击者的信息，事实上当你点击链接进入相应网站时就无疑高速对方这个电子邮件地址是存在的(不然谁会去点击？)。
三、不要把您的邮件地址在因特网页面上到处登记，如果经常用某个邮件地址在网上大量注册(很多论坛都要求填写email地址然后给你发送密码)，相信你今后收到垃圾邮件的次数会越来越多，那怎么办呢？告诉你一个方法：由于网络上收集电子邮件地址通常是用软件进行，而目前的电子邮箱表示法中都会包含“@”这个符号，所以当你注册成功后不妨再次进入论坛，将电子邮箱中的”@”改为其他符号如“#”，这样其他用户查看时会知道你的email的，但对付那些软件就有效多了；不过有些网站，检测地址的合法性，所以此法肯定行不通，那也有办法——将电邮地址修改为其他的字符组合，比如增加字符长度等。
四、不要登陆并注册那些许诺在垃圾邮件列表中删除你名字的站点。
五、保管好自己的邮件地址，不要把它告诉给你不信任的人。
六、不订阅不健康的电子杂志，以防止被垃圾邮件收集者收集。
七、谨慎使用邮箱的“自动回复”功能。为了体现互联网高效、快捷的特点，很多网站和邮件收发工具中都设置了“自动回复”功能，这虽然方便，但是如果两个联系人之间都设置了“自动回复”，想想看有何后果？恐怕双方的邮箱中都是一些“自动回复”的垃圾信件。换句话说，此功能使用不当，人人都会变成垃圾邮件发送者。
八、发现收集或出售电子邮件地址的网站或消息，请告诉相应的主页提供商或主页管理员，将您删除，以避免邮件地址被他们利用。
九、用专门的邮箱进行私人通信，而用其他邮箱订阅电子杂志。
在本篇技术指南中，将概要介绍你如何修改最重要的组策略安全设置。
你可以在采用Windows XP、2000和Server 2003操作系统的本地计算机上使用这些方法，或者在Server 2003和2000中的OU域名级上使用这些方法。为了简明扼要和提供最新的信息，我准备介绍一下如何设置基于Windows Server 2003的域名。请记住，这些只是你在你的域名中能够设置的组策略对象中最有可能出现问题的。按照我的观点，这些设置可以保持或者破坏Windows的安全。而且由于设置的不同，你的进展也不同。因此，我鼓励你在使用每一个设置之前都进行深入的研究，以确保这些设置能够兼容你的网络。如果有可能的话，对这些设置进行试验(如果你很幸运有一个测试环境的话)。
如果你没有进行测试，我建议你下载和安装微软的组策略管理控制台(GPMC)来做这些改变。这个程序能够把组策略管理任务集中到一个单一的界面让你更全面地查看你的域名。要开始这个编辑流程，你就上载GPMC，扩展你的域名，用鼠标右键点击“缺省域名策略”，然后选择“编辑”。这样就装载了组策略对象编辑器。如果你要以更快的速度或者“次企业级”的方式编辑你的域名组策略对象，你可以在“开始”菜单中运行“gpedit.msc”。
1.确定一个缺省的口令策略，使你的机构设置位于“计算机配置/Windows设置/安全设置/账号策略/口令策略”之下。
2.为了防止自动口令破解，在“计算机配置/Windows设置/安全设置/账号策略/账号关闭策略”中进行如下设置：·账号关闭持续时间(确定至少5-10分钟)·账号关闭极限(确定最多允许5至10次非法登录)·随后重新启动关闭的账号(确定至少10-15分钟以后)
3.在“计算机配置/Windows设置/安全设置/本地策略/检查策略”中启用如下功能：·检查账号管理·检查策略改变·检查权限使用·检查系统事件理想的情况是，你要启用记录成功和失败的登录。但是，这取决于你要保留什么类型的记录以及你是否能够管理这些记录。Roberta Bragg在这里介绍了一些普通的检查记录设置。要记住，启用每一种类型的记录都需要你的系统处理器和硬盘提供更多的资源。
4.作为增强Windows安全的最佳做法和为攻击者设置更多的障碍以减少对Windows的攻击，你可以在“计算机配置/Windows设置/安全设置/本地策略/安全选项”中进行如下设置： ·账号：重新命名管理员账号--不是要求更有效而是增加一个安全层(确定一个新名字)·账号：重新命名客户账号(确定一个新名字)·交互式登录：不要显示最后一个用户的名字(设置为启用)·交互式登录：不需要最后一个用户的名字(设置为关闭)·交互式登录： 为企图登录的用户提供一个消息文本(确定为让用户阅读banner text(旗帜文本)，内容大致为“这是专用和受控的系统。如果你滥用本系统，你将受到制裁。--首先让你的律师运行这个程序”)·交互式登录： 为企图登录的用户提供的消息题目--在警告!!!后面写的东西·网络接入：不允许SAM账号和共享目录(设置为“启用”)·网络接入：将“允许每一个人申请匿名用户”设置为关闭·网络安全：“不得存储局域网管理员关于下一个口令变化的散列值”设置为“启用”·关机：“允许系统在没有登录的情况下关闭”设置为“关闭”·关机：“清除虚拟内存的页面文件”设置为“启用”
如果你没有Windows Server 2003域名控制器，你在这里可以找到有哪些Windows XP本地安全设置的细节，以及这里有哪些详细的Windows 2000 Server组策略的设置。要了解更多的有关Windows Server 2003组策略的信息，请查看微软的专门网页。
目前，计算机安全领域新的名词越来越多，防火墙，防毒墙……随着垃圾邮件越来越猖獗，美国最大的反垃圾邮件厂商博威特网络公司推出了梭子鱼垃圾邮件防火墙产品，这个产品不仅能够准确地阻断垃圾邮件，而且能够很好地实现邮件防毒墙的作用，同时还具有抵御攻击的能力，成为国际上最畅销的反垃圾邮件硬件产品。而这个产品与防火墙及防毒墙到底有何异同呢？
垃圾邮件防火墙
垃圾邮件防火墙，就是只对邮件数据包进行过滤的防火墙。它关心的只是邮件，只负责侦听25端口（SMTP协议也就是邮件协议的端口）的数据包。有些垃圾邮件防火墙还兼有防病毒功能，跟一般意义上的防毒墙不同的是，这个病毒是作为附件发送的邮件病毒，其它病毒并不在它所关心的范围里面。它的病毒处理机制跟防毒墙类似。梭子鱼垃圾邮件防火墙就是一个具有防病毒功能的垃圾邮件防火墙。 例如：
“梭子鱼”垃圾邮件防火墙包括十层防护：
拒绝服务攻击和安全防护，
IP阻挡清单，
速率控制，
解压缩文件的病毒防护，
双层病毒扫描，
用户自定义规则，
垃圾邮件指纹检查，
邮件意图分析，
贝叶斯智能分析，
基于规则的评分系统。
这种过滤架构优化了对每一封邮件的处理过程，成生了每天处理百万封以上邮件的强大处理能力，并且各防护层包含在每个解决方案中的数量和种类是可以根据用户的具体需求而改变的。基于技术的不断改良，帮助客户认识每个反垃圾邮件架构的益处和弊端，以最适当的成本整合这些解决方案。这么做是为了以最合理的价格，最有针对性的解决方案解决客户的问题。
梭子鱼垃圾邮件防火墙实现功能
主要是帮助企业，邮件运营商处理大量的邮件，并且能够在阻断垃圾邮件和过滤病毒时帮助邮件服务器负载均衡。每天能够处理数百万封到千万封的邮件，在自带的存储区域监控可疑邮件，等待指定的管理人或最终用户进行确认，经过确认的邮件才能进入网络。安装在邮件系统外部的设计，在过滤接收到的邮件和保证持续更新垃圾邮件规则的同时，它不会以任何方式干扰内部硬件和网络本身的工作。
防火墙
防火墙是为了保护企业内部网络免受外部侵害防护单位，它可以是硬件或者软件。通过不同的防护级别和防护措施对内部网络实行保护。防火墙是一个广义上称呼，根据它所防护的侧重点的不同，防火墙可以分为病毒防火墙，DOS（拒绝服务攻击）防火墙，DDOS（分布式拒绝服务攻击）防火墙，垃圾邮件防火墙等等。还有一些应用型的防火墙只对特定类型的网络连接提供保护（比如SMTP或者HTTP协议等）。还有一些基于硬件的防火墙产品。它们的工作方式都是一样的：分析出入防火墙的数据包，决定放行还是阻断。
实现功能
防火墙主要实现以下四种功能：
防火墙是网络安全的屏障，能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。
防火墙可以强化网络安全策略，通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。
对网络存取和访问进行监控审计。
防止内部信息的外泄，通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。
防毒墙
防毒墙，也就是病毒防火墙，顾名思义就是防护病毒侵害的防火墙。防火墙对穿过的数据包进行解析，对照已有的病毒库特征码，如果发现匹配了特征码，就判定为发现了病毒。由于病毒的不可预知性，对于病毒的防护只能后知后觉，永远慢病毒一拍。当然现在也出现了主动预防病毒的技术，它通过“猜测“未知程序的意图来判定其为病毒的可能性。不过这种技术还远远没有成熟，极易出现误判的现象。
实现功能
防毒墙以重点加强某几种常用通讯的安全性为目的，是对防火墙的重要补充。防毒墙的作用在于对所监控的协议通讯中所带文件中是否含有特定的病毒特征，防毒墙并不能象防火墙一样阻止攻击的发生，也不能防止蠕虫型病毒的侵扰，相反，防毒墙本身或所在的系统有可能成为网络入侵的目标。
以上我们深入浅出的了解了垃圾邮件防火墙，防火墙和防毒墙的区别之后，相信大家在筑建网络安全屏障的时候，一定能合理安排各类产品，事半功倍。