NT安全漏洞及其解决建议（三）
日期：2006-08-06 荐：
11.安全漏洞：如果系统里只有一个Administrator帐户，当注册失败的次数达到设置时，该帐户也不可能被锁住。 解释：这种情况(系统里只有一个Administrator帐户)是NT的一个预先考虑过的特征，然而，它也成为一种风险。这种情况适用于NT域和NT工作站。 减小风险的建议：除了系统缺省创建的Administrator帐户，还应该创建至少一个具有管理员特权的帐户，并且，把缺省Administrator帐户改成另外一个名字。 12.安全漏洞：具有管理员特权的帐户在达到注册失败的次数时将被锁住，然而，30分钟后自动解锁。 解释：帐户策略(Accounts Policy)中的设置。 减小风险的建议：对于所有管理员帐户，应该使用难猜的口令。 13.安全漏洞：缺省地，Windows NT在注册对话框中显示最近一次注册的用户名。 解释：这是NT的一个预先考虑过的特征，然而，它也成为一种风险，给潜在的黑客提供了信息。 减小风险的建议：在域控制器上，修改Registry中Winlogon的设置，关闭这个功能。 14.安全漏洞：Windows NT和Windows 95的客户可以保存口令于文件中，以便快速缓冲。 解释：任何人可能通过访问内存来获取加密的口令，或者通过访问Windows NT工作站的ADMINST.PWD文件，以及Windows 95的ADMINST.PWL，来读取口令，以获得缺省管理员的访问权。尤其在Windows 95上，这个文件很容易得到。 减小风险的建议：严格限制NT域中Windows 95客户的使用。限制Windows NT工作站上的管理员特权。 15.安全漏洞：Windows NT口令可能被非NT平台进行同步。 解释：如果Windows 95中的“Change Windows Password”工具在Windows NT系统中已被授权，就可以作到这一点。结果是一个强的口令被一个弱的口令所替代。 减小风险的建议：在与Windows NT平台连接时，不能运行“Change Windows Password”工具。 16.安全漏洞：管理员有能力从非安全的工作站上进行远程登录。 解释：这种能力带来许多潜在的对系统的严重攻击。 减小风险的建议：加强计算机设施的保安工作是可行的。关闭系统管理员的远程能力，对管理员只允许直接访问控制台。可以从[用户管理器][帐户策略](User Manager,Policies)进行设置。使用加密的对话，在管理员的属性中，限制他可以从哪些工作站上进行远程登录。 由于远程管理员访问很危险，商业机构必须要测试和评估与此相关的风险，以满足业务的需要。在实施计划中，必须作出决定，来如何控制和限制这种风险。 17.安全漏洞：NT上的缺省Registry权限设置有很多不适当之处。 解释：Registry的缺省权限设置是对“所有人”“完全控制”(Full Control)和“创建”(Create)。这种设置可能引起Registry文件的删除或者替换。 减小风险的建议：对于Registry，严格限制只可进行本地注册，不可远程访问。在NT工作站上，限制对Registry编辑工具的访问。使用第三方工具软件，比如Enterprise Administrator(Mission Critical Software)，锁住Registry。或者，至少应该实现的是，把“所有人”缺省的“完全控制”权利改成只能“创建”。实际上，如果把这种权利设置成“只读”，将会给系统带来许多潜在的功能性问题，因此，在实现之前，一定要小心谨慎地进行测试。NT4.0引入了一个Registry Key用来关闭非管理员的远程Registry访问。在NT服务器上，这是一个缺省的Registry Key,对于NT工作站，必须把这个Registry Key添加到Registry数据库中。 18.安全漏洞：有可能远程访问NT平台上的Registry。 解释：在Windows 95上，或者系统管理共享资源上，运行REGEDT.EXE，将允许交互地，远程地访问NT域服务器。 减小风险的建议：严格限制Windows 95客户的使用。使用Registry审计。制定规章制度限制管理员的操作程序，禁止这样的访问，或者明确授权给指定的几个系统管理员。 19.安全漏洞：通过访问其它的并存操作系统，有可能绕过NTFS的安全设置。 解释：已经有很多工具，用来访问基于Intel系统上的NTFS格式的硬盘驱动器，而不需要任何授权，就允许你操纵NT的各种安全配置。这些工具有，DOS/Widnows的NTFS文件系统重定向器(NTFS File System Redirector for DOS/Windows)，SAMBA，或者，Linux NTFS Reader。这种情况只有一种可能，那就是物理上能访问机器。 减小风险的建议：使用专门的分区。限制administrator组和备份操作员组。制定规章制度限制管理员的操作程序，禁止这样的访问，或者明确授权给指定的几个系统管理员。可以考虑采用第三方预引导身份验证机制。 20.安全漏洞：文件句柄可能从内存中被读取到，然后用来访问文件，而无需授权。 解释：这样做需要在一个用户注册的其间内，文件已经被访问过。 减小风险的建议：限制管理员级和系统级的访问控制。
标签：