怎样保护企业服务器的安全

网络经济的持续发展，电子商务观念也得到大多数人的认同之际，一向在网络上从事窃取、破坏资料的黑客也同样 变得异常活跃。黑客的网络捣乱行为每年可能会造成企业电子商务系统损失惨重。而随着你的企业规模持续扩张，即便是一点微小、想象不到的安全上的疏忽都有可 能将你辛苦建立的公司轻易的暴露于潜在的威胁当中。

　　近些年来，服务器遭受的风险也比以前更大了。越来越多的病毒，心怀不轨的黑客都将服务器作为了自己的目标。很明显，服务器的安全问题是不容忽视的。在这里我谈谈企业维护服务器安全的方法。

　　一、将磁盘分区转换成NTFS格式

　　当黑客开始对你的网络发起攻击的时候，他们首先会检查是否存在一般的安全漏洞，然后才会考虑难度更加高一点的突破安全系统的手段。因此，比方说，当你服务器上的资料都存在于一个FAT的磁盘分区的时候，即使安装上世界上所有的安全软件也不会对你有多大帮助的。

　 　因为这个原因，你需要从基本做起。你需要将服务器上所有包含了敏感资料的磁盘分区都转换成NTFS格式的。同样，你还需要将所有的反病毒软件及时更新。 我建议你同时在服务器和桌面终端上运行反病毒软件。这些软件还应该配置成每天自动下载最新的病毒数据库文件。你还更应该知道，可以为 Exchange Server安装反病毒软件。这个软件扫描所有流入的电子邮件，寻找被感染了的附件，当它发现一个病毒时，会自动将这个被感染的邮件在到达用户以前隔离起 来。

　　另一个保护网络的好方法是以用户待在公司里的时间为基础限定他们访问网络的时间。最后，记住用户在访问整个网络上的任何东西 的时候都需要密码。必须强迫大家使用高强度的由大小写字母，数字和特殊字符组成的密码。在Windows NT Server资源包里有一个很好的用于这个任务的工具。你还应该经常将一些过期密码作废并更新还要要求用户的密码不得少于八个字符。如果你已经做了这所有 的工作但还是担心密码的安全，你可以试一试从互联网下载一些黑客工具然后自己找出这些密码到底有多安全。

　　二、启用Windows NT的回叫功能式

　 　Windows NT最酷的功能之一就是对服务器进行远程访问(RAS)的支持。不幸的是，一个RAS服务器对一个企图进入你的系统的黑客来说是一扇敞开的大门。黑客们所 需要的一切只是一个电话号码，有时还需要一点耐心，然后就能通过RAS进入一台主机了。但你可以采取一些方法来保证RAS服务器的安全。

　 　你所要使用的技术将在很大程度上取决于你的远程用户如何使用RAS。如果远程用户经常是从家里或是类似的不太变动的地方呼叫主机，我建议你使用回叫功 能，它允许远程用户登录以后切断连接。然后RAS服务器拨通一个预先定义的电话号码再次接通用户。因为这个号码是预先设定了的，黑客也就没有机会设定服务 器回叫的号码了。

　　另一个可选的办法是限定所有的远程用户都访问单一的服务器。你可以将用户通常访问的资料放置在RAS服务器的一 个特殊的共享点上。你于是可以将远程用户的访问限制在一台服务器上，而不是整个网络。这样，即使黑客通过破坏手段来进入主机，那么他们也会被隔离在单一的 一台机器上，在这里，他们造成的破坏被减少到了最小。

　　最后还有一个技巧就是在你的RAS服务器上使用出人意料的协议。我知道的每 一个人都使用TCP/IP协议作为RAS协议。考虑到TCP/IP 协议本身的性质和典型的用途，这看起来像是一个合理的选择。但是，RAS还支持IPX/SPX和NetBEUI协议。如果你使用NetBEUI作为你 RAS的协议，你确实可以迷惑一些不加提防的黑客。

　　三、构建安全的工作站

　　由于工作站正是通向服务器的一个 埠，加强工作站的安全能够提高整个网络的安全性。对于入门者，我建议在所有的工作站上使用Windows 2000。Windows 2000是一个非常安全的操作系统。如果你并不想这样做，那么至少使用Windows NT。你可以锁定工作站，使得一些没有安全访问权的人想要获得网络配置信息变得困难或是不可能。

　　另一个技术是控制哪个人能够访问 哪台工作站。例如，有一个员工，你已经知道他是一个麻烦制造者，因此你应该使用工作组用户管理程序还修改他的帐号以便他只能从他自己的计算机 (并且是在你指定的时间内) 登录。这样他就不太可能从他自己的计算机上攻击网络，因为他知道别人可以将他追查出来。

　　另一个技术 是将工作站的功能限定为一个哑终端，它的意思是没有任何资料和应用程序驻留在独立的工作站上。当你将计算机作为哑终端使用的时候，服务器被配置成运行 Windows NT 终端服务程序，而且所有的应用程序物理上都运行在服务器上。所有送到工作站的东西都不过是更新的屏幕显示而已。这意味着工作站上只有一个最小化的 Windows版本和一份微软终端服务程序的客户端。使用这种方法也许是最安全的网络设计方案。使用一个「聪明的」哑终端就是说程序和资料驻留在服务器上 但却在工作站上运行。所有安装在工作站上的是一份Windows拷贝以及一些指向驻留在服务器上的应用程序的图标。当你点击一个图标运行程序时，这个程序 将使用本地的资源来运行，而不是消耗服务器淖试础Ｕ獗饶阍诵幸桓鐾耆?难浦斩顺绦蚨苑?衿髟斐傻难沽σ?〉枚唷?

　　四、下载安装最新的安全漏洞补救程序

　 　微软有一个程序员团队来检查安全漏洞并修补它们。有时，这些补救程序被捆绑进一个大的套装软件并作为服务包(service pack)发布。通常有两种不同的补救程序版本：一个任何人都可以使用的40位的版本和一个只能在美国和加拿大使用的128位的版本。总的说来128位的 版本使用128位的加密算法，比40位的版本要安全得多。有时一个服务包的发布也许要等上好几个月－很明显的，当一个大的安全漏洞被发现的时候，只要有可 能修补它，你就不想再等下去。好在你并不需要等待。微软定期将重要的补救程序程序发布在它的FTP站点上。

　　这些热点补救程序程序是自上一次服务包发布以后被公布的安全修补程序。我建议你经常查看热点补救程序。记住你一定要按逻辑顺序使用这些补救程序。如果你以错误的顺序使用它们，结果可能导致一些文件的版本错误，Windows也可能停止工作。