Windows NT 4.0 與 Windows 98 降低安全性威脅指南
第 1 章：簡介
發佈日期: 2004 年 9 月 13 日 | 更新日期: 2006 年 3 月 30 日
本頁內容
執行摘要
在過去十年裡，人們對安全電腦環境的關注和投入漸漸升高，且產生了重大的變化。導致這種改變的一部分因素早就為人所預期，但有些因素卻很難預測，包括網際網路的廣泛使用、永遠暢通的寬頻連線大量部署，以及個人電腦類型硬體在零售商店、汽車和娛樂裝置等環境的應用和普及。其中一個問題就是目前使用舊版 Microsoft® Windows® 作業系統的組織，現在面臨許多安全性威脅，這些威脅在過去舊版 Windows 設計時並不存在，而且無法真正預測。
較新 Windows 版本的安全性明顯增強，因為這些版本都經過專門設計，能夠抵禦目前電腦環境下各種常見的威脅。Microsoft 建議您將用戶端與伺服器作業系統升級至較新的版本，以提高電腦及所屬網路的安全性。但是，舊版 Windows 在商業應用 (例如銷售點和商店管理系統、分公司桌上型用戶端電腦) 方面使用非常普遍，因此並不是所有組織都能輕易快速地升級系統。在舊版 Windows 上執行大量自訂應用程式的組織尤其面臨巨大的挑戰，因為這些應用程式本身也需要更新，而這項工作並不簡單，在某些情況下甚至難以做到。
本指南為無法立即更新所有舊系統的組織，提供了規定資訊和測試計畫，以加強 (或強化) 舊版 Windows 上執行的用戶端與伺服器安全性。本指南的目的是在實施遷移計畫的同時，盡可能保護這些系統。
只要依照本指南中的建議進行，就能夠降低已部署的系統所面臨的風險。但請切記，Windows 較新版本中的許多重要安全性功能與增強功能仍無法使用。本策略提供現有的增強保護措施，讓舊系統的擁有者有充足的時間考慮未來部署時的最佳遷移策略。但是，本指南並不能取代遷移到更安全 Windows 版本的計畫。
商業挑戰
許多組織非常依賴資訊系統的完整性和可用性。人們通常不會將安全性視為核心商業功能，但它的重要性卻是不可忽視的，因為組織真正的核心商業功能完全依賴安全性。企業面臨的主要商業挑戰包括：
保護系統與資料免於特定或無目標的攻擊。許多攻擊基本上是沒有目標的，但卻不見得沒有危險性。現代化的企業營運必須能夠量化資產價值及威脅來源，以保護重要資產。
在維持相容性和控制成本的同時提高安全性。對 IT 經理而言，提高系統安全性往往是相容性、實作和維護成本，以及加強安全性三者之間的艱難抉擇。在舊系統中，相容性通常比安全性重要。損害舊應用程式的安全性變更，可能會對企業的生產力與服務品質造成直接而嚴重的影響。然而，組織必須在生產力與服務品質問題，以及重要資產安全性不足之間，作一個平衡的考量。要正確平衡這兩方面相互衝突的需要，就必須全面考慮安全性，而不能簡單地認為選取幾個核取方塊或按幾下按鈕就能實現目標。
為使用者提供靈活的保護。在許多環境下，維護安全性並不容易，因為安全性措施難免會和使用者的方便性衝突。管理良好的桌上型電腦系統會犧牲使用者的部分彈性，以獲得較高的安全性；舊的桌上型電腦作業系統相形之下比較不容易管理，因此也比較難進行保護。
合理評估安全性成本。在危害發生之前，很難量化未實作安全性措施而造成的實際花費。從這個角度而言，安全性費用可以視為保險。不過就像選擇保險一樣，必須以安全性的優點和保護的程度仔細評估成本，尤其必須考慮這些作業系統的標準支援到期日已經接近的問題。
商業優勢
提高舊系統的安全性可以產生一些直接的優勢， 這些優勢包括：
更完善的保護。Microsoft Windows NT® 4.0 與 Windows 98 不支援 Windows 2000、Microsoft Windows Server™ 2003 及 Windows XP 的多種安全性功能，但大多數部署舊作業系統的組織，根本沒有充分利用現有軟體本身的保護功能。充分利用這些功能，能夠比僅使用作業系統的基本安裝提供更佳的保護。
低成本的高安全性。一般情況下，您不需購買額外的軟體或支付額外的授權費用，即可實作本指南中的建議， 但這些建議可以大幅提高安全性。本指南中所述變更的本益比非常高。
保護現有系統而不導致任何損害。維持應用程式的相容性非常重要，但加強安全性也非常重要。謹慎執行本指南中的建議可以在增加安全性的同時維持相容性。
本指南的讀者
本指南的預期讀者包括架構設計師、IT 經理與系統管理員、技術決策者，以及需要保護仍使用 Windows NT 4.0 與 Windows 98 作業系統的基礎結構之顧問人員。
**注意：**本指南僅適用於 Windows 98 SR2，以及 Microsoft Windows NT Workstation 4.0 和 Windows NT Server 4.0。其他版本的 Windows (包括 Windows NT 3.1 與 3.51 版、Windows 95、Windows Me 及 Windows 3.11) 不包含於本資料中。
讀者的先決條件
以下是在企業中負責開發、部署及保護 Windows NT 4.0 版與 Windows 98 安裝的系統管理員或架構設計師必備的知識與技能：
通過 Windows NT、Windows 2000 或 Microsoft Windows Server 2003 的 MCSE 認證，且擁有兩年以上的安全性相關經驗。
深入瞭解公司網域結構 (如果已部署 Microsoft Active Directory® 目錄服務，則亦包括在內)。
能夠使用各種 Windows 管理工具，包括 Windows NT 系統原則編輯器 (Poledit)、Microsoft Management Console (MMC) 及安全性設定管理員 (SCM)。
具備在企業環境中部署應用程式和工作站的相關經驗。
熟悉該企業環境特有的應用程式。
指南概觀
本指南說明在執行舊版 Windows 作業系統的環境中強化網路與電腦的程序。組織中可能有各種不同的電腦組合，包括執行 Windows NT 4.0 (Workstation、Server 及 Advanced Server) 和 Windows 98 作業系統，也可能有較新版本的 Windows 用戶端或伺服器。本指南著重討論適用 Active Directory 目錄服務網域環境中的 Windows NT 4.0 Workstation、Windows 98 用戶端和 Windows NT 4.0 成員伺服器，以幫助提高其安全性的保護措施。
本指南分為兩個部分，共有八章。第一部分由第 1 章＜簡介＞和第 2 章＜Trey Research 安全性風險管理法則應用案例＞所組成，這兩章都適用於所有層級的執行人員與 IT 管理者。
第 1 章：簡介
本章提供執行摘要、介紹舊作業系統安全性增強相關挑戰和優勢、指明本指南的推薦讀者、列出讀者的先決條件，並提供本指南中各章和解決方案案例的概觀。
第 2 章：Trey Research 安全性風險管理法則應用案例
本章詳細介紹了用於開發本指南中建議的公司案例，並說明 IT 管理人員如何評估網路基礎結構的安全性風險和弱點。本案例中的虛擬公司 Trey Research 總部設於西雅圖，在美國幾個州都有辦事處。本章也說明 IT 管理人員如何識別並按照優先順序排列各個組織的風險和弱點，從而找出安全性需求，並據此建立行動計畫降低安全性威脅。
本指南的第二部分由六章組成，其中提供的規定資訊適用於 IT 系統管理員與技術管理員。每章都以討論設計原則與選項開頭，然後再介紹為本指南中目標案例選擇的特定強化措施。
第 3 章：網路安全性與強化
本章說明網路安全性弱點，以及強化網路元件 (包括用戶端與伺服器電腦) 以避免受侵害的程序。本章討論如何分割網路、強化傳輸控制通訊協定/網際網路通訊協定 (TCP/IP) 堆疊，以及如何使用個人防火牆以保護用戶端。
第 4 章：強化 Windows NT 4.0
本章說明如何透過建立系統基準並應用特定強化措施，以強化 Windows NT 4.0 (Workstation 與 Server)。它說明了實體安全性的重要性與方法，以及將安全性原則應用在檔案、列印、網路和應用程式伺服器的程序與方法。本章會討論各種安全性方法的折衷辦法，並以對 Trey Research 最有利的強化原則詳細說明作為結束。
第 5 章：強化 Windows 98
本章說明如何強化 Windows 98 用戶端與應用程式，並說明在執行 Windows 98 的電腦上套用補充程式、更新及安全性原則的方法。
第 6 章：補充程式管理
防止攻擊的一個重要方式是套用所有必要的安全性補充程式，確保您的環境永遠是最新的。您必須在伺服器與用戶端層級同時套用補充程式。本章說明如何確保及時找到新的補充程式，並在整個組織中迅速可靠地加以執行，以及監視系統以確保整個組織都已完成部署。它說明了補充程式管理實作的折衷辦法，並以對 Trey Research 補充程式管理系統的詳細說明作為結束。
第 7 章：防毒保護
本章說明防毒軟體、原則及安全性的重要性，以及基於用戶端與伺服器的防毒解決方案的支援性。
第 8 章：結論
本章是本指南的結尾，提供指南中討論的強化程序簡短摘要。
解決方案案例
解決方案是以總部位於西雅圖的環境工程公司 Trey Research 為中心。Trey 約有 55 部伺服器與 500 名員工，遍佈於喬治亞州、佛羅里達州、亞利桑那州、賓夕法尼亞州及華盛頓州的各個辦公室。Trey Research 的伺服器中裝有大量自訂應用程式，其中包括控制實驗室測試與測量設備的應用程式、建立在 Microsoft SQL Server™ 基礎上的資料庫應用程式，以及建立在 Microsoft Exchange 5.5 版基礎上的共同作業應用程式。周邊網路的安全性由硬體防火牆/路由器組合維持。部分電腦中部署了防毒軟體，但並不統一。
使用者使用其電腦執行辦公室生產力應用程式、存取網際網路、收發電子郵件、遠端存取專業服務 (包括 Chemical Abstracts 線上資料庫服務) 並遠端控制測量與實驗室設備。Trey 公司員工使用的自訂應用程式涉及範圍廣泛，從 Active Server Page (ASP) 網頁應用程式，到建立在 Microsoft MS-DOS® 與 Microsoft Access 95 的 FoxPro 基礎上的應用程式都有。某些應用程式的原始程式碼已經遺失，因此，如果不完全重新開始，就無法移植這些應用程式。
網路
圖 1.1 顯示了 Trey 的部分網路，並說明了 Windows Server 2003 網域控制站及特定用戶端與成員伺服器資源。
.gif)
圖 1.1 Trey Research 網路子集
Active Directory 設計
Trey 的原始網路設計由多個 Windows NT 4.0 網域組成，同時使用了 Windows 98 SR2 與 Windows NT Workstation 用戶端。後來又陸續使用 Windows 2000 與 Windows XP 用戶端，因此公司目前使用了 Windows 98 SR2、Windows NT Workstation 4.0、Windows 2000 及 Windows XP。
雖然為執行 Trey 專業分析與控制的應用程式工作站與伺服器進行升級需要花費一番功夫，公司的 IT 人員意識到將網域基礎結構遷移到 Windows Server 2003，將會立即提高網域登入服務、動態主機設定通訊協定 (DHCP)、Windows 網際網路命名服務 (WINS) 及網域名稱系統 (DNS) 的安全性與可靠性，並可以在 Windows 2000 與 Windows XP 用戶端上使用原則應用程式的 Active Directory 群組原則物件 (GPO)。因此，Trey 的目前環境變為使用 Windows Server 2003 基礎結構伺服器的 Windows Server 2003 Active Directory 網域。其他網路元件仍保留在 Windows NT 4.0 Server 上。由於 Windows Server 2003 網域控制站可以模擬 Windows NT 網域控制站功能，因此現有用戶端能夠在 Active Directory 環境下運作。
使用 Windows NT 的商業原因
Trey Research 目前正在規劃重新全面設計業務流程與系統，以提高競爭力。重新設計工作包含檢查公司商業系統 (包括網路設計及工作站與伺服器設定) 的各個方面。在完成此程序之前，除特殊狀況外，Trey 的管理者暫不考慮進行硬體、軟體或作業系統升級。將網域和基礎結構伺服器立即遷移至 Windows Server 2003 以加強安全性，正好屬於特殊狀況，也是該計畫獲得核准的原因。但對於更大範圍的應用程式，Trey 正努力研究適合其商業需求的應用程式遷移策略。由於不進行硬體升級，使用者桌上型電腦升級為 Windows XP 的許多優勢無法完全實現，從而降低了升級需求。此外，Trey 並沒有目前所用全部應用程式的原始程式碼，因此 Trey 無法修正在基礎作業系統升級時無法正常運作的所有應用程式，因而使程序更加複雜。
在您的環境中使用本指南
本指南中介紹的案例，呈現的是大部分 Microsoft 客戶的生產環境。這裡提出的建議，在和 Trey 設定案例中相同的設定環境中進行過測試；由於您組織的設定可能有所不同，請仔細考慮這些建議，確保其適用於您的環境。在準備進行變更以保護您的環境時，請牢記以下原則：
在變更與安全性相關的設定時，請務必記錄指定指令碼、原則或套用範本修改的設定。將任何設定變更套用於電腦時，請確認記錄了目前的狀態以及將要套用的變更。
將大量安全性設定全面套用到 Windows 生產網路，可能會讓您難以判斷哪些設定的變更是新問題的根本原因。部署策略應該分為多個階段套用變更，並將每個新變更部署到一小部分的電腦中。這樣一來如果發生問題，就可以限制問題的範圍。
部署計畫不應在一個階段中套用大量安全性變更， 而應將安全性變更分為多個邏輯群組，然後使用獨立的原則、指令碼或範本分別套用這些變更。
部署計畫應包含在導致問題時回復變更的預備措施。復原計畫應該為兩種情況作準備：還原為先前的設定以進行快速修復，以及還原電腦子集以確認問題確實是因該項安全性變更所造成的。 將任何變更部署到生產網路之前，應在測試環境中一邊部署變更，一邊測試復原計畫。