Windows操作系统安全技术和概念技术讲解 （2）

二、组策略部署

    组策略和注册表，是Windows系统中重要的两部控制台。对于系统中安全方面的部署，组策略又以其直观化的表现形式更受用户青睐。我们可以通过组策略禁止第三方非法更改地址，也可以禁止别人随意修改防火墙配置参数，更可以提高共享密码强度免遭其被破解。

    比如，在一个特定网络环境中，如果部分用户共同使用相同的一台工作站进行网络访问时，安全隐患就显露出来、倘若我们没有划定安全的上网区域，那样会造成工作站的权限紊乱，从而带来系统危机。轻者造成系统瘫痪，重者则可遭受远程入侵，损失宝贵资料。所以，为了保护本地网络以及本地工作站的安全，我们可以尝试在公共计算机系统中，通过设置组策略的方法为普通用户界定安全上网区域，强制进入系统的用户只能在设定内的安全区域中上网冲浪。

    由于组策略有着直观的名字和功能解释，所以应用上比较简单，对于管理员和终端用户都非常方便，但它的功能远没有限制起来那样简单，我们可以将它作为一种安全保护跟踪工具。比如，可以利用组策略寻找共享目录访问痕迹。

    这对于局域网内的用户监测来说非常重要。因为在网络内部，一旦出现非法用户，大多与共享入侵和访问共享资源有关，此时查询共享目录的访问信息就可以追踪求原，查到真凶。打开组策略后在左侧列表区域中的“本地计算机策略”→“计算机配置”→“Windows设置”→“安全设置”→“本地策略”→“审核策略”选项，在“审核策略”中找到“审核对象访问”，选中属性界面中的“失败”、“成功”项，以后出现问题时就能有针对性地进入系统安全日志文件，来查看相关事件记录。

三、EFS

    提到系统安全，就不得不说EFS概念。EFS(Encrypting File System，加密文件系统)是Windows系统中的一项功能，针对NTFS分区中的文件和数据，用户都可以直接加密，从而达到快速提高数据安全性的目的。

    EFS加密基于公钥策略。在使用EFS加密一个文件或文件夹时，系统首先会生成一个由伪随机数组成的FEK，也就是文件加密钥匙，然后将利用FEK和数据扩展标准X算法创建加密后的文件，并进行存储，同时删除原始文件。

    然后系统会利用公钥加密FEK，并把加密后的FEK存储在同一个加密文件中。而在访问被加密的文件时，系统首先利用当前用户的私钥解密FEK，然后利用FEK解密出文件。尽管现在出现了一些威胁EFS加密的突破方式，但我们仍然有理由相信，依靠系统本身技术的安全保障可以做 快速的防护，哪怕是用来应急保护。

    针对Windows系统中的安全概念相当广泛，从数字证书到防火墙，从数据加密到密码验证。系统本身在安全点上的考虑还是非常全面的，针对系统级别的保护虽然会出现疏漏，但对于现今安全防护手段越来越丰富的今天来说，完全没有必要太过担心。这些内容，尤其是在企业级的工作站保护中显得很重要。