Windows系统和Linux系统的安全性能比较（共五则）

第一篇：Windows系统和Linux系统的安全性能比较

安全问题对于IT管理员来说是需要长期关注的。主管们需要一套框架来对操作系统的安全性进行合理的评估，包括：基本安全、网络安全和协议，应用协议、发布与操作、确信度、可信计算、开放标准。在本文中，我们将按照这七个类别比较微软Windows和Linux的安全性。最终的定性结论是：目前为止，Linux提供了相对于Windows更好的安全性能，只有一个方面例外（确信度）。

无论按照什么标准对Windows和Linux进行评估，都存在一定的问题：每个操作系统都不止一个版本。微软的操作系统有Windows98、Windows NT、Windows 2000、Windows 2003 Server和Windows CE，而Linux的发行版由于内核（基于2.2、2.4、2.6）的不同和软件包的不同也有较大的差异。我们本文所使用的操作系统，都是目前的技术而不是那些“古老”的解决方案。

用户需要记住：Linux和Windows在设计上就存在哲学性的区别。Windows操作系统倾向于将更多的功能集成到操作系统内部，并将程序与内核相结合；而Linux不同于Windows，它的内核空间与用户空间有明显的界限。根据设计架构的不同，两者都可以使操作系统更加安全。

Linux和Windows安全性的基本改变

对于用户来说，Linux和Windows的不断更新引发了两者之间的竞争。用户可以有自己喜欢的系统，同时也在关注竞争的发展。微软的主动性似乎更高一些――这是由于业界“冷嘲热讽”的“激励”与Linux的不断发展。微软将在下几个月对Windows安全进行改观，届时微软会发布Windows XP的Service Pack2。这一服务包增强了Windows的安全性，关闭了原先默认开放的许多服务，也提供了新的补丁管理工具，例如：为了避免受到过多无用的信息，警告服务和信使服务都被关闭。大多数情况下，关闭这些特性对于增强系统安全性是有好处的，不过很难在安全性与软件的功能性、灵活性之间作出折衷。

最显著的表现是：微软更加关注改进可用性的同时增强系统的安全性。比如：2003年许多针对微软的漏洞攻击程序都使用可执行文件作为电子邮件的附件（例如MyDoom）。Service Pack2包括一个附件执行服务，为Outlook/Exchange、Windows Messenger和Internet Explorer提供了统一的环境。这样就能降低用户运行可执行文件时感染病毒或者蠕虫的威胁性。另外，禁止数据页的可执行性也会限制潜在的缓冲区溢出的威胁。不过，微软在Service Pack2中并没有修改Windows有问题的架构以及安全传输的部分，而是将这部分重担交给了用户。

微软的重点显然是支持应用程序的安全性。Service Pack2中增强的许多方面都是以Outlook/Exchange和Internet Explorer作为对象的。例如：Internet Explorer中有一个智能的MIME类型检查，会对目标的内容类型进行检查，用户可以获悉该内容中是否存在潜在的有害程序。不过这一软件是不是能将病毒与同事的电子数据表区分开来呢？

Service Pack2的另一个新特性是能够卸载浏览器的多余插件，这需要终端用户检查并判断需要卸载哪些插件。Outlook/Exchange可以预览电子邮件消息，因此用户可以在打开之前就将电子邮件删除。另一个应用安全的增强，防火墙在网络协议栈之前启动。对于软件开发者来说，远方过程调用中权限的改变，使得安全性差的代码难以工作正常。

Service Pack2也为Windows用户提供了许多华丽的新特性，但是问题仍然存在：这些特性会不会对管理员甚至是终端用户造成负担？是不是在增加了Windows操作系统代码安全性的同时让系统变得更加复杂？

Linux与Windows安全性能的重要结论

对操作系统的安全性进行定性分析，很容易包含主观意见，得到的结论会由于过去和现在的经验而有很大的不同。本文的目标是给用户提供一个框架，让他们更多的理解Windows和Linux的安全性能。下面的分析并不全面，只是终端用户进行评估的起点。Linux和Windows在技术上不断进步，究竟哪个系统更安全的结论也会不断变化。本文分析的结果：Linux提供了比Windows更好的安全特性。

基本安全

微软和Linux都提供了对验证、访问控制、记帐／日至、受控的访问保护实体、加密的支持。不过Linux的表现更好一些，因为Linux还提供了Linux安全模块、SELinux和winbind。Linux用户不需对内核打补丁就能增加额外的安全机制。

Linux在LSM之上构建了多种访问控制机制，例如：为应用程序建立了单独的空间，使它们之间相互分离，也与基本的操作系统隔离，这样即使应用程序出现了安全问题也不会影响操作系统。Linux的基本安全也可以通过应用程序增强，比如Tripwire（可以定期对系统进行关键文件的完整性检查，如果文件的内容或者属性有变化就通知系统管理员）。

Windows的限制在于基本安全是依靠MSCAPI的，在代码签名时信任多个密钥。微软的模型重点在于可以同时对一个产品使用弱加密或者强加密。尽管模块不是以相同的密钥进行签名，MSCAPI却信任许多根验证机构，代码签名也信任多个密钥。因此只要有一个密钥被泄露就会使整个系统异常脆弱。密钥泄漏的情况：授权的代码签名者不小心纰漏了自己的私钥，或者签名机构错误的签发了一个证书。这些情况曾经发生，有一次Verisign错误的以微软的名义签发了两个证书，并将这些证书的控制权交给了未授权的个人。

网络安全与协议

Linux与Windows对网络安全和协议的支持都很不错。两者都支持IPSec，这是一个运行于IP层的开放的基于加密的保护方式。IPSec能够识别终端主机，同时能够对网络传输数据和加密数据的过程中的修改作出判断。Linux下使用OpenSSH、OpenSSL和OpenLDAP，分别对应微软系统下闭合源码的SSH、SSL和LDAP。

应用安全

由于微软IIS和Exchange/Outlook不断出现的安全问题，Linux显得更胜一筹。Apache和Postfix都是跨平台的应用程序，比微软的相应产品更加安全。由于Linux有内建的防火墙使得其安全性有所增强，Snort也是一个优秀的入侵检测系统。关于基于x86系统的Linux内核，一个很重要的特性就是IngoMolnar的exec-shield，可以保护系统不受缓冲区或者函数指针溢出的攻击，从而对那些通过覆盖数据结果或者插入代码的攻击程序有

所防护。exec-shield补丁使攻击者很难实现基于shell-code的攻击程序，因为exec-shield的实现对于应用程序是透明的，因此不需要应用程序的重新编译。

微软正在大刀阔斧的重新设计产品的安全架构，并为已安装的系统提供补丁。不过旧版本的Windows产品仍然存在安全问题，这使得任务变得复杂。许多微软用户正面临安全威胁，而补丁在发布之前必须做好文档。另外，微软倾向于将应用程序的数据和程序代码混合在一起，比如ActiveX，这使得系统外的不可信数据也能被使用，甚至是利用不可信数据执行任意代码。某些情况下，Windows甚至允许外部系统提供数据签名的代码，这就意味着本地的系统管理员也不能审查代码，不过他仍然知道是谁对代码签的名。

在.NET框架下，微软应用程序的安全性有所改进。当然，对于那些异构平台，例如Linux、Windows、Unix尤其是建立在Java平台下的应用程序，微软的产品是有很大局限性的。

分发和操作

关于分发和操作，Linux与微软的侧重点不同，Linux下大部分的管理都通过命令行接口。Linux的发行商也提供了各种安装和配置工具，例如：up2date、YaST2和Webmin。Bastille Linux是一个支持Red Hat、Debian、Mandrake、SUSE和Turbolinux的加固工具。相比之下，Windows的系统管理员使用简单易用的GUI工具，配置的时候也很容易出错误。尽管一些人认为，一个周之内将任何人都可能成为Windows的系统管理员，问题是他们到底对管理了解多少？微软的安全问题，绝大多数都是由于发布与操作时的拙劣配置。Windows自带安装和配置工具，微软也为加固域控制器、架构服务器、文件服务器、打印服务器、IAS服务器、证书服务器和堡垒主机提供了向导，不过加固架构与加固操作系统还是有区别的。

确信度

定义操作系统确信度的标准是公共标准（CC），这是ISO标准（ISO 15408）。关于确信度的等级有一个层次结构 ―― 从EAL1到EAL7。只有在特定的软件、硬件和系统配置下，公共标准的评估才是有效的。Windows的EAL比Linux要高，达到了EAL4，而Linux目前只达到了EAL3。SUSE正计划在年底达到EAL4。政府机构大部分都需要CC的确信度。即使只有政府客户（甚至特指美国国防部）才需要确信度，商业产品满足这一要求也是一件好事。不过大部分的用户都不需要达到国防部的标准。

可信计算

可信计算是一种架构，可以避免对应用程序的修改，与厂商的通信也是安全的。许多厂商，比如Intel、微软和IBM，都在欢迎这项新兴的技术。目前，这一功能只供展示，现实中并没有可用的系统，因此Linux和Windows都不能胜任。微软的可信计算与数字权力管理有关，而开源社区目前没有可信计算的项目。

开放标准

Linux要优于Windows，因为它支持所有的开放标准（尽管Windows也支持许多相同的开放便准，如IPSec、IKE和IPv6，也乐意扩展标准）。对于使用异构系统并有互操作

需求的公司，“标准”如果代有私有代码，就使得对缺陷的检测和错误的修正更困难、耗费的时间也更多。一个例子就是微软对Kerberos标准协议的扩展。微软提供了对Kerberos票据的授权功能，尽管Kerberos一开始也是按照这个目的设计的，这一功能却一直没有使用。微软扩展了Kerberos标准，在处理过程中也期望其它程序共享票据的授权数据字段。因此，微软的Kerberos版本与标准不能完全交互。IT经理会发现：在一个异构的IT环境中，使用微软Kerberos会使得整个环境难以管理，它们需要完全的Windows IT架构。

开源

如果安全操作系统的标准就是开源，那么Linux显然要优于Windows。微软的共享源代码计划就是为了满足用户对源代码的需要。不过，该计划的大部分内容都是“可看但不可修改”的情况。俄罗斯、英国、中国和北约参与了微软的政府安全计划。尽管该计划的目标是增加透明度和加强合作，如果某组织需要访问微软的源代码，需要遵守各种各样的要求。例如：并不是所有的Windows源代码都可以在线查看，因此如果用户需要编译并测试应用程序，必须亲自访问微软的总部。

推荐

Linux和Windows的安全性必定会引起持续的争论，到底是开源的操作系统好，还是封闭源代码的操作系统好？业界的逻辑是：基于开放标准与开放源代码的操作系统，能提供更好的互用性，更好的错误发现和修正机制，这要比通过隐藏来达到安全的模型优秀。开源也促使Linux的发行提供商对生产过程完全透明。每一步对于用户来说都是可再现的，因此能够逐渐的增强安全。而Windows的源代码并不易获得，因此不能提供等价的透明。

Linux提供了至少不逊于Windows的安全性能。Linux系统的安全取决于对Linux发行版的选择、使用的内核版本、实现与支持系统的IT员工的水平。一旦你选定了产品，实现并维护操作系统的安全就完全依靠IT员工了，你需要对他们进行培训，让他们掌握足够的专业技能，完成分发、管理和故障排除的任务。要让IT经理和系统管理员明白如何应用这些惯例。

我们推荐各种机构首先了解自己的功能需要，然后熟悉一下操作系统关键性的安全性能，这样就能减少使用操作系统的风险，确保一致性。

如果你正考虑移植到另一个操作系统或者是升级目前的产品，你需要按照安全性能的要求来选择操作系统的环境。把你的商业需要与对操作系统安全性的理解相结合，就能在实现功能的同时，兼顾一致性与风险最小化。

开放源代码、共享源代码

Linux和Windows对于代码透明度这一哲学问题上是完全不同的。Linux符合GNU通用公用许可证，用户可以拷贝、复制并分发源代码。Windows使用的是封闭源代码，因此微软的安全方法被称为“通过隐藏来保证安全”。2001年，微软为了响应客户与共享源代码计划的要求，提供了对Windows源代码的访问权。现在，共享源代码计划有一百万的参与者，可以访问的源代码包括Windows2000、WindowsXP、Windows Server2003、Windows CE 3.0、Windows CE、C#/CLI实现和ASP.NET与Visual Studio.NET。共享源代码计划许可证的对象包括公司用户、政府、合作者、学术机构与个人。

微软的共享源代码计划政策属于“可看但不可修改”，例外的情况是Windows CE共享源代码许可证计划。对于公司来说，可以将基于Windows CE的设备和解决方案推向市场。这是微软共享源代码计划下，源设备制造商（OEM）、半导体提供商、系统集成商可以完全访问Windows CE源代码的唯一项目。所有许可证持有者都有对源代码的完全访问权，当然可以修改代码，但只有OEM才能发布对基于WinCE设备的修改。所有其他的共享源代码许可证持有者，如果要访问该项目不允许的源代码，需要向Redmond.Wash的微软总部请示。

某些用户认为共享源代码计划对于调试程序会有帮助，微软要求编译的时候必须在微软总部，这不得不说是一个很大的限制。尽管微软想尽力增加透明，如果无法编译，就很难确定源代码在真实的IT环境中是否能正常工作。限制用户修改并编译Windows的源代码，降低了人们访问Windows共享源代码并寻找安全漏洞的热情。

数据中心和桌面下Linux的安全收益

在未来的12个月里，Linux将加强在数据中心的份额，并试图冲击微软在桌面上的垄断。这很大程度上是受益于Linux2.6版内核的新特性与新功能。有了Linux v2.6，安全框架现在已经模块化了。在这种模型下，Linux内核的所有方面都提供了细粒度的用户访问控制，而以前的版本的内核允许超级用户完全控制。现在的实现仍然支持root完全访问系统，但完全可以创建一个不遵循该模型的Liinux系统。

Linux v2.6内核的一个主要变化，就是新增的Linux安全模块（LSM），用户不需要打内核补丁就能为Linux增加更多的安全机制。新版内核，在LSM上建立了多个访问控制机制，其中包括美国国安局（NSA）的Securiy Enhanced Linux（SELinux）。由于国安局对操作系统安全与强制访问控制的兴趣，产生了SELinux。国安局的研究人员正在开发Linux的安全模块，可以支持2.6内核的类型加强、基于脚色的访问控制、多层次安全。SELinux使用了命为“域类型强制”的安全模型，可以将应用程序互相隔离，同时也与基本的操作系统隔离，从而限制入侵后程序或者网络服务造成的影响。

Linux的2.6内核中已经加入了对SELinux的细粒度布尔值标签的支持，其他的厂商也开始利用国安局的SELinux。例如，Immunix提供了一些列产品，包括StackGuard和子域StackGuard模块，可以配置进程只使用某些系统调用。RedHat声称SELinux将在RedHat企业服务器4.0的安全架构上起重要的作用。

今天，Linux的内核中已经有一个功能强大、灵活的强制访问控制子系统。这个系统强制隔离有机密和完整性要求的数据，因此任何潜在的破坏，即时是由超级用户进程所造成的，都被Linux系统限制起来了。

Linux v2.6还提供了对加密安全的支持，包括了IPSec使用的加密API。这样，在网络和存储加密时就可以使用多种算法（例如：SHA-

1、DES、三重DES、MD4、HMAC、EDE、和Blowfish）。Linux对IPSec IPv4和IPv6协议的支持是一个很大的进步。由于安全抽象到了协议层，用户程序对潜在攻击程序的脆弱性有所降低。密码加密模块目前还不是

Linux内核的一部分，如果Linux真的实现了这样的特性，就可以阻止未签名的模块被内核访问。

现在仍然困扰Windows用户的一个问题就是缓冲区溢出。Linux用户从2.6内核开始就会收益于exec-shield补丁。exec-shield可以阻止许多漏洞攻击程序覆盖数据结构并向这些结构中插入代码的企图。由于不需要重新编译应用程序就能使exec-shield补丁奏效，实现起来很方便。

另外，2.6内核中的抢占式内核，也减少了延迟，使得Linux不但可以应用到数据中心，甚至可以在有软实时要求的应用程序使用。许多Linux用户使用的是硬件厂商和系统提供商的不开源的驱动程序（二进制模块）。问题在于：虽然添加这些驱动和模块有用，对于Linux系统并不一定有益。例如，一个未开源的驱动模块有可能控制系统调用并修改系统调用表。2.6的内核提供了特殊的保护措施，可以对限制未开源驱动或者模块对内核的访问。这一特性增加了稳定性，但从安全角度并没有增加新的限制，也不能阻止黑客编写恶意模块。

许多Linux用户来说，最有创造性的特性就是用户模式Linux了（UML），UML是Linux内核的一个补丁，可以允许可执行二进制文件在Linux宿主主机上编译并运行。使用UML有很多好处，最有用的特性就是虚拟机。由于对UML的操作不会影响宿主主机，可以把它作为测试软件、运行不稳定发行版、检查有威胁活动的平台。UML最终会创建一个安全架构上完全虚拟的环境。

第二篇：Windows系统安全技巧

Window系统安全技巧

系统光盘个人比较喜欢使用雨林木风安装版或者GHOST版，纯净无插件，破解和优化得都比较好。使用电脑公司装机版也可以，番茄花园以前做得不错，现在的版本插件比较多，且界面不是很喜欢。

（1）系统安装完后，做个纯净版的ghost备份，可以使用MaxDos或者矮人DOS工具箱。以备以后系统出问题可以快速恢复到纯净系统，节省安装系统时间，（使用安装版安装系统需要时间大约45分钟，恢复系统时间只需10分钟左右）。

（2）在连接网络之前先安装杀毒软件，连接网络后将杀毒软件更新到最新。个人比较喜欢NOD32（占用系统资源小，杀毒速度快，防护能力强）或者卡巴斯基（主动 防御很强，杀毒能力强，但是杀毒速度很慢，占用系统资源较大）；感觉江民还可以，尤其不喜欢瑞星和金山，并非不支持国产，瑞星我觉得除了界面还可以之外，其他的优点没有什么感觉，金山感觉能力平平。

（3）打上最新的系统补丁，建议用手动安装版，安装速度快。将IE升级到IE7.0。将系统更新方式更改为“手动”，防止安装windows正版验证程序。

（4）安装好常用的软件。个人比较喜欢雨林木风下载，无插件，破解比较完美。建议使用魔法兔子或者优化大师，方便以后对系统进行维护。

（5）修改注册表启动项（run、runonce等），删除不必要的随系统启动的程序，以节省系统开机时间、系统资源、系统关机时间。并关闭run项的设置权限，可以使大部分木马程序失去作用。（必做）

（6）删除不必要的服务。以节省系统资源及开机时间。（必做）

（7）设置系统组策略。如无局域网可以关闭网络访问；关闭自动播放功能。（必做）

（8）屏蔽TCP 135、139、445、593、1025 端口和 UDP 135、137、138、445 端口。减少给黑客入侵的机会。（推荐）

（9）最后做个ghost备份镜像，用于以后万一系统出问题时恢复系统，可以免去安装软件，设置系统麻烦，所需时间大约是10分钟。

第三篇：Windows操作系统安全(一)

一、实验项目名称

Windows操作系统安全

（一）二、实验目的通过实验掌握Windows账户与密码的安全设置、文件系统的保护和加密、安全策略与安全模板的使用、审核和日志的启用、本机漏洞检测软件MBSA的使用，建立一个Windows操作系统的基本安全框架。根据Windows操作系统的各项安全性实验要求，详细观察并记录设置前后系统的变化，给出分析报告。

三、实验内容与实验步骤

(1)．账户与密码的安全设置

(2)．启用安全策略与安全模板

(3)．用加密软件EFS加密硬盘数据

(4)．NTFS文件系统的权限设置和管理

四、实验环境

1台安装Windows2000/XP操作系统的计算机，磁盘格式配置为NTFS，预装MBSA(Microsoft Baseline Security Analyzer)工具。

五、实验过程与分析

任务一账户和密码的安全设置

1．删除不再使用的账户，禁用guest账户

⑴ 检查和删除不必要的账户，用户列表如下

⑵ 禁用guest账户

1）操作前用guest用户登录，可以登录，表示guest用户可以用。在其他用户登录下禁止guest用户的使用。

2）之后再次注销，试图登陆guest，发现无法登陆，证明被禁止了。

２．启用账户策略

⑴ 设置密码策略

1）对密码策略设置如图

2）对长度最小值的改变进行测试：设置只有一个字符的密码，不成功就代表了长度最小值策略设置成功。

⑵ 设置账户锁定策略

1）对账户锁定策略设置如图

2）对账户锁定阀值进行测试：

连续输入三次错误密码，账户被关闭。证明账户锁定阀值为3。

2）对账户锁定时间进行测试

两分钟之后账户又重新开放，所以账户锁定时间可以为2。

３．开机时设置为“不自动显示上次登陆账户”

设置后注销重新登录，发现账户不显示。

４．禁止枚举账户名

任务二 启用安全策略与安全模块

1．启用安全模板

（1）打开系统控制台，为控制台添加安全膜拜和安全配置分析项，并且查看模板配置信息

（2）建立安全数据库，选择一个安全模板将其导入。

（3）按照模板，选择“立即分析计算机”。分析结果如下。

（4）记录当前安全配置，以密码策略为例。

（5）选择“立即配置计算机”，对计算机配置。之后再对计算机分析，可以看到计算机设置发生了改变，密码长度最小值，密码最长保存期两个不符合模板的项按照模板进行了配置。

2．建安全模板

（1）打开控制台，添加“安全模板”、“安全设置和分析”，查看其相关配置。建立安全数据库，导入安全模板。

（2）新加自设模板mytem，并且定义安全策略。如图是对密码长度最小值设置。

任务三 利用加密软件EFS加密硬盘数据

（1）建立名为MYUSER的新用户。

（2）打开硬盘格式为NTFS的磁盘，选择要进行加密的文件夹在属性窗口对其设置将其

加密。

（3）加密完成后，保存当前用户下的文件注销当前用户,以刚才新建的MYUSER用户登

陆系统，再次访问加密文件夹，发现其拒绝访问。

（4）以原来加密文件夹的管理员用户登陆系统，打开系统控制台添加证书，为当前的加密文件系统EFS设置证书。在控制台窗口左侧的目录树中选择“证书”“个人“证书”。可以看到用于加密文件系统的证书显示在右侧的窗口中。双击此证

书，单击详细信息，则可以看到此证书包含的详细信息。

（5）选中用于EFS的证书,导出证书，并设置保护私钥的密码，然后将导出的证书文件

保存。

（6）以新建的MYUSER登陆系统导入该证书。

（7）再次双击加密文件击中的文件，发现可以进行访问。

任务四NTFS文件系统的权限设置和管理

1.为学生创建一个私有的用户文件夹：在NTFS磁盘分区上为用户stu01建立一个用户文

件夹StuData01,用户文件夹只允许用户本人完全控制，用户tutor读取访问，其他人拒绝访问。用其他用户访问，无法访问。

2.创建一个学生组公用文件夹

为学生组Students在windows 2000服务器的NTFS磁盘分区上建立一个公用文件夹，该文件夹允许students成员读取及运行，tutor完全控制，Administrator只有列出文件夹，创建文件夹，删除文件夹和文件的权限。并且此文件夹对Administrator的NTFS权限设置不传播到子文件夹。

3.文件夹共享

（1）创建一个文件夹share共享它。

（2）为这个文件夹分配共享权限，安全权限

（3）从网络上访问这个文件夹。尝试用不同账号访问权限

假设：share共享权限是everyone完全控制，完全权限是everyone只读，那么用户从网络上的访问权限是什么？

回答：只读权限

假设：share共享权限是everyone只读，完全权限是everyone完全控制，那么用户从网络上的访问权限是什么？

回答:只读权限

六、实验结果总结

1．如何检查系统是否允许guest账户登陆？

回答：打开控制面板中的管理工具，选择计算机管理中本地用户和组，打开用户，若

guest用户前有叉号，则已经被禁用。

2.如果一个用户（非管理员）创建一个文件夹，内有文件，他设置安全权限，禁止除他以外的用户访问，请问管理员有权限访问吗？可以的话，如何操作？

回答：有的，管理员可以更改文件的所有者，可以把所有者改成自己，就可以访问了。总结：本实验内容包括对于windows账户密码的安全进行设置，启用了安全策略和安全模板，用加密软件EFS加密硬盘数据，设置和管理NTFS文件系统四个方面。通过以上的手段，建立了windows操作系统的基本安全框架。

第四篇：Windows系统安全分析-病毒篇

病毒是如何进入我们的系统的?

有一点可以肯定计算机病毒不会在自己的硬盘里“生”出来。它一定是从其它储存介质复制到我们的硬盘，通常有许多途径都可以让病毒有被复制在我们硬盘的可能性。下载就是其中被病毒传播者用得比较多的一种途径。我们在下载时，不管是电影、压缩包、游戏、文档、或是邮件都有可能被置放病毒。因而下载回来一定要记住:先扫描后使用。

由于闪盘价格的大幅度下降，拥有U盘等闪盘的用户越来越多。闪盘被病毒盯上，这种传播方式需要在U盘根目录下新建一个名为autorun.inf的文件和复制病毒本身。事前在根目录下新建名为autorun.inf的文件夹能防止这种方式的传播此外

[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExploer]主键下，在右窗格中找到“NoDriveTypeAutoRun”，就是这个键决定了是否执行各类盘的AutoRun功能。其中DRIVE_REMOVABLE 2 1 04H 表示可移动驱动器。也就是说可以利用这个键来防止各类盘的自动播放，预防中毒。[1]

光盘有时也有可能会被病毒感染，成为病毒传播的途径之一。另外系统本身存在的漏洞也是病毒利用的途径之一。

因而预防病毒要做到，外来的文件要先经过扫描后才使用，系统的漏洞要及时补上。

病毒是如何激活运行的?

计算机病毒是一个程序，一段可执行码，一个可执行文件。如何它不运行它就不会对系统造成威胁。最多只是占着硬盘空间。但是一旦激运行了病毒程序，它会对系统造成怎么样的损害依病毒的破坏性强弱和计算机系统本身的自我保护能力而定。因而不给病毒运行的机会，就是病毒存在于硬盘中也不会对系统造成严重破坏。那如何防止病毒的激活呢?一般情况下，病毒会有好几种启动方式。病毒用的比较多的是注册表和系统服务。注册表环境复杂，大多数计算机用户对其望而生畏。病毒很喜欢将其启动的资料放在这里面。而系统服务会在系统启动的过程中被自动启动，因而病毒也很喜欢躲在这里面混水摸鱼。[2]

除了这两种启动方式外，还有捆绑文件，各类盘的自动播放，文件关联，程序映射等方法也能让病毒有被激活运行的可能性。

保证计算机病毒不被激活是计算机病毒预防工作的重点之一。所以对注册表用启动程序的关键键值要加以注意。定时查看系统服务是不是正常。利用一些小工具查看文件关联是否正常，有没有程序已经被映射了。对外来文件要先经过扫描后先可以使用。

除了以上方法外，给系统装上一个合适的杀病软件和防火墙也是非常必要的。它们对已经出名的病毒的查杀能力是很强的。这样可以帮计算机管理员省去不少工作。

如果病毒已经激活了。及时发现病毒的存在能保证系统受到的破坏最小。那病毒有哪些症状呢?

从目前发现的病毒来看，主要症状有：

（1）由于病毒程序把自己或操作系统的一部分用坏簇隐起来，磁盘坏簇莫名其妙地增多。

（2）由于病毒程序附加在可执行程序头尾或插在中间，使可执行程序容量增。

（3）由于病毒程序把自己的某个特殊标志作为标签，使接触到的磁盘出现特别标签。

（4）由于病毒本身或其复制品不断侵占系统空间，使可用系统空间变小。

（5）由于病毒程序的异常活动，造成异常的磁盘访问。

（6）由于病毒程序附加或占用引导部分，使系统导引变慢。

（7）丢失数据和程序。

（8）中断向量发生变化。

（9）打印出现问题。

（10）死机现象增多。

（11）生成不可见的表格文件或特定文件。

（12）系统出现异常动作，例如：突然死机，又在无任何外界介入下，自行起动。

（13）出现一些无意义的画面问候语等显示。

（14）程序运行出现异常现象或不合理的结果。

（15）磁盘的卷标名发生变化。

（16）系统不认识磁盘或硬盘不能引导系统等。

（17）在系统内装有汉字库且汉字库正常的情况下不能调用汉字库或不能打印汉字。

（18）在使用写保护的软盘时屏幕上出现软盘写保护的提示。

（19）异常要求用户输入口令

当出现这些情况时请及时检查系统。或许病毒正运行在系统上，破坏着系统！

鬼片网 http:// 整理

第五篇：windows系统安全策略

Windows 系统安全设置策略

１．服务器的物理安全

２．administrator账号更名、禁用Guest账号

３．更改文件夹和打印共享默认everyone组权限

４．设置密码复杂性要求，设置密码有效期

５．设置屏保密码

６．设置分区格式为NTFS格式

７．开启系统安全策略（帐户策略、本地策略）

８．关闭TerminalServices和IIS服务

９．关闭不必要的服务端口

常用服务列表c:windowssystem32driversetcservices

网上邻居>属性>本地连接>属性>internet 协议(tcp/ip)>属性>高级>选项>tcp/ip筛选>属性 打

开tcp/ip筛选，添加需要的tcp,udp,协议即可。

10．不显示上次登录的用户帐户名

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsNTCurrentVersionWinlogonDontDisplayLastUserName=1

11．禁止建立IPC$空连接

HKEY_LOCAL_MACHINESystemCurrentControlSetControlLSARestrictAnonymous=1

12．下载最新的Service Pack和漏洞补丁

13．禁用磁盘默认共享

HKEY_LOCAL_MACHINESystemCurrentControlSetServiceslanmanserverparametersAutoShareServerREG_DWORD=0x0

14．禁用ADMIN共享

HKEY_LOCAL_MACHINESystemCurrentControlSetServiceslanmanserverparametersAutoShareWks REG_DWORD=0x0

15．限制IPC$共享

HKEY_LOCAL_MACHINESystemCurrentControlSetControlLSARestrictAnonymousREG_DWORD=0x0 匿名用户无法列举本机用户列表

REG_DWORD=0x1 匿名用户无法连接本机IPC$共享（不建议使用该值，否则造成某些服务无

法启动如Sql Server）

16．禁用445端口

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetBTParameters]

“SMBDeviceEnabled”=dword:00000000

17．禁止网页修改注册表

管理工具-> 服务-> Remote Registry Service-> “已禁用”

18．安装并运行防病毒软件、定期升级

19．敏感文件存放不同的文件服务器上，定期备份数据。

20．打开审核策略

21．使用文件加密系统EFS

Windows2000 强大的加密系统能够给磁盘，文件夹，文件加上一层安全保护。这样可以防止别人把你的硬盘挂到别的机器上以读出里面的数据。记住要给文件夹也使用EFS,而不仅仅是单个的文件.有关EFS的具体信息可以查看

22．关机时清除掉页面文件

编辑注册表 HKLMSYSTEMCurrentControlSetControlSession ManagerMemory Management把ClearPageFileAtShutdown的值设置成1。