Windows 2000服务器系统IIS安全设置 和构建指南（4）

　　禁止空连接获取共享资源：修改的键值及取值是

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanManServer\Parameters\RestrictNullSessAccess，REG_DWORD，1

　　当这个值设置为1时，空连接用户将不能访问任何共享；如果设置为0，那么空连接用户就可以连接到所有对Everyone组共享的程序或打印机上。

　　注意：修改这个键值可能会影响空连接对Named Pipes（名字管道）的访问。Named Pipes就是一个系统上的程序与另一个不同系统上的程序通讯的功能。在Win2K中设置了许多named pipes，例如Winreg以IPC机制允许在一个客户机器上运行Regedit并访问远程服务器的注册表文件，Netlogon通过一个named pipe使用RPC连接来进行登录认证，SMB （Server Message Blocks）使用named pipes进行网络上服务器之间的通讯。注册表中有关于空连接可以使用的named pipes列表，键值如下：

　　HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanManServer\Parameters\NullSessionPipes

　　我们可以根据需要对以上列表中的字符串进行去除，但同样请注意：如果发现有些服务工作不正常，请再修改回来。

　　7、去除对其他操作系统的支持

　　Win2K可以很好地支持其他操作系统，允许例如OS/2和POSIX的应用程序向服务器发送请求以执行代码。这种功能通常叫做Win2K的子系统。Win2K的子系统一般情况下不会用到，但却是一个很大的安全漏洞，应该采取措施堵住它。关闭这个漏洞的最简单方法是去掉这个子系统，使它们无法使用。放心，这不会给Win2K服务器或IIS带来任何问题，因为它们是在Win32子系统中运行的。

　　禁止OS/2和POSIX要通过删除相关文件和改写相关注册表键值来完成，步骤如下：

　　删除“\％systemroot％\system32\os2”文件夹及其中所有内容。

　　删除“\HKLM\Software\Microsoft\OS/2 Subsystem for NT”下面所有的子键。

　　删除“\HKLM\System\CurrentControlSet\Control\Session Manager\Environment”中的值Os2LibPath。

　　清除“\HKLM\System\CurrentControlSet\Control\Session Manager\Subsystems”中Optional的内容，但是保留值Optional的名字。

　　删除“\HKLM\System\CurrentControlSet\Control\Session Manager\SubSystems ”中的值Os/2 和Posix。

　　重新启动。

　　8、合理调整页面文件的设置

　　需要处理的另一个问题是页面文件（page file）在系统上的存放位置。当应用程序或系统程序需要访问物理RAM时，Win2K使用页面文件作为应用程序代码的临时保存区。因此，硬盘驱动器上必须有足够的空间供页面文件使用，否则就会导致系统崩溃。避免出现这种情况的方法有：

　　在系统上尽可能多安装RAM。可用的物理RAM越多，系统运行的效率越高。

　　将所有的操作系统文件放置在自己的分区。这个分区中应该只包含操作系统文件和一个至少相当于物理RAM大小的页面文件。当系统遭遇一个STOP错误时，这个页面文件允许系统创建一个crashdump文件。

　　至少在另外一个分区上创建一个页面文件，其大小大约为物理RAM + 11 MB。如果可能的话，将这个页面文件放置在一个单独的物理驱动器上，这样系统执行I/O操作就更加有效。 

　　配置系统服务和生成日志文件及扩展数据的应用程序，使它们写入的文件不在操作系统所在的驱动器上。

　　四、结 语

　　以上详细论述了使用Win2K和IIS5构建安全Internet网站的Win2K操作系统安全配置指南部分，如果是严格按照这些步骤装扮了Win2K，就可以说基本上做到了从“地面部分”全力堵截入侵者的攻击。要做到从“空中部分”拦截入侵，请看“Win2K Internet服务器安全构建指南(IIS篇)”。