打造更安全的系统：从控制权限开始
在系统频繁的中招之后，我们认识到不要使用具有管理员权限的账号登录Windows以便避开恶意软件。这个提醒怎样说都不过分。然而，还需要采取一些同 样重要的措施来保护Windows避免受到恶意软件的影响。下面我将解释所有这些措施:
1.锁定Windows的几个最初的步骤
下面是你锁定Windows的几个基本步骤
·在每一台主机上运行你的整个网络的硬件防火墙和软件防火墙，如包含Windows XP SP2的Windows防火墙。
·使用工具软件保证Windows和所有其它的软件都及时采用最新的升级软件和服务包。如果你仅管理少量的系统，你可以使用自动升级工具。如果你管理大量的计算机，你可以使用Windows服务器升级服务。
·使用具有最新签名库的最新的杀毒软件。要了解更多的有关杀毒软件厂商的情况，请参阅微软杀毒软件合作伙伴网页。
·使用最新的间谍软件防护工具，如微软的Windows AntiSpyware。
2.以较低的权限运行Windows
正如你们所了解的那样，如果没有管理员权限的某个人执行应用程序可能会导致应用程序崩溃。处理这个不方便的问题通常是很简单的。例如，计算机游戏通常在“%system root%\program files”的路径下面存储数据文件。这个路径在游戏的子目录下面而不是在用户配置文件的下面。通过允许没有权限的用户“全面控制”这个程序的子目录，你就可以运行这个游戏，而不管你拥有什么权限。
下面是以较低的权限很方便地运行应用程序的一些资源:
·Windows 2000和以上版本的Windows有一个名为“RunAs”的工具。这个工具能够让你以没有权限的账号登录之后使用一个管理员的账号运行具体的应用程序。
·当你用没有权限的账号登录的时候，MakeMeAdmin是一个非常有用的工具软件。这个软件能够让你以管理员的权限执行具体的应用程序。Aaron Margosis深入讨论了这个问题。你可以在他的网络日志中看到更多的相关文章。
·名为DropMyRights的工具软件采取相反的方式。当你使用管理员的账号登录时，这个工具软件能够让你在运行浏览器和电子邮件客户端软件等风险最大的应用程序时放弃管理员的权限。如果你管理一个大型的网络，你也许应该看一下启用组策略功能的DropMyRights软件。
请记住，当你以没有权限的用户身份访问某些网站时，某些网站可能无法访问。例如，启用SSL功能的网站和某些使用ActiveX控件的网站可能会不工作。PrivBar是一个现成的工具，可以跟踪哪一些IE浏览器的文件是以管理员的权限运行的，哪一些不是以管理员的权限运行的。
下面这个忠告显然是对安全团体内部的安全人员提出来的:不要运行来自你不信赖的来源的代码。通过避开提供不适当内容的可疑网站或者避免使用盗版软件以及在使用P2P文件共享服务时极为小心，你可以显著降低在这些领域的风险。你应该了解什么是钓鱼攻击以及如何避开钓鱼攻击。接下来，无论是在家里还是在工作中，你都应该使用强有力的口令，最好使用智能卡和其它类型的身份识别工具。
4.安装计算机时保护新的系统
当安装新的计算机时，要记住有很多蠕虫在互联网上积极活动，甚至在许多企业网络中活动。因此，在你实施上述措施之前，你需要采取简单的步骤保护那个系统:
·如果使用基于网络的安装技术，如远程安装服务，要创建一个专门建立新系统网络。这种新系统不允许直接与具有潜在危险的网络建立直接的通信。
·如果使用其它自动化建立系统的程序，如带有SysPrep程序的磁盘镜像，使用软件防火墙设置这个镜像。
·如果手工安装系统，应该关闭网络进行系统安装和启动防火墙功能，然后再接入网络，或者在系统处于硬件防火墙保护的情况下进行系统安装。
幸运的是Windows XP SP2和Windows Server 2003 SP1的缺省设置就启用了Windows防火墙功能。大多数计算机厂商在计算机产品出厂时都预装了上述两种操作系统。
5.相关资源
下面是为IT专业人员提供的一些额外的资源，以帮助他们锁定Windows:
·Antivirus Defense-in-Depth Guide(杀毒纵深防御指南)提供了避开恶意软件的更详细的指南。
·Windows Server 2003安全指南提供了根据服务器的任务增强安全的详细指南。
·Windows XP安全指南揭示了如何增强Windows XP的安全。
·威胁和应对措施:Windows Server 2003和Windows XP系统的安全设置可以作为其它安全指南的参考文件，包括关于Windows中提供的安全设置的信息和使用(或者不使用)这些安全设置可能产生的后果。
·Windows 2000服务器安全解决方案:虽然这个解决方案已经有好几年时间了，但是，这个解决方案提供了根据任务增强Windows 2000服务器安全的指南。
