警惕遠程訪問威脅

在平時管理、維護網(wǎng)絡的時候，為了提高管理維護效率，網(wǎng)管員往往會借助遠程桌面、telnet登錄、VPN連接等方式，來進行遠程訪問或控制操作。不過，在盡情享受遠程訪問便利的同時，也要警惕遠程訪問連接方式被惡意用戶利用，防止本地系統(tǒng)或網(wǎng)絡受到安全威脅。有鑒于此，本文現(xiàn)在就針對不同訪問連接方式，提出切實可行的安全防護措施，確保遠程訪問操作不會受到非法威脅!

警惕遠程桌面威脅

為了方便用戶進行遠程訪問操作，Windows系統(tǒng)自帶了遠程桌面連接功能，當將本地系統(tǒng)的遠程桌面連接功能成功啟用后，網(wǎng)管員就能在網(wǎng)絡的其他位置自由訪問、控制本地計算機系統(tǒng)了。借助這項連接功能，網(wǎng)管員能實時地遠程控制本地系統(tǒng)，進行遠程安裝程序、啟動軟件操作，所有的操作效果幾乎與本地一樣，這么一來網(wǎng)管員就能隨時隨地遠程控制單位網(wǎng)絡中的重要計算機系統(tǒng)了。

要享受遠程桌面連接便利，必須先要在服務器端系統(tǒng)和客戶端系統(tǒng)同時啟用遠程桌面連接功能。例如，要啟用Win7系統(tǒng)中的遠程桌面連接功能時，可以先用鼠標右鍵單擊系統(tǒng)桌面中的“計算機”圖標，執(zhí)行右鍵菜單中的“屬性”命令，彈出計算機系統(tǒng)屬性管理界面，點擊左側(cè)區(qū)域中的“遠程設置”標簽，切換到如圖1所示的標簽設置頁面，選中“允許運行任意版本遠程桌面的計算機連接”或“僅允許運行使用網(wǎng)絡級別身份驗證的遠程桌面的計算機連接”選項，而后單擊“確定”按鈕，就能完成對應系統(tǒng)遠程桌面連接功能的啟用任務了。

一旦啟用了遠程桌面連接功能，黑客、木馬也容易借用該功能威脅網(wǎng)絡中重要主機系統(tǒng)的安全，為此，我們一定要想辦法保護遠程桌面連接的安全。

調(diào)整端口號碼

由于遠程桌面連接功能默認使用的3389端口號碼，被眾多黑客、木馬所熟悉，為了避免該功能被惡意用戶隨意使用，我們可以將該功能使用的端口號碼調(diào)整為一個不被外人熟悉的陌生號碼，以便降低遠程桌面連接的安全威脅。例如，要將遠程桌面端口號碼修改為2222時，可以按照如下步驟來操作：

首先打開本地系統(tǒng)的“開始”菜單，點選“運行”選項，彈出系統(tǒng)運行對話框，輸入“regedit”命令，切換到系統(tǒng)注冊表編輯界面；依次展開該界面左側(cè)的HKEY LOCAL MACHIN E＼SYSTEM＼Current Control Set＼Control＼Terminal Server＼Win Stations＼KDP—Tcp目錄，將該目錄下的PortNumber鍵值由“3389”調(diào)整為“2222”；

其次展開注冊表中HKEY-LOCALMACHINE＼SYSTEM＼Current Control Set＼Control＼Terminal Server＼Wds＼rdpwd＼Tds＼tcp目錄，將該目錄下的PortNumber鍵值由“3389”調(diào)整為“2222”，之后重新啟動計算機系統(tǒng)就能使上述設置生效了；

日后使用遠程桌面連接功能遠程訪問本地計算機系統(tǒng)時，必須通過“IP地址：端口”方式來進行。比方說，筆者單位局域網(wǎng)中有一臺61.155.50.140的服務器，現(xiàn)在要在家中使用遠程桌面連接功能遠程控制該服務器，那就需要先打開遠程桌面連接對話框，在如圖2所示的地址框中輸入“61.155.50.140：2222”，這樣才能確保遠程訪問操作成功進行。當然，這種遠程桌面連接方式與以往的連接方式，在速度和操作方面沒有任何差別，只是通過“2222”端口實現(xiàn)遠程桌面連接的。

授權(quán)合法用戶

啟用了遠程桌面連接功能后，計算機系統(tǒng)就好像人為地開了一扇后門，任何用戶包括黑客此時都能偷偷混入進來，對目標計算機系統(tǒng)進行一些非法操作。為了預防黑客等惡意用戶趁虛而入，我們有必要加強對遠程桌面連接操作的授權(quán)，僅讓合法用戶才有資格使用這項功能，下面就是為合法用戶授權(quán)的具體步驟：

首先用鼠標右鍵單擊系統(tǒng)桌面中的“計算機”圖標，執(zhí)行右鍵菜單中的“屬性”命令，彈出計算機系統(tǒng)屬性管理界面，點擊左側(cè)區(qū)域中的“遠程設置”標簽，在對應標簽設置頁面中的“遠程桌面”位置處，點擊“選擇用戶”按鈕，打開如圖3所示的設置對話框，將所有已經(jīng)存在的用戶賬號全部刪除掉；

其次按下“添加”按鈕，切換到用戶賬號選擇對話框，將合法用戶賬號依次選中并導入進來，同時按“確定”按鈕執(zhí)行設置保存操作，這樣普通用戶將無法通過遠程桌面連接功能對本地計算機系統(tǒng)進行遠程控制訪問了，只有合法用戶才能使用這項功能成功訪問本地系統(tǒng)。

強行身份驗證

在Vista以上版本系統(tǒng)中，啟用“只允許運行帶網(wǎng)絡級身份驗證的遠程桌面的計算機連接(更安全)”功能，可以強行要求用戶進行網(wǎng)絡身份驗證，以此增強遠程桌面連接安全性。但是，Windows XP系統(tǒng)默認不支持網(wǎng)絡身份驗證功能，那樣一來通過遠程桌面連接方式遠程訪問該系統(tǒng)時，受到的安全威脅就比較大。其實，在Windows XP系統(tǒng)中下載安裝SP3補丁包后，通過簡單配置也能讓該系統(tǒng)支持網(wǎng)絡身份驗證功能，下面就是具體的配置步驟：

首先打開Windows XP系統(tǒng)的注冊表編輯窗口，展開該窗口中的HKEY LOCALMACHIN E＼SYSTEM＼Current Control Set＼Control＼Lsa目錄，雙擊該目錄下的“Security Packages”鍵值，切換到編輯多字符串設置框，正確輸入“tspkg”字符，按“確定”按鈕返回；

其次將鼠標定位到HKEY-LOCALMACHINE＼SYSTEM＼Current Control Set＼Control＼ServiceProvider目錄上，雙擊該目錄下的“SecurityProviders”鍵值，在彈出的數(shù)值數(shù)據(jù)框中正確輸入字符串“，credssp.dll”，再按“確定”按鈕保存設置操作；最后重新啟動計算機系統(tǒng)，這樣在遠程桌面連接框的“關于”設置頁面中，我們就能看到“支持網(wǎng)絡級別的身份驗證”功能選項了。

警惕telnet登錄威脅

telnet登錄命令是TCP／IP協(xié)議族中的一員，是Internet遠程登陸服務的標準協(xié)議和主要方式。它為用戶提供了在本地計算機上完成遠程主機工作的能力，在客戶端系統(tǒng)中使用telnet命令登錄連接到遠端的服務器，在本地系統(tǒng)輸入的命令能夠在服務器上自動運行，這種運行效果就像直接在服務器上直接輸入一樣，這樣網(wǎng)管員就能在本地系統(tǒng)遠程控制和操作遠端的服務器主機了。

很多時候，為了提高網(wǎng)絡訪問和控制效率，不少網(wǎng)管員常常會使用telnet登錄命令來遠程管理與控制局域網(wǎng)中的重要主機系統(tǒng)。默認狀態(tài)下，Windows 7系統(tǒng)是禁用telnet功能的，要想啟用這項功能時，可以依次單擊“開始”I“控制面板”選項，逐一雙擊“程序和功能”I“打開或關閉Windows功能”圖標，在其后彈出的列表中將“telnet服務器”I“telnet客戶端”等選項選中(如圖4所示)，這樣telnet登錄功能就被成功啟用了。

不過在進行telnet登錄操作時，也存在明顯的安全威脅：該命令默認要用到Windows系統(tǒng)的23端口，而這個端口號碼一般也會被黑客惡意利用，所以可能會由此帶來一些安全麻煩；而且，telnet登錄功能幾乎都以明文方式在傳輸數(shù)據(jù)，這種傳輸方式很容易被黑客中途攔截。那么怎樣才能有效提升telnet登錄連接安全呢?很簡單!可以將人人皆知的23端口號碼變成陌生的號碼，下面就是具體的端口號碼調(diào)整步驟：

首先依次單擊本地系統(tǒng)的“開始”I“運行”選項，在系統(tǒng)運行框中執(zhí)行“cmd”命令，切換到DOS命令行窗口；在命令行提示符下，輸入字符串命令“tintadmn configport=122”(這里假設122為新的登錄端口)，按回車鍵后，本地系統(tǒng)的telnet登錄端口就被調(diào)整為122了。當然，新設置的登錄端口號碼不能和本地系統(tǒng)中已開啟的號碼相同，否則telnet登錄操作將會失效。經(jīng)過上述設置后，當用戶想telnet登錄本地系統(tǒng)時，就需要在本地系統(tǒng)主機的IP地址后面加上“：122”，才能確保telnet連接操作的成功。

在安全要求較高的場合下，我們也可以選用支持加密功能的SSH連接替代telnet登錄連接，這是由于SSH連接在傳輸數(shù)據(jù)之前，會采用特殊算法加密數(shù)據(jù)，之后才會在網(wǎng)絡中傳輸，惡意用戶即使采取技術(shù)手段中途竊取到了這些數(shù)據(jù)，也無法發(fā)現(xiàn)其中的具體內(nèi)容，通過SSH連接能有效預防遠程訪問中的信息泄露問題，而且也能夠防止DNS欺騙和IP欺騙。使用SSH連接，還有一個額外的好處，那就是在網(wǎng)絡中傳輸?shù)臄?shù)據(jù)是經(jīng)過壓縮的，所以可以加快數(shù)據(jù)傳輸?shù)乃俣取?/p>

警惕VPN連接威脅

為了便于移動用戶訪問單位內(nèi)部網(wǎng)絡資源，很多單位內(nèi)網(wǎng)都架設了VPN服務器，用戶通過VPN連接可以隨時隨地遠程訪問內(nèi)網(wǎng)資源。不過，VPN連接需要借助Internet傳輸通道才能完成，而且來自外網(wǎng)的訪問操作要進入單位內(nèi)網(wǎng)核心，這樣就需要解除許多限制，沒有了諸多的限制，那么一些安全威脅就可能通過VPN連接進入單位內(nèi)網(wǎng)。為此，我們有必要采取相關安全措施，來保護VPN連接安全。

進行日志跟蹤

為了及時發(fā)現(xiàn)VPN連接中的異常問題，我們必須加強對這種連接操作進行日志跟蹤記錄。一旦遇到不正常現(xiàn)象時，只要打開系統(tǒng)事件查看器，找到相關日志記錄，快速定位VPN連接的時間日期、目的地址、源地址，通過這些信息找到具體的故障原因。除了要對網(wǎng)絡登錄行為進行監(jiān)控記錄外，還應該盡可能地監(jiān)控連接會話信息。要是意外遇到安全事故時，那么可以利用的信息源就比較多，找到具體原因的速度就比較快。而且更為重要的是，倘若網(wǎng)絡中事先部署了預防監(jiān)控措施，那么日志記錄中的任何異?，F(xiàn)象，都能被網(wǎng)管員及時發(fā)現(xiàn)，這樣安全威脅程度將會始終處于可控狀態(tài)。

啟用安全策略

通常來說，要是單位內(nèi)網(wǎng)允許用戶進行遠程訪問操作，常常會對這些訪問用戶應用事先定義好的安全策略，確保遠程訪問操作不會威脅內(nèi)網(wǎng)安全。要是單位內(nèi)網(wǎng)使用了一些標準的操作系統(tǒng)，那么也必須要求遠程訪問用戶使用同樣的安全標準。例如，單位內(nèi)網(wǎng)要求每位員工都要安裝殺毒軟件，并且定期下載更新病毒數(shù)據(jù)庫，那么我們也要強制遠程訪問用戶滿足這些運行要求。

加強安全認證

警惕VPN連接威脅最有效的辦法，就是加強密碼認證，因為在安全性要求較高的網(wǎng)絡環(huán)境中，密碼是一種十分有效的認證形式，只有知道密碼的用戶，才能正常通過VPN連接進行遠程訪問。目前VPN連接可以采用身份認證技術(shù)、加解密技術(shù)、隧道技術(shù)、密鑰管理技術(shù)等來確保網(wǎng)絡連接安全，其中在用戶身份驗證安全技術(shù)方面，VPN連接主要是通過PPP協(xié)議用戶級身份驗證的方法來進行驗證，這些驗證方法包括質(zhì)詢握手身份驗證、密碼身份驗證、可擴展身份驗證、Shiva密碼身份驗證等。在數(shù)據(jù)加密和密鑰管理方面，VPN連接采用MPPE加密算法和IPSec機制加密上網(wǎng)數(shù)據(jù)，同時采用公、私密鑰對的方法管理密鑰內(nèi)容。