Khách hàng, b?n ghi d?ch v? và chýõng tr?nh các v?n ð? có th? x?y ra n?u b?n thay ð?i thi?t ð?t b?o m?t và quy?n ngý?i dùng t?p

Ð? tãng s? nh?n th?c v? an ninh sai cài ð?t chuyên bi?t, s? d?ng công c? ch?nh s?a ð?i tý?ng chính sách nhóm ð? thay ð?i thi?t ð?t b?o m?t. Khi b?n s? d?ng tr?nh ch?nh s?a ð?i tý?ng chính sách nhóm, quy?n ngý?i dùng t?p ðý?c tãng cý?ng trên hêò ðiêÌu haÌnh sau:

• Windows XP chuyên nghi?p Service Pack 2 (SP2)
• Windows Server 2003 Gói b?n ghi d?ch v? 1 (SP1)

Các tính nãng nâng cao là m?t h?p có ch?a m?t liên k?t ð?n bài vi?t này. hôòp thoaòi s? xu?t hi?n khi b?n thay ð?i m?t b?o m?t thi?t l?p ho?c gán quy?n ngý?i dùng ð?n m?t thi?t l?p mà cung c?p ít kh? nãng týõng h?p v? sau và là h?n ch? hõn. N?u b?n tr?c ti?p thay ð?i phân cùng b?o m?t thi?t l?p ho?c quy?n ngý?i dùng công b?ng cách s? d?ng ki?m nh?p ho?c b?ng cách s? d?ng an ninh m?u, có hi?u l?c là gi?ng nhý thay ð?i các thi?t l?p trong ch?nh s?a ð?i tý?ng chính sách nhóm. Tuy nhiên, h?p có ch?a liên k?t ð?n bài vi?t này không xu?t hi?n.

Bài vi?t này ch?a các ví d? c?a khách hàng, chýõng tr?nh, và các ho?t ð?ng b? ?nh hý?ng b?i cài ð?t chuyên bi?t b?o m?t c? th? ho?c quy?n ngý?i dùng t?p. Tuy nhiên, các ví d? là không ð?c quy?n cho t?t c? các hêò ðiêÌu haÌnh Microsoft, cho t?t c? các hêò ðiêÌu haÌnh bên th? ba ho?c cho t?t c? các phiên b?n chýõng tr?nh b? ?nh hý?ng. Không ph?i t?t c? thi?t ð?t b?o m?t và gán quy?n ngý?i dùng ðý?c bao g?m trong bài vi?t này.

Chúng tôi khuyên r?ng b?n ki?m tra tính týõng h?p v? sau c?a t?t c? các thay ð?i c?u h?nh liên quan ð?n an ninh trong m?t khu r?ng th? nghi?m trý?c khi b?n gi?i thi?u h? trong m?t môi trý?ng s?n xu?t. R?ng th? nghi?m ph?i gýõng r?ng s?n xu?t theo các cách sau:

• Phiên b?n hêò ðiêÌu haÌnh khách hàng và máy ch?, khách hàng và chýõng tr?nh máy ch? b?n ghi d?ch v? gói phiên b?n, hotfix, thay ð?i lý?c ð?, an ninh Nhóm nhoìm thaÌnh viên, quy?n trên các ð?i tý?ng trong h? th?ng t?p, chia s? m?c tin thý thoaòi ki?m nh?p, các b?n ghi d?ch v? m?c tin thý thoaòi Thý muòc Hoòat ðôòng, ð?a phýõng và nhóm Thi?t ð?t chính sách, và lo?i tính ð?i tý?ng và v? trí
• Tác v? qu?n tr? ðý?c th?c hi?n, hành chính công c? ðý?c s? d?ng và hêò ðiêÌu haÌnh ðý?c s? d?ng ð? th?c hi?n tác v? qu?n tr?
• Ho?t ð?ng ðý?c th?c hi?n, ch?ng h?n nhý sau:
  • Máy tính và ngý?i s? d?ng xác th?c kí nh?p
  • Ð?t l?i m?t kh?u c?a ngý?i s? d?ng, máy tính, và qu?n tr? viên
  • Tr?nh duy?t
  • Thi?t l?p quy?n truy c?p h? th?ng t?p, cho chia s? m?c tin thý thoaòi, ki?m nh?p, và cho các tài nguyên Thý muòc Hoòat ðôòng b?ng cách s? d?ng tr?nh so?n th?o ACL trong t?t c? các hêò ðiêÌu haÌnh khách trong t?t c? các tài kho?n ho?c tên mi?n tài nguyên t? t?t c? các hêò ðiêÌu haÌnh khách t? t?t c? tài kho?n ho?c tên mi?n tài nguyên
  • In t? tài kho?n qu?n tr? viên và nonadministrative

C?nh báo trong Gpedit.msc

Ð? giúp làm cho khách hàng bi?t r?ng h? ðang ch?nh s?a m?t quy?n ngý?i dùng ho?c tùy ch?n b?o m?t có th? có b?t l?i ?nh hý?ng ð?n m?ng lý?i c?a h?, hai cõ ch? c?nh báo ð? ðý?c thêm vào ð? gpedit.msc. Khi qu?n tr? viên ch?nh s?a m?t quy?n ngý?i dùng có th? ?nh hý?ng ð?n toàn b? doanh nghi?p, h? s? th?y m?t bi?u tý?ng m?i týõng t? nhý m?t d?u ki?m hi?u nãng su?t. H? c?ng s? nh?n ðý?c m?t thông báo c?nh báo có m?t liên k?t ð?n bài vi?t Cõ s? tri th?c Microsoft 823659. Các vãn b?n c?a thý này là nhý sau: N?u b?n ð? ðý?c chuy?n ð?n bài vi?t cõ s? ki?n th?c này t? m?t liên k?t trong Gpedit.msc, h?y ch?c ch?n r?ng b?n ð?c và hi?u nh?ng l?i gi?i thích ðý?c cung c?p và hi?u qu? có th? thay ð?i cài ð?t chuyên bi?t này. Dý?i ðây danh sách các quy?n c?a ngý?i dùng ch?a vãn b?n c?nh báo:

• Truy c?p vào máy tính này t? m?ng
• kí nh?p ð?a phýõng
• B? qua ði qua ki?m tra
• Cho phép máy tính và ngý?i dùng cho ðoàn ð?i bi?u ðáng tin c?y

Dý?i ðây danh sách các tùy ch?n b?o m?t ð? c?nh báo và m?t tin thý thoaòi b?t lên:

• Thành viên tên mi?n: K? thu?t s? m? hóa ho?c kí nh?p an toàn kênh d? li?u (luôn luôn)
• Thành viên tên mi?n: Yêu c?u m?nh m? (Windows 2000 ho?c phiên b?n m?i hõn) ch?a khóa phiên
• B? ki?m soát mi?n: H? ph?c v? LDAP yêu c?u kí nh?p
• Máy ch? m?ng Microsoft: ðýõòc kiì theo sôì thýìc truy?n thông (luôn luôn)
• Truy c?p m?ng: Cho phép vô danh Sid / tên d?ch
• Truy nh?p m?ng: Không cho phép các li?t kê vô danh c?a SAM tài kho?n và chia s?
• An ninh m?ng: m?ng LAN qu?n l? xác th?c c?p
• Ki?m tra: T?t h? th?ng ngay l?p t?c n?u không th? kí nh?p ki?m tra an ninh
• Truy nh?p m?ng: LDAP khách hàng k? yêu c?u

Danh sách sau ðây mô t? m?t quy?n ngý?i dùng, xác ð?nh cài ð?t chuyên bi?t c?u h?nh có th? gây ra v?n ð?, mô t? l? do t?i sao b?n nên áp d?ng cho ngý?i dùng quy?n và t?i sao b?n có th? mu?n xoá quy?n s? d?ng, và cung c?p các ví d? v? các v?n ð? týõng h?p v? sau có th? x?y ra khi ngý?i dùng ph?i ðý?c c?u h?nh.

1. Truy c?p vào máy tính này t? m?ng
   1. N?n
      
      Kh? nãng týõng tác v?i máy tính t? xa d?a-trên-Windows yêu c?u quy?n ngý?i dùng truy c?p vào máy tính này t? m?ng . Ví d? v? các ho?t ð?ng m?ng lý?i bao g?m:
      • Sao chép m?c tin thý thoaòi ho?t ð?ng gi?a b? ki?m soát mi?n trong m?t tên mi?n ph? bi?n ho?c r?ng
      • Yêu c?u ch?ng th?c ð? b? ki?m soát mi?n t? ngý?i dùng và máy tính
      • S? d?ng c?p dùng chung, máy in, và các b?n ghi d?ch v? h? th?ng khác n?m trên các máy tính t? xa trên m?ng
      
      
      Ngý?i s? d?ng, máy tính và tài kho?n b?n ghi d?ch v? ð?t ðý?c hay m?t quy?n ngý?i dùng truy c?p vào máy tính này t? m?ng b?ng cách r? ràng ho?c ng?m thêm ho?c Loaòi boÒ khoÒi Nhoìm b?o m?t ð? ðý?c c?p quy?n ngý?i dùng này. Ví d?, tài kho?n ngý?i dùng trýõng m?c máy tính ngý?i qu?n tr? có th? ðý?c thêm vào m?t r? ràng ð? m?t nhoìm baÒo mâòt tu? ch?nh ho?c m?t nhóm ðý?c xây d?ng trong an ninh, ho?c có th? ðý?c thêm b?i hêò ðiêÌu haÌnh hoàn toàn ? m?t nhoìm baÒo mâòt tính ch?ng h?n nhý ngý?i s? d?ng tên mi?n, xác th?c ngý?i dùng, ho?c b? b? ki?m soát mi?n c?a doanh nghi?p.
      
      theo m?c ð?nh, tài kho?n ngý?i dùng và máy tính tài kho?n ðý?c c?p cho ngý?i dùng truy c?p vào máy tính này t? m?ng ngay khi tính nhóm nhý t?t c? m?i ngý?i ho?c, t?t hõn, ngý?i dùng Authenticated, và b? b? ki?m soát mi?n, nhóm b? ki?m soát mi?n doanh nghi?p, ðý?c xác ð?nh trong b? b? ki?m soát mi?n m?c ð?nh ð?i tý?ng chính sách nhóm (GPO).
   2. C?u h?nh nguy hi?m
      
      Sau ðây là các cài ð?t chuyên bi?t c?u h?nh có h?i:
      • Lo?i b? b?o m?t b? ki?m soát mi?n doanh nghi?p Nhóm này ngý?i s? d?ng ðúng
      • Lo?i b? các nhóm xác th?c ngý?i dùng ho?c m?t Nhóm r? ràng cho phép ngý?i s? d?ng, máy tính và b?n ghi d?ch v? tài kho?n ngý?i dùng quy?n ð? k?t n?i v?i máy tính trên m?ng
      • Lo?i b? t?t c? các ngý?i dùng và máy tính t? ngý?i dùng này quy?n
   3. L? do ð? c?p quy?n ngý?i dùng này
      • C?p quy?n truy c?p vào máy tính này t? m?ng ngý?i dùng nhóm b? ki?m soát mi?n doanh nghi?p ðáp ?ng xác th?c yêu c?u ho?t ð?ng m?c tin thý thoaòi sao chép ph?i có ð? nhân r?ng ð? x?y ra gi?a b? ki?m soát mi?n trong r?ng cùng m?t.
      • Ngý?i dùng này ph?i cho phép ngý?i dùng và máy tính truy c?p chia s? t?p, máy in và h? th?ng b?n ghi d?ch v?, bao g?m c? ho?t ð?ng m?c tin thý thoaòi.
      • Quy?n ngý?i dùng này là c?n thi?t cho ngý?i dùng truy c?p thý b?ng cách s? d?ng phiên b?n trý?c ðó c?a Microsoft Outlook Web Access (OWA).
   4. L? do ð? lo?i b? các quy?n ngý?i dùng này
      • Ngý?i s? d?ng có th? k?t n?i máy tính c?a h? ð? các m?ng có th? truy c?p tài nguyên trên máy tính t? xa mà h? có quy?n cho. Ví d?, ngý?i dùng này ph?i là c?n thi?t cho m?t ngý?i s? d?ng ð? k?t n?i ð? chia s? Máy in và m?c tin thý thoaòi. N?u ngý?i dùng này ph?i ðý?c c?p cho t?t c? m?i ngý?i trong nhóm, và n?u m?t s? m?c tin thý thoaòi dùng chung có c? hai chia s? và NTFS cho phép h? th?ng t?p. c?u h?nh ð? cùng m?t nhóm có quy?n truy c?p ð?c, b?t c? ai có th? xem các t?p tin trong nh?ng c?p dùng chung. Tuy nhiên, ðây là m?t t?nh hu?ng không cho týõi cài ð?t chuyên bi?t Windows Server 2003 v? chia s? m?c ð?nh và các NTFS Các ði?u kho?n trong Windows Server 2003 không bao g?m t?t c? m?i ngý?i trong nhóm. Cho H? th?ng ðý?c nâng c?p t? Microsoft Windows NT 4.0 hay Windows 2000, ði?u này d? b? t?n thýõng có th? có m?t m?c ð? cao c?a r?i ro v? m?c ð?nh chia s? và quy?n truy c?p h? th?ng t?p cho các hêò ðiêÌu haÌnh không ph?i là h?n ch? nhý các quy?n m?c ð?nh trong Windows Server 2003.
      • Có là không có l? do h?p l? ð? lo?i b? các doanh nghi?p B? ði?u khi?n tên mi?n nhóm t? này ngý?i s? d?ng ðúng.
      • T?t c? m?i ngý?i trong nhóm thý?ng b? lo?i b? trong l?i c?a Các nhóm xác th?c ngý?i dùng. N?u t?t c? m?i ngý?i trong nhóm ðý?c l?y ra, các Xác th?c ngý?i dùng nhóm ph?i ðý?c gán quy?n ngý?i dùng này.
      • Tên mi?n Windows NT 4.0 ðý?c nâng c?p lên Windows 2000 không r? ràng c?p ngý?i dùng truy c?p vào máy tính này t? m?ng ngay cho t?t c? m?i ngý?i trong nhóm, nhóm xác th?c ngý?i dùng ho?c nhóm b? ki?m soát mi?n c?a doanh nghi?p. V? v?y, khi b?n lo?i b? t?t c? m?i ngý?i trong nhóm t? chính sách tên mi?n Windows NT 4.0, ho?t ð?ng m?c tin thý thoaòi sao chép s? không thành công v?i m?t thông báo l?i "Truy c?p t? ch?i" sau khi b?n nâng c?p lên Windows 2000. Winnt32.exe trong Windows Server 2003 tránh l?i c?u này b?ng c?p b? ki?m soát mi?n doanh nghi?p nhóm quy?n ngý?i dùng này khi b?n nâng c?p b? ki?m soát mi?n chính Windows NT 4.0 (PDCs). m?c g?p nhóm doanh nghi?p b? ki?m soát mi?n này ngý?i s? d?ng ðúng n?u nó không ph?i là hi?n nay trong ch?nh s?a ð?i tý?ng chính sách nhóm.
   5. Ví d? v? các v?n ð? týõng h?p v? sau
      • Windows 2000 và Windows Server 2003: Sao chép các phân vùng sau ðây s? th?t b?i v?i l?i "Truy c?p t? ch?i" theo báo cáo b?ng cách giám sát các công c? nhý REPLMON và REPADMIN ho?c sao chép các s? ki?n trong trý?ng h?p kí nh?p.
        • Ho?t ð?ng m?c tin thý thoaòi lý?c ð? phân vùng
        • C?u h?nh phân vùng
        • Phân vùng mi?n
        • Toàn c?u danh m?c phân vùng
        • ?ng d?ng phân vùng
      • T?t c? Microsoft hêò ðiêÌu haÌnh m?ng:Xác th?c tài kho?n ngý?i dùng t? m?ng t? xa máy tính khách hàng s? không tr? khi ngý?i dùng ho?c nhoìm baÒo mâòt ngý?i dùng là thành viên c?a ð? ðý?c c?p quy?n ngý?i dùng này.
      • T?t c? Microsoft hêò ðiêÌu haÌnh m?ng:Tài kho?n xác th?c t? các khách hàng t? xa m?ng s? không tr? khi các tài kho?n ho?c m?t nhoìm baÒo mâòt tài kho?n là m?t thành viên c?a ð? ðý?c c?p ngý?i dùng này ngay. K?ch b?n này áp d?ng cho tài kho?n ngý?i dùng, ð? máy tính tài kho?n và tài kho?n b?n ghi d?ch v?.
      • T?t c? Microsoft hêò ðiêÌu haÌnh m?ng:Lo?i b? t?t c? tài kho?n t? quy?n ngý?i dùng này s? ngãn ch?n b?t k? tài kho?n kí nh?p vào tên mi?n ho?c truy c?p vào tài nguyên m?ng. N?u tính nhóm ch?ng h?n nhý b? b? ki?m soát mi?n c?a doanh nghi?p, t?t c? m?i ngý?i, ho?c xác th?c ngý?i dùng s? b? lo?i b?, ph?i b?n r? ràng c?p quy?n ngý?i dùng này vào tài kho?n ho?c nhoìm baÒo mâòt tài kho?n là m?t thành viên ð? truy c?p vào máy tính t? xa qua m?ng. K?ch b?n này áp d?ng cho t?t c? tài kho?n ngý?i dùng, t?t c? máy tính tài kho?n, và t?t c? các tài kho?n b?n ghi d?ch v?.
      • T?t c? Microsoft hêò ðiêÌu haÌnh m?ng:tài kho?n qu?n tr? viên c?c b? s? d?ng m?t m?t kh?u "tr?ng". K?t n?i m?ng v?i tr?ng m?t kh?u không ðý?c phép cho qu?n tr? viên tài kho?n trong m?t môi trý?ng tên mi?n. V?i c?u h?nh này, b?n có th? mong ð?i ð? nh?n ðý?c m?t thông báo l?i "Truy c?p t? ch?i".
2. Cho phép kí nh?p trên ð?a phýõng
   1. N?n
      
      Ngý?i s? d?ng ðang c? g?ng ð? kí nh?p vào giao di?n ði?u khi?n c?a m?t máy tính d?a trên Windows (b?ng cách s? d?ng phiìm l?i tãìt CTRL + ALT + DELETE) và các tài kho?n ngý?i ðang c? g?ng ð? B?t ð?u m?t b?n ghi d?ch v? ph?i có ð?c quy?n kí nh?p ð?a phýõng trên máy tính lýu tr?. Ví d? v? các ho?t ð?ng kí nh?p ð?a phýõng bao g?m ngý?i ðang kí nh?p vào bàn giao ti?p c?a thành viên máy tính ho?c b? ki?m soát mi?n trong su?t c? doanh nghi?p và tên mi?n ngý?i dùng nh?ng ngý?i ðang kí nh?p vào tài kho?n c?a máy tính ð? truy c?p vào máy tính ð? bàn c?a h? b?ng cách s? d?ng tài kho?n không có ð?c quy?n qu?n tr?. Ngý?i s? d?ng có s? d?ng m?t Kêìt nôìi BaÌn laÌm viêòc TýÌ xa ho?c b?n ghi d?ch v? ð?u cu?i ph?i có ngý?i dùng cho phép kí nh?p ð?a phýõng ngay trên máy tính ðích ðang ch?y Windows 2000 ho?c Windows XP b?i v? các ch? ð? kí nh?p ðý?c coi là ð?a phýõng ð? máy tính lýu tr?. Ngý?i dùng nh?ng ngý?i ðang kí nh?p vào m?t máy ch? mà có máy ch? ð?u cu?i cho phép và nh?ng ngý?i không có này ngý?i dùng ph?i có th? v?n c?n B?t ð?u m?t phiên týõng tác t? xa trong Windows Tên mi?n máy ch? 2003 n?u h? có ngý?i dùng cho phép kí nh?p thông qua b?n ghi d?ch v? ð?u cu?i ph?i.
   2. C?u h?nh nguy hi?m
      
      Sau ðây là các cài ð?t chuyên bi?t c?u h?nh có h?i:
      • Lo?i b? các nhoìm baÒo mâòt qu?n tr?, bao g?m tài kho?n s? d?ng, s? d?ng sao lýu, in qu?c gia s? d?ng ho?c s? d?ng máy ch?, và nhóm ngý?i qu?n tr? ðý?c xây d?ng trong t? c?a b? ki?m soát mi?n m?c ð?nh chính sách.
      • Lo?i b? b?n ghi d?ch v? tài kho?n ðý?c s? d?ng b?i các thành ph?n và chýõng tr?nh trên máy tính thành viên và trên b? ki?m soát mi?n trong mi?n t? chính sách c?a b? ki?m soát mi?n m?c ð?nh.
      • Lo?i b? ngý?i dùng ho?c nhoìm baÒo mâòt kí nh?p vào giao di?n ði?u khi?n thành viên máy tính trong tên mi?n.
      • Lo?i b? b?n ghi d?ch v? tài kho?n ðý?c xác ð?nh trong b? máy cõ s? d? li?u ð?a phýõng b?o m?t tài kho?n qu?n l? (SAM) c?a các thành viên máy tính ho?c nhóm làm vi?c máy tính.
      • Lo?i b? tài không-xây d?ng-trong qu?n tr? kho?n cá trong b?n ghi d?ch v? ð?u cu?i ðang ch?y trên m?t b? ði?u khi?n tên mi?n.
      • Thêm t?t c? các tài kho?n ngý?i dùng trong tên mi?n m?t cách r? ràng ho?c hoàn toàn thông qua t?t c? m?i ngý?i trong nhóm ð? t? ch?i kí nh?p ð?a phýõng kí nh?p ðúng. C?u h?nh này s? ngãn ch?n ngý?i dùng kí nh?p vào b?t k? thành viên máy tính ho?c b?t k? ki?m soát mi?n trong tên mi?n.
   3. L? do ð? c?p quy?n ngý?i dùng này
      • Ngý?i dùng ph?i có quy?n ngý?i dùng cho phép kí nh?p ð?a phýõng ð? truy c?p vào giao di?n ði?u khi?n ho?c bàn làm vi?c c?a m?t nhóm làm vi?c máy tính, máy tính thành viên ho?c m?t b? ði?u khi?n tên mi?n.
      • Ngý?i dùng ph?i có quy?n ngý?i dùng này ð? kí nh?p vào trong m?t phiên b?n ghi d?ch v? Thi?t b? cu?i ðang ch?y trên m?t máy tính d?a trên c?a s? 2000 thành viên ho?c b? ði?u khi?n tên mi?n.
   4. L? do ð? lo?i b? các quy?n ngý?i dùng này
      • S? th?t b?i ð? h?n ch? truy c?p vào giao di?n ði?u khi?n ð? h?p pháp tài kho?n ngý?i dùng có th? d?n ð?n trái phép ngý?i dùng t?i v? và th?c hi?n m? ð?c h?i ð? thay ð?i quy?n ngý?i dùng c?a h?.
      • Lo?i b? cho phép kí nh?p ð?a phýõng dùng ph?i ngãn trái phép logons trên bàn giao ti?p c?a Máy vi tính, ch?ng h?n nhý b? ði?u khi?n tên mi?n ho?c maìy phuòc vuò ýìng duòng.
      • Lo?i b? các quy?n kí nh?p này ngãn c?n không tên mi?n tài kho?n kí nh?p t?i giao di?n ði?u khi?n c?a tài kho?n c?a máy tính trong các tên mi?n.
   5. Ví d? v? các v?n ð? týõng h?p v? sau
      • Máy ch? ð?u cu?i Windows 2000:Ngý?i cho phép kí nh?p ð?a phýõng dùng ph?i là c?n thi?t cho ngý?i dùng ð? kí nh?p vào Windows 2000 thi?t b? ð?u cu?i máy ch?.
      • Windows NT 4.0, Windows 2000, Windows XP ho?c Windows Server 2003:Trýõng m?c ngý?i dùng ph?i ðý?c gán quy?n ngý?i dùng này ð? kí nh?p vào giao di?n ði?u khi?n c?a máy tính ðang ch?y Windows NT 4.0, Windows 2000, Windows XP ho?c Windows Server 2003.
      • Windows NT 4.0 và sau ðó:Trên máy tính ðang ch?y Windows NT 4.0 và sau ðó, n?u b?n thêm quy?n ngý?i dùng cho phép kí nh?p trên t?i ð?a phýõng nhýng b?n hoàn toàn ho?c m?t cách r? ràng c?ng c?p quy?n kí nh?p t? ch?i kí nh?p t?i ð?a phýõng , các tài kho?n s? không th? kí nh?p vào các giao di?n ði?u khi?n c?a b? b? ki?m soát mi?n.
3. B? qua ði qua ki?m tra
   1. N?n
      
      Ngý?i b? qua ði qua ki?m tra dùng ðúng cho phép ngý?i dùng duy?t qua các m?c tin thý thoaòi trong các NTFS h? th?ng t?p ho?c ki?m nh?p mà không ki?m tra cho phép truy c?p ð?c bi?t Ði qua m?c tin thý thoaòi . Ngý?i b? qua ði qua ki?m tra dùng quy?n không cho phép ngý?i s? d?ng danh sách các n?i dung c?a m?t m?c tin thý thoaòi. Nó cho phép ngý?i dùng ð? ði qua ch? các c?p.
   2. C?u h?nh nguy hi?m
      
      Sau ðây là các cài ð?t chuyên bi?t c?u h?nh có h?i:
      • Lo?i b? ph?ng không hành chính các tài kho?n kí nh?p vào máy tính d?a trên Windows 2000 Terminal Services ho?c b?n ghi d?ch v? ð?u cu?i Windows Server 2003 d?a trên máy tính mà không có quy?n ð? truy c?p các t?p tin và m?c tin thý thoaòi trong h? th?ng t?p.
      • Lo?i b? t?t c? m?i ngý?i trong nhóm t? danh sách các chuÒ thêÒ an toaÌn thông tin ngý?i có viên này ph?i theo m?c ð?nh. hêò ðiêÌu haÌnh Windows, và c?ng nhi?u chýõng tr?nh, ðý?c thi?t k? v?i hy v?ng r?ng ai ðó có th? h?p pháp truy c?p vào máy tính s? có ngý?i b? qua ði qua ki?m tra dùng ðúng. V? v?y, lo?i b? t?t c? m?i ngý?i trong nhóm t? danh sách là chuÒ thêÒ an toaÌn thông tin ngý?i có quy?n này ngý?i dùng theo m?c ð?nh có th? d?n ð?n s? m?t ?n ð?nh hêò ðiêÌu haÌnh ho?c ð? chýõng tr?nh th?t b?i. Nó là t?t hõn r?ng b?n ð? l?i thi?t l?p này lúc m?c ð?nh c?a nó.
   3. L? do ð? c?p quy?n ngý?i dùng này
      
      Các thi?t l?p m?c ð?nh cho ngý?i b? qua ði qua ki?m tra dùng ðúng là ð? cho phép b?t c? ai ð? vý?t qua ði qua ki?m tra. Cho có kinh nghi?m ngýõÌi quaÒn triò hêò thôìng Windows, ðây là hành vi mong ð?i, và h? ð?t c?u h?nh ði?u khi?n danh sách truy nh?p h? th?ng t?p (SACLs) cho phù h?p. Ch? k?ch b?n mà c?u h?nh m?c ð?nh có th? d?n ð?n m?t r?i ro là n?u các qu?n tr? viên ð? c?u h?nh cho phép không hi?u hành vi và Hy v?ng r?ng nh?ng ngý?i s? d?ng không th? truy c?p vào m?t m?c tin thý thoaòi ph? huynh s? không th? truy c?p vào n?i dung c?a b?t k? m?c tin thý thoaòi con.
   4. L? do ð? lo?i b? các quy?n ngý?i dùng này
      
      C? g?ng ð? ngãn ch?n truy c?p các t?p tin ho?c m?c tin thý thoaòi trong h? th?ng t?p, t? ch?c ðang r?t quan tâm v? b?o m?t có th? b? cám d? ð? lo?i b? t?t c? m?i ngý?i trong nhóm, ho?c th?m chí các Nhóm ngý?i dùng, t? danh sách các nhóm có ngý?i b? qua ði qua ki?m tra dùng ðúng.
   5. Ví d? v? các v?n ð? týõng h?p v? sau
      • Windows 2000, Windows Server 2003:N?u ngý?i b? qua ði qua ki?m tra dùng ph?i ðý?c g? b? ho?c là sai trên máy tính ch?y Windows 2000 ho?c Windows Server 2003, cài ð?t chuyên bi?t chính sách nhóm trong SYVOL m?c tin thý thoaòi s? không sao chép gi?a b? ki?m soát mi?n trong tên mi?n.
      • Windows 2000, Windows XP Professional, Windows Server 2003:Máy tính ðang ch?y Windows 2000, Windows XP Professional ho?c Windows Server 2003 s? ðãng s? ki?n 1000 và 1202 và s? không th? áp d?ng chính sách máy tính và các chính sách ngý?i dùng khi quy?n truy c?p h? th?ng t?p c?n thi?t ðý?c lo?i b? t? cây SYSVOL n?u ngý?i ði qua b? qua ki?m tra dùng ph?i ðý?c g? b? ho?c sai.
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        290647

        (http://support.microsoft.com/kb/290647/ )

        ID s? ki?n 1000, 1001 kí nh?p m?i nãm phút trong Nh?t k? s? ki?n ?ng d?ng
      • Windows 2000, Windows Server 2003: Trên máy tính ðang ch?y Windows 2000 ho?c Windows Server nãm 2003, các Dung lý?ng tab trong Window Explorer s? bi?n m?t khi b?n xem thu?c tính trên m?t ôÒ ðiÞa.
      • Windows 2000: Ph?ng Không qu?n tr? viên kí nh?p vào m?t máy ch? ð?u cu?i Windows 2000 có th? nh?n ðý?c thông báo l?i sau:
        Userinit.exe l?i ?ng d?ng. ?ng d?ng không th? kh?i ð?ng ðúng 0xc0000142 b?m có ð? ch?m d?t các ?ng d?ng.
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        272142

        (http://support.microsoft.com/kb/272142/ )

        Ngý?i dùng t? ð?ng kí nh?p khi c? g?ng kí nh?p vào b?n ghi d?ch v? ð?u cu?i
      • Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003:Ngý?i dùng có máy tính ðang ch?y Windows NT 4.0, Windows 2000, Windows XP ho?c Windows Server 2003 có th? không th? truy nh?p c?p dùng chung ho?c các t?p tin vào m?c tin thý thoaòi ðý?c chia s?, và h? có th? nh?n ðý?c thông báo l?i "Truy c?p t? ch?i" n?u h? không c?p quy?n ngý?i dùng b? qua ði qua ki?m tra .
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        277644

        (http://support.microsoft.com/kb/277644/ )

        Thông báo l?i "Truy c?p ch?i" khi ngý?i dùng c? g?ng truy c?p vào m?c tin thý thoaòi dùng chung
      • Windows NT 4.0:Trên máy tính d?a trên Windows NT 4.0, lo?i b? c?a b? qua ði qua ki?m tra ðúng s? gây ra m?t ð?ng g?i t?p tin ð? th? t?p tin ngu?n. N?u b?n lo?i b? quy?n ngý?i dùng này, khi m?t t?p tin ðý?c sao chép t? m?t khách hàng Windows ho?c t? m?t Macintosh khách hàng lên b? ki?m soát mi?n Windows NT 4.0 ch?y b?n ghi d?ch v? cho Macintosh, d?ng t?p tin ðích là b? m?t, và các t?p tin xu?t hi?n nhý là m?t t?p vãn b?n ch?.
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        172930

        (http://support.microsoft.com/kb/172930/ )

        Lo?i b? các "Bypass ði qua ki?m tra" làm sao t?p ð? ðý?ng th?
      • Microsoft Windows 95, Microsoft Windows 98:Trên m?t khách hàng máy tính ðang ch?y Windows 95 ho?c Windows 98, các lý?i s? d?ng * / trang chuÒ l?nh s? không thành công v?i m?t "truy c?p B? t? ch?i"báo l?i n?u ð?i xác th?c ngý?i dùng không ph?i là c?p quy?n ngý?i dùng b? qua ði qua ki?m tra .
      • Outlook Web Access:Qu?n tr? viên không s? không th? kí nh?p vào Microsoft Outlook Web Access, và h? s? nh?n ðý?c m?t thông báo l?i "Truy c?p t? ch?i" n?u h? không ðý?c c?p quy?n ngý?i dùng b? qua ði qua ki?m tra .

Danh sách sau ðây xác ð?nh cài ð?t chuyên bi?t b?o m?t, và danh sách l?ng nhau cung c?p m?t mô t? v? cài ð?t chuyên bi?t b?o m?t, xác ð?nh cài ð?t chuyên bi?t c?u h?nh mà có th? gây ra v?n ð?, mô t? l? do t?i sao b?n nên áp d?ng cài ð?t chuyên bi?t b?o m?t, và sau ðó mô t? l? do t?i sao b?n có th? mu?n lo?i b? thi?t ð?t b?o m?t. Danh sách l?ng nhau sau ðó cung c?p m?t tên tý?ng trýng cho các thi?t l?p b?o m?t và ðý?ng d?n ki?m nh?p c?a các thi?t l?p b?o m?t. Cu?i cùng, ví d? ðý?c cung c?p kh? nãng týõng h?p v? sau các v?n ð? có th? x?y ra khi cài ð?t chuyên bi?t b?o m?t ðý?c ð?t c?u h?nh.

1. Ki?m tra: T?t h? th?ng ngay l?p t?c n?u không th? kí nh?p ki?m tra an ninh
   1. N?n
      • Các ki?m tra: t?t h? th?ng ngay l?p t?c n?u không th? kí nh?p an ninh ki?m tra cài ð?t chuyên bi?t xác ð?nh li?u h? th?ng t?t n?u b?n không th? ðãng s? ki?n an ninh. Thi?t ð?t này ðý?c yêu c?u cho chýõng tr?nh ðáng tin c?y tiêu chí ðánh giá b?o m?t máy tính (TCSEC) C2 ðánh giá và các tiêu chí ph? bi?n cho các th?m ð?nh an ninh công ngh? thông tin ð? ngãn ch?n s? ki?n ngôn n?u h? th?ng ki?m toán không th? kí nh?p nh?ng s? ki?n. N?u h? th?ng ki?m toán không thành công, H? th?ng ðóng c?a, và m?t d?ng thông báo l?i xu?t hi?n.
      • N?u máy tính không th? ghi l?i các s? ki?n ð? các s? ghi b?o m?t, b?ng ch?ng quan tr?ng ho?c thông tin kh?c ph?c s? c? quan tr?ng không có s?n ð? xem xét sau khi m?t s? c? an ninh.
   2. C?u h?nh nguy hi?m
      
      Sau ðây là m?t t?p c?u h?nh có h?i: các ki?m tra: t?t h? th?ng ngay l?p t?c n?u không th? kí nh?p an ninh ki?m tra cài ð?t chuyên bi?t ðý?c b?t, và kích thý?c c?a s? ghi s? ki?n an ninh ð? ðý?c c? ð?nh b?i không ghi ðè lên s? ki?n (r? ràng kí nh?p theo cách th? công) tùy ch?n, tùy ch?n ghi ðè lên các s? ki?n nhý c?n thi?t , ho?c Ghi ðè lên các s? ki?n l?n hõn s? Ngày tùy ch?n trong tr?nh Tr?nh xem s? ki?n. Xem các "ví d? c?a tính týõng h?p v? sau V?n ð?"ph?n cho các thông tin v? các r?i ro c? th? cho máy tính ch?y các phiên b?n phát hành ban ð?u c?a Windows 2000, Windows 2000 b?n ghi d?ch v? Pack 1 (SP1), Windows 2000 SP2 ho?c Windows 2000 SP3.
   3. L? do ð? cho phép thi?t ð?t này
      
      N?u máy tính không th? ghi l?i các s? ki?n vào Nh?t k? b?o m?t, b?ng ch?ng quan tr?ng ho?c thông tin kh?c ph?c s? c? quan tr?ng có th? không có s?n ð? xem xét sau khi m?t s? c? an ninh.
   4. L? do ð? vô hi?u hoá cài ð?t chuyên bi?t này
      • Cho phép các ki?m toán: t?t h? th?ng ngay l?p t?c n?u không th? kí nh?p an ninh ki?m tra cài ð?t chuyên bi?t d?ng h? th?ng n?u m?t ki?m toán b?o m?t không th? ðý?c kí nh?p b?t k? l? do nào. Thông thý?ng, m?t s? ki?n không th? ðý?c kí nh?p khi Nh?t k? ki?m tra an ninh ð?y ð? và khi phýõng pháp lýu gi? ð? ch? ð?nh là m?t trong hai tùy ch?n không ghi ðè lên s? ki?n (r? ràng kí nh?p theo cách th? công) ho?c Ghi ðè lên các s? ki?n l?n hõn s? Ngày tùy ch?n.
      • Gánh n?ng hành chính t?o ði?u ki?n cho các ki?m tra: t?t h? th?ng ngay l?p t?c n?u không th? kí nh?p an ninh ki?m tra cài ð?t chuyên bi?t có th? r?t cao, ð?c bi?t là n?u b?n c?ng b?t tùy ch?n không ghi ðè lên s? ki?n (r? ràng kí nh?p b?ng tay) cho s? ghi b?o m?t. Thi?t l?p này cung c?p cho các trách nhi?m cá nhân c?a nhà ði?u hành hành ð?ng. Ví d?, ngý?i qu?n tr? có th? ð?t l?i mýìc câìp pheìp trên t?t c? ngý?i dùng, máy tính, và các nhóm trong m?t ðõn v? t? ch?c (OU) nõi ki?m toán ðý?c kích ho?t b?ng cách s? d?ng tài kho?n ngý?i qu?n tr? cài s?n ho?c khác chia s? tài kho?n và sau ðó t? ch?i h? ð?t l?i quy?n nhý v?y. Tuy nhiên, cho phép các thi?t l?p làm gi?m m?nh m? c?a h? th?ng v? m?t máy ch? có th? b? bu?c ph?i ðóng c?a b?i quá nó v?i s? ki?n kí nh?p và các s? ki?n an ninh khác ðý?c ghi vào s? ghi b?o m?t. Ngoài ra, b?i v? các không ph?i là duyên dáng, các thi?t h?i không th? kh?c ph?c ð? hêò ðiêÌu haÌnh, chýõng tr?nh ho?c d? li?u có th? d?n ð?n. M?c dù NTFS ð?m b?o tính toàn v?n c?a h? th?ng t?p ðý?c duy tr? trong m?t t?t ungraceful h? th?ng, nó không th? ð?m b?o r?ng m?i t?p tin d? li?u cho m?i chýõng tr?nh s? v?n trong m?t h?nh th?c s? d?ng khi h? th?ng kh?i ð?ng l?i.
   5. Tên bi?u tý?ng:
      
      CrashOnAuditFail
      
      
   6. Ðý?ng d?n ðãng k?:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\CrashOnAuditFail (Reg_DWORD)
   7. Ví d? v? các v?n ð? týõng h?p v? sau
      • Windows 2000:V? m?t l?i, máy tính ðang ch?y phiên b?n phát hành ban ð?u c?a Windows 2000, Windows 2000 SP1, Windows 2000 SP2 ho?c Windows Server SP3 có th? ngãn ch?n s? ki?n kí nh?p trý?c khi kích thý?c ðý?c ch? ð?nh trong các tùy ch?n kích c? s? ghi t?i ða cho s? ghi s? ki?n an ninh ðý?c ð?t t?i. L?i này ðý?c c? ð?nh trong Windows 2000 Service Pack 4 (SP4). H?y ch?c ch?n r?ng tên mi?n c?a b?n Windows 2000 b? ði?u khi?n có Windows 2000 Service Pack 4 cài ð?t chuyên bi?t trý?c khi b?n xem xét cho phép thi?t ð?t này.
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        312571

        (http://support.microsoft.com/kb/312571/ )

        S? ghi s? ki?n d?ng ghi nh?t k? s? ki?n trý?c khi ð?t kích thý?c t?i ða kí nh?p
      • Windows 2000, Windows Server 2003:Máy tính ðang ch?y Windows 2000 ho?c Windows Server 2003 có th? ng?ng ðáp ?ng và kh?i ð?ng sau ðó có th? t? phát l?i n?u các ki?m tra: t?t h? th?ng ngay l?p t?c n?u không th? kí nh?p an ninh ki?m tra cài ð?t chuyên bi?t ðý?c b?t, s? ghi b?o m?t là ð?y ð? và m?t m?c nh?p s? ghi s? ki?n hi?n t?i không th? ðý?c ghi ðè. Khi máy tính kh?i ð?ng l?i, thông báo l?i d?ng sau s? xu?t hi?n:
        NG?NG: C0000244 {Ki?m tra th?t b?i}
        M?t n? l?c ð? t?o ra m?t b?o m?t ki?m toán không thành công.
        Ð? khôi ph?c, ngý?i qu?n tr? ph?i kí nh?p vào, lýu tr? s? ghi b?o m?t (tùy ch?n), xóa s? ghi b?o m?t, và sau ðó ð?t l?i tu? ch?n này (tùy ch?n và là c?n thi?t).
      • Máy s? d?ng m?ng Microsoft cho MS-DOS, Windows 95, Windows 98, Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003:Ph?ng Không qu?n tr? viên c? g?ng ð? kí nh?p vào m?t tên mi?n s? nh?n ðý?c các thông báo l?i sau:
        Tài kho?n c?a b?n ðý?c c?u h?nh ð? ngãn c?n b?n t? vi?c s? d?ng máy tính này. H?y th? khác máy tính.
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        160783

        (http://support.microsoft.com/kb/160783/ )

        Thông báo l?i: ngý?i dùng không th? kí nh?p vào m?t máy tr?m
      • Windows 2000:Trên máy tính d?a trên Windows 2000, không ph?i là ngý?i qu?n tr? s? không th? kí nh?p vào máy ch? truy nh?p t? xa, và h? s? nh?n ðý?c m?t thông báo l?i týõng t? nhý sau ðây:
        Ngý?i dùng không bi?t hay x?u m?t kh?u
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        285665

        (http://support.microsoft.com/kb/285665/ )

        Thông báo l?i: tài kho?n c?a b?n ðý?c c?u h?nh ð? ngãn c?n b?n t? vi?c s? d?ng máy tính này
      • Windows 2000:Trên b? ki?m soát mi?n Windows 2000, Intersite tin thý thoaòi b?n ghi d?ch v? (Ismserv.exe) s? t?t máy và không th? ðý?c kh?i ð?ng l?i. DCDIAG s? báo cáo các l?i nhý là "không thành công th? nghi?m b?n ghi d?ch v? ISMserv", và t? ch?c s? ki?n ID 1083 s? ki?m nh?p trong trý?ng h?p kí nh?p.
      • Windows 2000:Trên b? ki?m soát mi?n Windows 2000, ho?t ð?ng m?c tin thý thoaòi sao chép s? không thành công, và m?t thông báo "Truy c?p t? ch?i" s? xu?t hi?n n?u s? ghi s? ki?n b?o m?t ð?y ð?.
      • Microsoft Exchange 2000:Máy ch? ðang ch?y Exchange 2000 s? không th? g?n k?t b? máy cõ s? d? li?u lýu tr? thông tin, và s? ki?n 2102 s? ki?m nh?p trong trý?ng h?p kí nh?p.
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        314294

        (http://support.microsoft.com/kb/314294/ )

        Exchange 2000 l?i ðý?c t?o ra b?i v? SeSecurityPrivilege quy?n và các v?n ð? Policytest
      • Outlook, Outlook Web Access: Qu?n tr? viên không s? không th? truy c?p thý c?a h? thông qua Microsoft Outlook ho?c thông qua Microsoft Outlook Web Access, và h? s? nh?n ðý?c m?t l?i 503.
2. B? ði?u khi?n tên mi?n: h? ph?c v? LDAP yêu c?u kí nh?p
   1. N?n
      
      Các ði?u khi?n vùng: h? ph?c v? LDAP k? yêu c?u cài ð?t chuyên bi?t b?o m?t xác ð?nh cho dù máy ch? nh? Directory Access Protocol (LDAP) mà yêu c?u khách hàng LDAP thýõng lý?ng d? li?u kí nh?p. Các giá tr? có th? cho thi?t ð?t chính sách này là nhý sau:
      • Không có: D? li?u kí nh?p không b?t bu?c ph?i liên k?t v?i máy ch?. N?u các khách hàng yêu c?u d? li?u kí nh?p, các máy ch? h? tr? nó.
      • Yêu c?u ðãng nh?p: Tùy ch?n kí nh?p d? li?u LDAP ph?i ðý?c thýõng lý?ng tr? khi giao thông v?n t?i L?p b?o m?t/Secure Socket Layer (TLS/SSL) ðang ðý?c s? d?ng.
      • không ðý?c ð?nh ngh?a: Thi?t l?p này không ðý?c kích ho?t ho?c vô hi?u hoá.
   2. C?u h?nh nguy hi?m
      
      Sau ðây là các cài ð?t chuyên bi?t c?u h?nh có h?i:
      • Cho phép yêu c?u ðãng trong môi trý?ng nõi mà khách hàng không h? tr? LDAP k? ho?c nõi client-side LDAP k? không ðý?c phép trên máy tính khách
      • Áp d?ng Windows 2000 ho?c Windows Server 2003 Hisecdc.inf an ninh m?u trong môi trý?ng nõi các khách hàng không h? tr? LDAP ðãng ho?c nõi client-side LDAP k? là không kích ho?t
      • Áp d?ng Windows 2000 ho?c Windows Server 2003 Hisecws.inf an ninh m?u trong môi trý?ng nõi các khách hàng không h? tr? LDAP ðãng ho?c nõi client-side LDAP k? là không kích ho?t
   3. L? do ð? cho phép thi?t ð?t này
      
      Ði?u m?ng lý?i giao thông là d? b? t?n công ngý?i ðàn ông ? gi?a nõi m?t k? xâm nh?p b?t gói d? li?u gi?a máy tính khách và máy ch?, s?a ð?i các gói d? li?u, và sau ðó chuy?n h? ð?n máy ch?. Khi hành vi này x?y ra trên m?t máy ch? LDAP, k? t?n công có th? gây ra m?t máy ch? ð? ðýa ra quy?t ð?nh d?a trên các truy v?n sai t? khách hàng LDAP. B?n có th? làm gi?m nguy cõ này trong m?t m?ng công ty b?ng cách th?c hi?n các bi?n pháp an ninh v?t l? m?nh m? ð? giúp b?o v? cõ s? h? t?ng m?ng. Ch? ð? tiêu ð? xác th?c b?o m?t (IPSec) Giao th?c Internet có th? giúp ngãn ch?n ngý?i ðàn ông ? gi?a cu?c t?n công. Xác th?c ð?u ch? ð? th?c hi?n xác th?c l?n nhau và tích h?p gói cho lýu lý?ng truy c?p IP.
   4. L? do ð? vô hi?u hoá cài ð?t chuyên bi?t này
      • Khách hàng không h? tr? LDAP k? s? không có th? ð? th?c hi?n truy v?n LDAP v?i b? b? ki?m soát mi?n và ch?ng l?i toàn c?u catalog n?u NTLM xác th?c ðàm phán và n?u các b?n ghi d?ch v? chính xác gói không ðý?c cài ð?t chuyên bi?t trên b? ki?m soát mi?n Windows 2000.
      • M?ng lý?i các d?u ki?m v?t c?a LDAP giao thông gi?a khách hàng và máy ch? s? ðý?c m? hóa. Ði?u này làm cho nó khó khãn ð? ki?m tra LDAP cu?c h?i tho?i.
      • D?a trên Windows 2000 máy ch? ph?i có Windows 2000 Service Pack 3 (SP3) ho?c cài ð?t chuyên bi?t khi h? ðý?c qu?n l? v?i các chýõng tr?nh h? tr? LDAP ðãng mà ðang ch?y t? khách hàng máy tính ch?y Windows 2000 SP4, Windows XP ho?c Windows Server 2003. Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        325465

        (http://support.microsoft.com/kb/325465/ )

        Yêu c?u b? ki?m soát mi?n Windows 2000 Service Pack 3 ho?c sau khi s? d?ng công c? qu?n l? Windows Server 2003
   5. Tên bi?u tý?ng:
      
      LDAPServerIntegrity
   6. Ðý?ng d?n ðãng k?:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\LDAPServerIntegrity (Reg_DWORD)
   7. Ví d? v? các v?n ð? týõng h?p v? sau
      • Ðõn gi?n binds s? không thành công, và b?n s? nh?n ðý?c các thông báo l?i sau:
        Ldap_simple_bind_s() th?t b?i: Xác th?c m?nh yêu c?u.
      • Windows 2000 Service Pack 4, Windows XP, Windows Server 2003:Trên máy s? d?ng ðang ch?y Windows 2000 SP4, Windows XP ho?c Windows Server 2003, m?t s? công c? qu?n l? Thý muòc Hoòat ðôòng không s? ho?t ð?ng ðúng v?i b? b? ki?m soát mi?n ðang ch?y phiên b?n Windows 2000 s?m hõn SP3 khi NTLM xác th?c thýõng lý?ng.
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        325465

        (http://support.microsoft.com/kb/325465/ )

        Yêu c?u b? ki?m soát mi?n Windows 2000 Service Pack 3 ho?c sau khi s? d?ng công c? qu?n l? Windows Server 2003
      • Windows 2000 Service Pack 4, Windows XP, Windows Server 2003:Trên khách hàng ðang ch?y Windows 2000 SP4, Windows XP ho?c Windows Server 2003, qu?n l? ho?t ð?ng m?c tin thý thoaòi m?t s? công c? mà b? ki?m soát mi?n m?c tiêu ðang ch?y phiên b?n c?a Windows 2000 có trý?c ðó hõn SP3 s? không ho?t ð?ng ðúng n?u h? ðang s? d?ng ð?a ch? IP (ví d?: "dsa.msc /server =x.x.x.x"nõi x.x.x.x là m?t ð?a ch? IP).
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        325465

        (http://support.microsoft.com/kb/325465/ )

        Yêu c?u b? ki?m soát mi?n Windows 2000 Service Pack 3 ho?c sau khi s? d?ng công c? qu?n l? Windows Server 2003
      • Windows 2000 Service Pack 4, Windows XP, Windows Server 2003:Vào các khách hàng ðang ch?y Windows 2000 SP4, Windows XP ho?c Windows Server 2003, m?t s? công c? qu?n l? ho?t ð?ng m?c tin thý thoaòi m?c tiêu ðó b? b? ki?m soát mi?n ðang ch?y phiên b?n Windows 2000 s?m hõn SP3 s? không ho?t ð?ng m?t cách chính xác.
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        325465

        (http://support.microsoft.com/kb/325465/ )

        Yêu c?u b? ki?m soát mi?n Windows 2000 Service Pack 3 ho?c sau khi s? d?ng công c? qu?n l? Windows Server 2003
3. Thành viên tên mi?n: yêu c?u m?nh m? (Windows 2000 ho?c m?i hõn) phiên phím
   1. N?n
      • Các thành viên tên mi?n: yêu c?u m?nh m? (Windows 2000 ho?c m?i hõn) phiên phím cài ð?t chuyên bi?t xác ð?nh cho dù m?t secure channel có th? ðý?c thi?t l?p v?i m?t b? b? ki?m soát mi?n không th? m?t m? hóa an toàn kênh giao thông v?i m?t Phiên làm vi?c m?nh m?, 128-bit chính. Cho phép thi?t ð?t này ngãn c?n vi?c thi?t l?p m?t Kênh b?o m?t v?i b?t k? b? ki?m soát mi?n không th? m?t m? hóa an toàn kênh d? li?u v?i m?t ch?a khóa m?nh m?. Vô hi?u hoá cài ð?t chuyên bi?t này cho phép 64-bit phiên phím.
      • Trý?c khi b?n có th? b?t cài ð?t chuyên bi?t này vào m?t thành viên tr?m làm vi?c ho?c trên m?t máy ch?, t?t c? các b? ki?m soát mi?n trong tên mi?n mà các thành viên thu?c v? ph?i có kh? nãng m? hóa kênh b?o m?t d? li?u v?i m?t m?nh m?, 128-bit chính. Ði?u này có ngh?a r?ng t?t c? các b? ði?u khi?n tên mi?n nhý v?y ph?i ch?y Windows 2000 ho?c m?i hõn.
   2. C?u h?nh nguy hi?m
      
      Cho phép các thành viên tên mi?n: yêu c?u m?nh m? (Windows 2000 ho?c m?i hõn) phiên phím cài ð?t chuyên bi?t là m?t t?p c?u h?nh có h?i.
   3. L? do ð? cho phép thi?t ð?t này
      • Khóa phím ðý?c s? d?ng ð? thi?t l?p an toàn Kênh thông tin liên h? gi?a các thành viên máy tính và các b? b? ki?m soát mi?n có nhi?u m?nh m? hõn trong Windows 2000 hõn h? ðang có trong các phiên b?n trý?c c?a Microsoft hêò ðiêÌu haÌnh.
      • Khi có th?, nó là m?t ? tý?ng t?t ð? chi?m ýu th? c?a các phím phiên làm vi?c m?nh m? hõn ð? giúp b?o v? an toàn kênh truy?n thông nghe tr?m và phiên cý?p t?n công m?ng. Eavesdropping là m?t h?nh th?c ð?c h?i t?n công nõi m?ng d? li?u ðý?c ð?c ho?c là thay ð?i trong quá c?nh. Các d? li?u có th? ðý?c thay ð?i ð? ?n ho?c thay ð?i ngý?i g?i, ho?c ð? chuy?n hý?ng nó.
      Quan tr?ng M?t máy tính ðang ch?y Windows Server 2008 R2 ho?c Windows 7 h? tr? ch? m?nh phím khi an toàn kênh ðý?c s? d?ng. H?n ch? này ngãn ch?n m?t s? tin tý?ng gi?a b?t k? mi?n d?a trên Windows NT 4.0 và b?t k? mi?n d?a trên Windows Server 2008 R2. Ngoài ra, h?n ch? này ch?n thành viên mi?n Windows NT 4.0 d?a trên máy tính ðang ch?y Windows 7 ho?c Windows Server 2008 R2, và ngý?c l?i.
   4. L? do ð? vô hi?u hoá cài ð?t chuyên bi?t này
      
      Tên mi?n có ch?a máy tính thành viên ðang ch?y hêò ðiêÌu haÌnh khác hõn so v?i Windows 2000, Windows XP ho?c Windows Server 2003.
   5. Tên bi?u tý?ng:
      
      StrongKey
   6. Ðý?ng d?n ðãng k?:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireStrongKey (Reg_DWORD)
   7. Ví d? v? các v?n ð? týõng h?p v? sau
      
      Windows NT 4.0:Trên máy tính d?a trên Windows NT 4.0, ð?t l?i an toàn kênh tin tý?ng m?i quan h? gi?a Windows NT 4.0 và Windows 2000 tên mi?n v?i NLTEST không thành công. M?t thông báo l?i "Truy c?p t? ch?i" s? xu?t hi?n:
      S? tin tý?ng m?i quan h? gi?a tên mi?n chính và mi?n ðáng tin c?y ð? th?t b?i.
      
      Windows 7 và Server 2008 R2:Ð?i v?i Windows 7 và phiên b?n m?i hõn và Windows Server 2008 R2 và phiên b?n m?i hõn, thi?t ð?t này không vinh danh n?a và chính m?nh m? ðý?c s? d?ng luôn luôn. Do ðó, các tín thác v?i tên mi?n Windows NT 4.0 không làm vi?c n?a.
4. Thành viên tên mi?n: k? thu?t s? m? hóa ho?c kí nh?p an toàn kênh d? li?u (luôn luôn)
   1. N?n
      • Cho phép thành viên tên mi?n: k? thu?t s? m? hóa ho?c kí nh?p an toàn kênh d? li?u (luôn luôn) ngãn c?n vi?c thi?t l?p m?t kênh b?o m?t v?i b?t k? b? ki?m soát mi?n không th? kí nh?p ho?c m?t m? hóa t?t c? d? li?u an toàn kênh. Ð? giúp b?o v? xác th?c lýu lý?ng truy c?p t? ngý?i ðàn ông ? gi?a cu?c t?n công, phát l?i các cu?c t?n công, và các lo?i khác c?a cu?c t?n công m?ng, máy tính d?a trên Windows t?o ra m?t kênh giao ti?p ðý?c g?i là m?t kênh b?o m?t thông qua b?n ghi d?ch v? kí nh?p m?ng xác th?c tài kho?n máy tính. An toàn kênh c?ng ðý?c s? d?ng khi m?t ngý?i dùng trong m?t tên mi?n k?t n?i tài nguyên m?ng mi?n t? xa. Này multidomain xác th?c, ho?c ð?t xác th?c, cho phép m?t máy tính d?a trên Windows ð? gia nh?p vào m?t tên mi?n ph?i truy c?p vào b? máy cõ s? d? li?u tài kho?n ngý?i dùng trong tên mi?n c?a m?nh và trong b?t k? tên mi?n ðáng tin c?y.
      • Ð? kích ho?t các thành viên tên mi?n: k? thu?t s? m? hóa ho?c kí nh?p an toàn kênh d? li?u (luôn luôn) cài ð?t chuyên bi?t trên m?t máy tính thành viên, t?t c? các b? ki?m soát mi?n trong tên mi?n thành viên thu?c v? ph?i có kh? nãng ð? kí nh?p ho?c m?t m? hóa t?t c? d? li?u an toàn kênh. Ði?u này có ngh?a r?ng t?t c? các b? ði?u khi?n tên mi?n nhý v?y ph?i ch?y Windows NT 4.0 v?i gói b?n ghi d?ch v? 6a (SP6a) ho?c sau ðó.
      • Cho phép các thành viên tên mi?n: k? thu?t s? m? hóa ho?c kí nh?p an toàn kênh d? li?u (luôn luôn) thi?t l?p t? ð?ng cho phép các thành viên tên mi?n: k? thu?t s? m? hóa ho?c ðãng d? li?u an toàn kênh (khi có th?) thi?t l?p.
   2. C?u h?nh nguy hi?m
      
      Cho phép các thành viên tên mi?n: k? thu?t s? m? hóa ho?c kí nh?p an toàn kênh d? li?u (luôn luôn) thi?t l?p tên mi?n mà không ph?i t?t c? các b? b? ki?m soát mi?n có th? kí nh?p ho?c m?t m? hóa an toàn kênh d? li?u là m?t t?p c?u h?nh có h?i.
   3. L? do ð? cho phép thi?t ð?t này
      
      Ði?u m?ng lý?i giao thông là d? b? t?n công ngý?i ðàn ông ? gi?a, nõi m?t k? xâm nh?p b?t gói tin gi?a các máy ch? và khách hàng và sau ðó s?a ð?i chúng trý?c khi chuy?n ti?p cho khách hàng. Khi hành vi này x?y ra trên m?t máy ch? nh? Directory Access Protocol (LDAP), nh?ng k? xâm nh?p có th? gây ra m?t khách hàng ð? ðýa ra quy?t ð?nh d?a trên các h? sõ gi? t? m?c tin thý thoaòi LDAP. B?n có th? làm gi?m nguy cõ c?a m?t cu?c t?n công trên m?t m?ng công ty b?ng cách th?c hi?n các bi?n pháp an ninh v?t l? m?nh m? ð? giúp b?o v? cõ s? h? t?ng m?ng. Ngoài ra, vi?c th?c hi?n các Giao th?c Internet b?o m?t (IPSec) xác th?c ð?u trang ch? ð? có th? giúp ngãn ch?n ngý?i ðàn ông ? gi?a cu?c t?n công. Ch? ð? này th?c hi?n xác th?c l?n nhau và tích h?p gói cho lýu lý?ng truy c?p IP.
   4. L? do ð? vô hi?u hoá cài ð?t chuyên bi?t này
      • Các máy tính trong l?nh v?c ð?a phýõng ho?c bên ngoài h? tr? kênh b?o m?t m? hóa.
      • Không ph?i t?t c? các b? ki?m soát mi?n trong mi?n có các c?p c?a phiên b?n gói b?n ghi d?ch v? thích h?p ð? h? tr? m? hóa an toàn Kênh.
   5. Tên bi?u tý?ng:
      
      StrongKey
   6. Ðý?ng d?n ðãng k?:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireSignOrSeal (REG_DWORD)
   7. Ví d? v? các v?n ð? týõng h?p v? sau
      • Windows NT 4.0: Máy tính d?a trên Windows 2000 thành viên s? không th? tham gia Tên mi?n Windows NT 4.0 và s? nh?n ðý?c thông báo l?i sau:
        Tài kho?n không có quy?n kí nh?p t? này tr?m.
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        281648

        (http://support.microsoft.com/kb/281648/ )

        Thông báo l?i: các tài kho?n không có quy?n kí nh?p t? này station
      • Windows NT 4.0:Tên mi?n Windows NT 4.0 s? không th? thi?t l?p m?t ni?m tin xu?ng c?p v?i m?t tên mi?n Windows 2000 và s? nh?n ðý?c thông báo l?i sau:
        Tài kho?n không có quy?n kí nh?p t? này tr?m.
        Hi?n có xu?ng c?p tín thác có th? c?ng không xác th?c ngý?i dùng t? tên mi?n ðáng tin c?y. M?t s? ngý?i dùng có th? có v?n ð? kí nh?p vào tên mi?n, và h? có th? nh?n ðý?c m?t thông báo l?i cho bi?t r?ng khách hàng không th? t?m th?y các tên mi?n.
      • Windows XP:Khách hàng c?a Windows XP ðý?c gia nh?p vào tên mi?n Windows NT 4.0 s? không th? xác th?c kí nh?p n? l?c và có th? nh?n ðý?c thông báo l?i sau, ho?c các s? ki?n sau ðây có th? ðý?c ki?m nh?p trong s? ghi s? ki?n:
        Windows không th? n?i ð?n mi?n ho?c v? các b? ði?u khi?n tên mi?n là xu?ng ho?c n?u không có s?n ho?c v? máy tính c?a b?n tài kho?n không ðý?c t?m th?y

        S? ki?n 5723: Thi?t l?p phiên t? máy tính ComputerName th?t b?i khi xác th?c. Tên c?a các tài kho?n ðý?c tham chi?u trong an ninh b? máy cõ s? d? li?u ComputerName. Các l?i sau x?y ra: truy c?p b? t? ch?i.

        S? ki?n 3227: Thi?t l?p phiên làm vi?c Windows NT ho?c các c?a s? nãm 2000 b? ki?m soát mi?n tên maìy (ýìng duòng) phuòc vuò tên mi?n Tên mi?n không thành công v? Máy ch? Tên h? tr? ðãng ho?c niêm phong Netlogon phiên. Nâng c?p b? ki?m soát mi?n, ho?c thi?t l?p các m?c nh?p registry RequireSignOrSeal trên máy tính này ð?n 0.

        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        318266

        (http://support.microsoft.com/kb/318266/ )

        M?t khách hàng Windows XP không th? kí nh?p vào m?t tên mi?n Windows NT 4.0
      • Microsoft m?ng:Microsoft Network khách hàng s? nh?n ðý?c m?t trong các thông báo l?i sau ðây:
        kí nh?p th?t b?i: không bi?t tên ngýõÌi duÌng hay x?u m?t kh?u.
        Có là không có ch?a khóa phiên ngý?i dùng cho các Phiên kí nh?p ðý?c ch? ð?nh.
5. Máy s? d?ng m?ng Microsoft: ðýõòc kiì theo sôì thýìc truy?n thông (luôn luôn)
   1. N?n
      
      Máy ch? tin thý thoaòi ch?n (giao th?c SMB) là giao th?c chia s? tài nguyên ðý?c h? tr? b?i nhi?u hêò ðiêÌu haÌnh Microsoft. Nó là n?n t?ng c?a m?ng cõ b?n ð?u vào/ð?u ra h? th?ng (NetBIOS) và nhi?u các giao th?c khác. SMB ðãng authenticates c? ngý?i dùng và máy ch? lýu tr? d? li?u. N?u hai bên không quá tr?nh xác th?c, truy?n d? li?u s? không x?y ra.
      
      Cho phép SMB ðãng B?t ð?u trong SMB giao th?c ðàm phán. Các chính sách k? SMB xác ð?nh cho dù máy tính luôn luôn k? thu?t s? d?u ki?m hi?u thông tin khách hàng.
      
      Giao th?c xác th?c Windows 2000 SMB h? tr? xác th?c l?n nhau. Xác th?c l?n nhau ðóng m?t cu?c t?n công "ngý?i ðàn ông-trong-the-Trung". Giao th?c xác th?c Windows 2000 SMB c?ng h? tr? tin thý thoaòi xác th?c. Thông báo xác th?c giúp ngãn ng?a t?n công ho?t ð?ng tin thý thoaòi. Ð? cung c?p cho b?n này xác th?c, SMB k? ð?t m?t ch? k? k? thu?t s? vào SMB m?i. Khách hàng và máy ch? m?i xác nh?n ch? k? k? thu?t s?.
      
      Ð? s? d?ng giao th?c SMB ðãng, b?n ph?i s? SMB k? ho?c yêu c?u SMB ðãng trên c? SMB client và SMB server. N?u SMB k? ðý?c kích ho?t trên m?t máy ch?, khách hàng c?ng ðý?c kích ho?t cho SMB kí nh?p s? d?ng gói ðãng giao th?c trong t?t c? các bu?i. N?u SMB k? ðý?c yêu c?u trên m?t máy ch?, m?t khách hàng không th? thi?t l?p m?t phiên làm vi?c tr? khi khách hàng cho phép ho?c yêu c?u ð?i v?i SMB ðãng.
      
      Cho phép k? k? thu?t s? trong các m?ng b?o m?t cao giúp ngãn ng?a m?o danh c?a khách hàng và máy ch?. Lo?i m?o danh ðý?c g?i là phiên cý?p. M?t k? t?n công nh?ng ngý?i có quy?n truy c?p vào cùng m?t m?ng nhý các khách hàng ho?c các máy ch? s? d?ng phiên cý?p công c? ð? làm gián ðo?n, k?t thúc, ho?c ãn c?p m?t phiên làm vi?c trong ti?n tr?nh. M?t k? t?n công có th? ngãn ch?n S?a ð?i d?u ki?m SMB gói, s?a ð?i giao thông và sau ðó chuy?n ti?p nó v? v?y mà các máy ch? có th? th?c hi?n hành ð?ng không mong mu?n. Ho?c, nh?ng k? t?n công có th? gây ra nhý các máy ch? ho?c khách hàng sau khi xác th?c h?p pháp và sau ðó truy c?p trái phép vào d? li?u.
      
      Giao th?c SMB ðý?c s? d?ng cho chia s? t?p và chia s? in trong máy tính ðang ch?y Windows 2000 Server, Windows 2000 Professional, Windows XP Professional ho?c Windows Server 2003 h? tr? xác th?c l?n nhau. Xác th?c l?n nhau ðóng phiên cý?p t?n công và h? tr? tin thý thoaòi xác th?c. V? v?y, nó ngãn ch?n ngý?i ðàn ông ? gi?a cu?c t?n công. SMB k? cung c?p xác th?c này b?ng cách ð?t m?t ch? k? k? thu?t s? trong m?i SMB. Khách hàng và máy ch? sau ðó ki?m tra ch? k?.
      
      Ghi chú
      • Nhý m?t countermeasure thay th?, b?n có th? kích ho?t các ch? k? k? thu?t s? v?i IPSec ð? giúp b?o v? m?ng t?t c? lýu lý?ng truy c?p. Không có ph?n c?ng d?a trên máy gia t?c cho m?t m? hoá IPSec và kí h?p ð?ng mà b?n có th? s? d?ng ð? gi?m thi?u tác ð?ng hi?u qu? t? các máy ch? CPU. Không có không có tãng t?c nhý v?y mà có s?n cho SMB ðãng.
        
        Ð? bi?t thêm thông tin, h?y xem các ðýõòc kiì theo sôì thýìc cho máy ch? truy?n thông
        (http://msdn.microsoft.com/en-us/library/ms814158)
        chýõng trên web site c?a Microsoft MSDN.
        
        C?u h?nh SMB ðãng thông qua ch?nh s?a ð?i tý?ng chính sách nhóm v? m?t s? thay ð?i ð?n m?t giá tr? ki?m nh?p ð?a phýõng không có hi?u l?c n?u có m?t chính sách tên mi?n tr?ng.
      • Trong Windows 95, Windows 98 và Windows 98 Second Edition, khách hàng b?n ghi d?ch v? m?c tin thý thoaòi s? d?ng SMB k? khi nó authenticates v?i Windows Server 2003 máy ch? b?ng cách s? d?ng NTLM xác th?c. Tuy nhiên, các khách hàng không s? d?ng SMB k? k?t khi h? xác th?c v?i các máy ch? b?ng cách s? d?ng xác th?c NTLMv2. Ngoài ra, máy ch? Windows 2000 không ðáp ?ng v?i SMB k? yêu c?u t? các khách hàng. Ð? bi?t thêm thông tin, h?y xem m?c 10: "an ninh m?ng: m?ng Lan qu?n l? xác th?c c?p."
   2. C?u h?nh nguy hi?m
      
      Sau ðây là m?t t?p c?u h?nh có h?i: ð? l?i c? hai các máy s? d?ng m?ng Microsoft: ðýõòc kiì theo sôì thýìc truy?n thông (luôn luôn) cài ð?t chuyên bi?t và máy s? d?ng m?ng Microsoft: ðýõòc kiì theo sôì thýìc truy?n thông (n?u máy ch? ð?ng ?) cài ð?t chuyên bi?t thi?t l?p ð? "Không xác ð?nh" ho?c vô hi?u hoá. Các thi?t ð?t này cho phép redirector g?i m?t kh?u vãn b?n thu?n tu? ð?n máy ch? không Microsoft SMB không h? tr? m? hóa m?t kh?u trong khi xác th?c.
   3. L? do ð? cho phép thi?t ð?t này
      
      Cho phép máy s? d?ng m?ng Microsoft: ðýõòc kiì theo sôì thýìc truy?n thông (luôn luôn) yêu c?u khách hàng ð? ðãng SMB giao thông khi liên h? v?i máy ch? mà không c?n SMB ðãng. Ði?u này làm cho khách hàng ít d? b? t?n thýõng phiên cý?p t?n công.
   4. L? do ð? vô hi?u hoá cài ð?t chuyên bi?t này
      • Cho phép máy s? d?ng m?ng Microsoft: ðýõòc kiì theo sôì thýìc truy?n thông (luôn luôn) ngãn c?n khách hàng t? giao ti?p v?i máy ch? ðích không h? tr? giao th?c SMB ðãng.
      • C?u h?nh máy tính ð? b? qua t?t c? d?u ki?m SMB thông tin liên h? ngãn ch?n trý?c ðó chýõng tr?nh và hêò ðiêÌu haÌnh t? k?t n?i.
   5. Tên bi?u tý?ng:
      
      RequireSMBSignRdr
   6. Ðý?ng d?n ðãng k?:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters\RequireSecuritySignature
   7. Ví d? v? các v?n ð? týõng h?p v? sau
      • Windows NT 4.0:B?n s? không th? ð?t l?i kênh m?t s? tin tý?ng gi?a m?t tên mi?n Windows Server 2003 và m?t tên mi?n Windows NT 4.0, an toàn b?ng cách s? d?ng NLTEST ho?c NETDOM, và b?n s? nh?n ðý?c m?t thông báo l?i "Truy c?p t? ch?i".
      • Windows XP:Sao chép t?p tin t? Windows XP khách hàng ð?n các máy ch? D?a trên Windows 2000 và Windows Server 2003 d?a trên máy ch? có th? m?t nhi?u th?i gian.
      • B?n s? không th? b?n ð? m?t ôÒ ðiÞa maòng t? m?t Các khách hàng v?i thi?t ð?t này ðý?c kích ho?t, và b?n s? nh?n ðý?c các l?i sau thông báo:
        Tài kho?n không có quy?n kí nh?p t? tr?m này.
   8. Kh?i ð?ng l?i yêu c?u
      
      Kh?i ð?ng l?i máy tính, ho?c kh?i ð?ng l?i b?n ghi d?ch v? tr?m làm vi?c. Ð? làm ði?u này, g? l?nh sau t?i d?u ki?m nh?c l?nh. Nh?n Enter sau khi b?n g? l?nh m?i.
      net stop máy tr?m
      net B?t ð?u máy tr?m
6. Máy ch? m?ng Microsoft: ðýõòc kiì theo sôì thýìc truy?n thông (luôn luôn)
   1. N?n
      • H? ph?c v? Messenger kh?i (giao th?c SMB) là giao th?c chia s? tài nguyên ðý?c h? tr? b?i nhi?u hêò ðiêÌu haÌnh Microsoft. Nó là n?n t?ng c?a m?ng cõ b?n ð?u vào/ð?u ra h? th?ng (NetBIOS) và nhi?u các giao th?c khác. SMB ðãng authenticates c? ngý?i dùng và máy ch? lýu tr? d? li?u. N?u hai bên không quá tr?nh xác th?c, truy?n d? li?u s? không x?y ra.
        
        Cho phép SMB ðãng B?t ð?u trong SMB giao th?c ðàm phán. Các chính sách k? SMB xác ð?nh cho dù máy tính luôn luôn k? thu?t s? d?u ki?m hi?u thông tin khách hàng.
        
        Giao th?c xác th?c Windows 2000 SMB h? tr? xác th?c l?n nhau. Xác th?c l?n nhau ðóng m?t cu?c t?n công "ngý?i ðàn ông-trong-the-Trung". Giao th?c xác th?c Windows 2000 SMB c?ng h? tr? tin thý thoaòi xác th?c. Thông báo xác th?c giúp ngãn ng?a t?n công ho?t ð?ng tin thý thoaòi. Ð? cung c?p cho b?n này xác th?c, SMB k? ð?t m?t ch? k? k? thu?t s? vào SMB m?i. Khách hàng và máy ch? m?i xác nh?n ch? k? k? thu?t s?.
        
        Ð? s? d?ng giao th?c SMB ðãng, b?n ph?i s? SMB k? ho?c yêu c?u SMB ðãng trên c? SMB client và SMB server. N?u SMB k? ðý?c kích ho?t trên m?t máy ch?, khách hàng c?ng ðý?c kích ho?t cho SMB kí nh?p s? d?ng gói ðãng giao th?c trong t?t c? các bu?i. N?u SMB k? ðý?c yêu c?u trên m?t máy ch?, m?t khách hàng không th? thi?t l?p m?t phiên làm vi?c tr? khi khách hàng cho phép ho?c yêu c?u ð?i v?i SMB ðãng.
        
        Cho phép k? k? thu?t s? trong các m?ng b?o m?t cao giúp ngãn ng?a m?o danh c?a khách hàng và máy ch?. Lo?i m?o danh ðý?c g?i là phiên cý?p. M?t k? t?n công nh?ng ngý?i có quy?n truy c?p vào cùng m?t m?ng nhý các khách hàng ho?c các máy ch? s? d?ng phiên cý?p công c? ð? làm gián ðo?n, k?t thúc, ho?c ãn c?p m?t phiên làm vi?c trong ti?n tr?nh. M?t k? t?n công có th? ngãn ch?n S?a ð?i d?u ki?m qu?n l? bãng thông m?ng con (SBM) gói, s?a ð?i giao thông và sau ðó chuy?n ti?p nó v? v?y mà các máy ch? có th? th?c hi?n hành ð?ng không mong mu?n. Ho?c, nh?ng k? t?n công có th? gây ra nhý các máy ch? ho?c khách hàng sau khi xác th?c h?p pháp và sau ðó truy c?p trái phép vào d? li?u.
        
        Giao th?c SMB ðý?c s? d?ng cho chia s? t?p và chia s? in trong máy tính ðang ch?y Windows 2000 Server, Windows 2000 Professional, Windows XP Professional ho?c Windows Server 2003 h? tr? xác th?c l?n nhau. Xác th?c l?n nhau ðóng phiên cý?p t?n công và h? tr? tin thý thoaòi xác th?c. V? v?y, nó ngãn ch?n ngý?i ðàn ông ? gi?a cu?c t?n công. SMB k? cung c?p xác th?c này b?ng cách ð?t m?t ch? k? k? thu?t s? trong m?i SMB. Khách hàng và máy ch? sau ðó ki?m tra ch? k?.
      • Nhý m?t countermeasure thay th?, b?n có th? kích ho?t các ch? k? k? thu?t s? v?i IPSec ð? giúp b?o v? m?ng t?t c? lýu lý?ng truy c?p. Không có ph?n c?ng d?a trên máy gia t?c cho m?t m? hoá IPSec và kí h?p ð?ng mà b?n có th? s? d?ng ð? gi?m thi?u tác ð?ng hi?u qu? t? các máy ch? CPU. Không có không có tãng t?c nhý v?y mà có s?n cho SMB ðãng.
      • Trong Windows 95, Windows 98 và Windows 98 Second Edition, khách hàng b?n ghi d?ch v? m?c tin thý thoaòi s? d?ng SMB k? khi nó authenticates v?i Windows Server 2003 máy ch? b?ng cách s? d?ng NTLM xác th?c. Tuy nhiên, các khách hàng không s? d?ng SMB k? k?t khi h? xác th?c v?i các máy ch? b?ng cách s? d?ng xác th?c NTLMv2. Ngoài ra, máy ch? Windows 2000 không ðáp ?ng v?i SMB k? yêu c?u t? các khách hàng. Ð? bi?t thêm thông tin, h?y xem m?c 10: "an ninh m?ng: m?ng Lan qu?n l? xác th?c c?p."
   2. C?u h?nh nguy hi?m
      
      Sau ðây là m?t t?p c?u h?nh có h?i: cho phép các h? ph?c v? m?ng Microsoft: ðýõòc kiì theo sôì thýìc truy?n thông (luôn luôn) cài ð?t chuyên bi?t trên máy ch? và trên b? ki?m soát mi?n ðý?c truy c?p b?i không týõng h?p v? sau Windows d?a trên máy tính và máy tính bên th? ba d?a trên hêò ðiêÌu haÌnh khách trong l?nh v?c ð?a phýõng ho?c bên ngoài.
   3. L? do ð? cho phép thi?t ð?t này
      • T?t c? các máy tính khách hàng cho phép thi?t ð?t này tr?c ti?p thông qua nhà ki?m nh?p ho?c thông qua các thi?t l?p chính sách nhóm h? tr? SMB vi?c ki?m nh?p. Nói cách khác, t?t c? các máy tính khách hàng có thi?t ð?t này ðý?c kích ho?t ch?y Windows 95 ho?c v?i khách DS hàng cài ð?t chuyên bi?t, Windows 98, Windows NT 4.0, Windows 2000, Windows XP Professional ho?c Windows Server 2003.
      • N?u Microsoft m?ng máy ch?: ðýõòc kiì theo sôì thýìc truy?n thông (luôn luôn) là vô hi?u hóa, SMB k? hoàn toàn t?t. Hoàn toàn vô hi?u hoá t?t c? SMB k? r?i kh?i máy tính d? b? t?n công phiên cu?c t?n công.
   4. L? do ð? vô hi?u hoá cài ð?t chuyên bi?t này
      • Cho phép thi?t ð?t này có th? gây ra ch?m hõn t?p tin sao chép và m?ng lý?i hi?u su?t trên máy tính khách.
      • Cho phép thi?t ð?t này s? ngãn c?n khách hàng ðó không th? thýõng lý?ng SMB ðãng t? giao ti?p v?i máy ch? và tên mi?n b? ði?u khi?n. Ði?u này gây ra các ho?t ð?ng ch?ng h?n nhý tên mi?n tham gia, ngý?i dùng và máy tính xác th?c, ho?c m?ng truy c?p c?a chýõng tr?nh th?t b?i.
   5. Tên bi?u tý?ng:
      
      RequireSMBSignServer
   6. Ðý?ng d?n ðãng k?:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\RequireSecuritySignature (REG_DWORD)
   7. Ví d? v? các v?n ð? týõng h?p v? sau
      • Windows 95:Windows 95 khách hàng mà không có khách hàng m?c tin thý thoaòi b?n ghi d?ch v? (DS) cài ð?t chuyên bi?t s? không xác th?c kí nh?p và s? nh?n ðý?c thông báo l?i sau:
        M?t kh?u mi?n b?n cung c?p không ph?i là chính xác, ho?c truy c?p ð? kí nh?p c?a b?n máy ch? ð? b? t? ch?i.
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        811497

        (http://support.microsoft.com/kb/811497/ )

        Thông báo l?i khi Windows 95 ho?c Windows NT 4.0 khách hàng kí nh?p Windows Server 2003 tên mi?n
      • Windows NT 4.0: Khách hàng máy tính ðang ch?y phiên b?n c?a Windows NT 4.0 mà là s?m hõn so v?i Service Pack 3 (SP3) s? không xác th?c kí nh?p và s? nh?n ðý?c thông báo l?i sau:
        H? th?ng có th? không kí nh?p b?n. H?y ch?c ch?n r?ng tên ngýõÌi duÌng và tên mi?n c?a b?n là chính xác, sau ðó g? c?a b?n m?t kh?u m?t l?n n?a.
        M?t s? máy ch? không Microsoft SMB h? tr? ch? trao ð?i không ðý?c m? hóa m?t kh?u trong khi xác th?c. (Nh?ng ð?i c?n ðý?c g?i là "vãn b?n thu?n tu?" trao ð?i.) Ð?i v?i Windows NT 4.0 SP3 và phiên b?n m?i hõn, SMB redirector không g?i m?t kh?u không ðý?c m? hóa trong khi xác th?c t?i h? ph?c v? SMB tr? khi b?n thêm m?t m?c c? th? ki?m nh?p.
        Ð? kích ho?t m? hóa m?t kh?u cho khách hàng SMB trên Windows NT 4.0 SP 3 và các h? th?ng m?i, ch?nh s?a registry nhý sau: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Rdr\Parameters
        Giá tr? tên: EnablePlainTextPassword
        Ki?u d? li?u: REG_DWORD
        D? li?u: 1
        
        Ð? bi?t thêm chi ti?t v? ch? ð? liên quan, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        224287

        (http://support.microsoft.com/kb/224287/ )

        Thông báo l?i: l?i h? th?ng 1240 ð? x?y ra. Tài kho?n không có quy?n kí nh?p ga này.
        166730

        (http://support.microsoft.com/kb/166730/ )

        M? hóa m?t kh?u có th? gây ra các Service Pack 3 không k?t n?i t?i h? ph?c v? SMB
      • Windows Server 2003: theo m?c ð?nh, cài ð?t chuyên bi?t b?o m?t trên b? ki?m soát mi?n ch?y Windows Server 2003 ðý?c c?u h?nh ð? giúp ngãn ng?a thông tin b? ði?u khi?n tên mi?n kh?i b? ch?n ho?c gi? m?o b?i ngý?i s? d?ng ð?c h?i. Cho ngý?i dùng ð? giao ti?p thành công v?i m?t b? ði?u khi?n tên mi?n ðó ch?y Windows Server 2003, khách hàng máy tính ph?i s? d?ng c? hai SMB k? và m? hóa ho?c kênh b?o m?t lýu lý?ng truy c?p kí nh?p. theo m?c ð?nh, khách hàng ch?y Windows NT 4.0 v?i Service Pack 2 (SP2) ho?c cài ð?t chuyên bi?t trý?c ðó và khách hàng ch?y Windows 95 không có SMB gói ðãng ðý?c kích ho?t. V? v?y, các khách hàng có th? không th? xác th?c lên b? ki?m soát mi?n Windows Server 2003 d?a trên.
      • cài ð?t chuyên bi?t chính sách Windows 2000 và Windows Server 2003: Tùy thu?c vào nhu c?u c? th? cài ð?t chuyên bi?t và c?u h?nh c?a b?n, chúng tôi ð? ngh? r?ng b?n ð?t các thi?t ð?t chính sách sau các th?c th? th?p nh?t c?a các ph?m vi c?n thi?t trong so?n chính sách nhóm Microsoft Management Console snap-trong h? th?ng phân c?p:
        • Tùy ch?n Settings\Security b?o m?t máy tính Configuration\Windows
        • G?i không m? hóa m?t kh?u ð? k?t n?i v?i bên th? ba SMB máy ch? (cài ð?t này là dành cho Windows 2000)
        • Máy s? d?ng m?ng Microsoft: g?i không m? hóa m?t kh?u ð? bên th? ba SMB máy ch? (cài ð?t này là dành cho Windows Server 2003)
        
        Lýu ? Trong m?t s? máy ch? CIFS bên th? ba, ch?ng h?n nhý phiên b?n Samba c?, b?n không th? s? d?ng m? hóa m?t kh?u.
      • Các khách hàng là không týõng h?p v? sau v?i các h? ph?c v? m?ng Microsoft: ðýõòc kiì theo sôì thýìc truy?n thông (luôn luôn) cài ð?t:
        • Apple Computer, Inc, Mac OS X khách hàng
        • Microsoft MS-DOS m?ng lý?i khách hàng (ví d?, Microsoft LAN Manager)
        • Microsoft Windows cho nhóm làm vi?c khách hàng
        • Microsoft Windows 95 khách hàng mà không có DS Khách hàng cài ð?t chuyên bi?t
        • Microsoft Windows NT 4.0 d?a trên máy tính cài ð?t chuyên bi?t mà không có SP3 ho?c sau này
        • Novell Netware 6 CIFS khách hàng
        • SAMBA SMB khách hàng mà không có h? tr? cho SMB ðãng
   8. Kh?i ð?ng l?i yêu c?u
      
      Kh?i ð?ng l?i máy tính, ho?c kh?i ð?ng l?i b?n ghi d?ch v? h? ph?c v?. Ð? làm ði?u này, g? l?nh sau t?i d?u ki?m nh?c l?nh. Nh?n Enter sau khi b?n g? l?nh m?i.
      net stop máy ch?
      net B?t ð?u máy ch?
7. M?ng truy c?p: cho phép vô danh SID/tên d?ch
   1. N?n
      
      Các m?ng truy c?p: cho phép vô danh SID/tên d?ch cài ð?t chuyên bi?t b?o m?t xác ð?nh cho dù m?t ngý?i dùng d?u ki?m tên có th? yêu c?u B?o m?t nh?n d?ng s? (SID) thu?c tính cho ngý?i dùng khác.
   2. C?u h?nh nguy hi?m
      
      Cho phép các m?ng truy c?p: cho phép vô danh SID/tên d?ch thi?t l?p là m?t t?p c?u h?nh có h?i.
   3. L? do ð? cho phép thi?t ð?t này
      
      N?u các m?ng truy c?p: cho phép vô danh SID/tên d?ch cài ð?t chuyên bi?t là tàn t?t, trý?c ðó hêò ðiêÌu haÌnh ho?c các ?ng d?ng không th? giao ti?p v?i Windows Server 2003 tên mi?n. Ví d?: hêò ðiêÌu haÌnh, b?n ghi d?ch v? ho?c ?ng d?ng sau ðây có th? không làm vi?c:
      • Windows NT 4.0 d?a trên truy nh?p t? xa b?n ghi d?ch v? máy ch?
      • Microsoft SQL Server ðang ch?y trên Windows NT 3.x d?a trên máy tính ho?c máy tính d?a trên Windows NT 4.0
      • Diòch vuò Access t? xa ðang ch?y trên máy tính d?a trên Windows 2000 ðý?c ð?t trong Windows NT 3.x tên mi?n ho?c tên mi?n Windows NT 4.0
      • SQL Server ðang ch?y trên máy tính d?a trên Windows 2000 có v? trí trong Windows NT 3.x tên mi?n ho?c tên mi?n Windows NT 4.0
      • Ngý?i dùng trong tên mi?n tài nguyên Windows NT 4.0 ngý?i mu?n c?p quy?n truy c?p vào t?p tin, m?c tin thý thoaòi dùng chung và ki?m nh?p ð?i tý?ng ngý?i dùng tài kho?n t? tài kho?n tên mi?n có ch?a Windows Server 2003 tên mi?n b? ði?u khi?n
   4. L? do ð? vô hi?u hoá cài ð?t chuyên bi?t này
      
      N?u thi?t l?p này ðý?c kích ho?t, m?t ð?c h?i có th? s? SID n?i ti?ng c?a qu?n tr? viên ð? có ðý?c tên th?t c?a các tài kho?n ngý?i qu?n tr? ðý?c xây d?ng trong, ngay c? khi các tài kho?n ð? ðý?c ð?i tên. Ngý?i ðó có th? s? d?ng tên tài kho?n ð? B?t ð?u m?t cu?c t?n công ðoán m?t kh?u.
   5. Bi?u tý?ng tên: N/A
   6. ki?m nh?p ðý?ng d?n: Không có. Ðý?ng d?n ðý?c ch? ð?nh trong giao di?n ngý?i dùng m?.
   7. Ví d? v? các v?n ð? týõng h?p v? sau
      
      Windows NT 4.0:Các máy tính trong Windows NT 4.0 resource tên mi?n s? hi?n th? thông báo l?i "Tài kho?n không r?" trong ACL Editor n?u tài nguyên, bao g?m c? c?p dùng chung, chia s? t?p tin và ki?m nh?p ð?i tý?ng, ðý?c b?o ð?m v?i chuÒ thêÒ an toaÌn thông tin cý trú trong các tài kho?n tên mi?n có ch?a b? ki?m soát mi?n Windows Server 2003.
8. M?ng truy c?p: không cho phép các li?t kê vô danh c?a SAM tài kho?n
   1. N?n
      • Các m?ng truy c?p: không cho phép các li?t kê vô danh c?a SAM tài kho?n thi?t l?p xác ð?nh nh?ng ði?u kho?n b? sung s? ðý?c c?p cho các k?t n?i vô danh v?i máy tính. Windows cho phép ngý?i dùng vô danh ð? th?c hi?n các ho?t ð?ng nh?t ð?nh, ch?ng h?n nhý li?t kê tên c?a tài kho?n an ninh tài kho?n qu?n l? (SAM) máy tr?m và máy ch? và m?ng chia s?. Ví d?, ngý?i qu?n tr? có th? s? d?ng ði?u này ð? c?p quy?n truy c?p cho ngý?i dùng trong m?t tên mi?n ðáng tin c?y không duy tr? m?t ni?m tin t?nh. Sau khi m?t phiên làm vi?c ðý?c th?c hi?n, m?t ngý?i dùng d?u ki?m tên có th? truy c?p cùng m?t ðó c?p cho t?t c? m?i ngý?i trong nhóm d?a trên các thi?t l?p trong các m?ng truy c?p: ð? cho m?i ngý?i quy?n áp d?ng cho ngý?i dùng vô danh cài ð?t chuyên bi?t ho?c danh m?c ki?m soát truy c?p theo ? mu?n (DACL) c?a ð?i tý?ng.
        
        Thông thý?ng, chýa xác ð?nh ngý?i k?t n?i ðý?c yêu c?u c?a các phiên b?n trý?c c?a khách hàng (xu?ng c?p khách hàng) trong SMB phiên làm vi?c thi?t l?p. Trong nh?ng trý?ng h?p này, m?t d?u ki?m v?t m?ng cho th?y SMB quá tr?nh ID (PID) là khách hàng, ch?ng h?n nhý 0xFEFF trong Windows 2000 ho?c 0xCAFE trong Windows NT. RPC redirector c?ng có th? th? ð? làm cho các k?t n?i ?n danh.
      • Quan tr?ngcài ð?t chuyên bi?t này ð? không có tác ð?ng trên tên mi?n b? ði?u khi?n. Trên b? ki?m soát mi?n, hành vi này ðý?c ði?u khi?n b?i s? hi?n di?n c?a "NT AUTHORITY\ANONYMOUS ðãng nh?p" trong "Pre-Windows nãm 2000 týõng h?p v? sau truy c?p".
      • Trong Windows 2000, m?t thi?t l?p týõng t? g?i là Các h?n ch? b? sung cho các k?t n?i chýa xác ð?nh ngý?i qu?n l? các
        RestrictAnonymous
        giá tr? ki?m nh?p. V? trí c?a giá tr? này là nhý sau
        HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
        Ð? bi?t thêm chi ti?t v? giá tr? ki?m nh?p RestrictAnonymous, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        246261

        (http://support.microsoft.com/kb/246261/ )

        Làm th? nào ð? s? d?ng giá tr? ki?m nh?p RestrictAnonymous trong Windows 2000
        143474

        (http://support.microsoft.com/kb/143474/ )

        H?n ch? thông tin có s?n cho ngý?i dùng kí nh?p vô danh
   2. C?u h?nh nguy hi?m
      
      Cho phép các m?ng truy c?p: không cho phép các li?t kê vô danh c?a SAM tài kho?n thi?t l?p là m?t t?p c?u h?nh có h?i t? m?t quan ði?m kh? nãng týõng h?p v? sau. Vô hi?u hóa nó là m?t t?p c?u h?nh có h?i t? m?t góc ð? an ninh.
   3. L? do ð? cho phép thi?t ð?t này
      
      M?t ngý?i s? d?ng trái phép có th? n?c danh li?t kê tên tài kho?n và sau ðó s? d?ng các thông tin ð? c? g?ng ð? ðoán m?t kh?u ho?c ð? th?c hi?n cu?c t?n công k? thu?t x? h?i . X? h?i k? thu?t là bi?t ng? có ngh?a là tricking ngý?i ti?t l? c?a h? m?t kh?u ho?c m?t s? h?nh th?c thông tin b?o m?t.
   4. L? do ð? vô hi?u hoá cài ð?t chuyên bi?t này
      
      N?u thi?t l?p này ðý?c kích ho?t, nó là không th? thành l?p ?y thác có tên mi?n Windows NT 4.0. Thi?t l?p này c?ng gây ra các v?n ð? v?i các khách hàng xu?ng c?p (ch?ng h?n nhý Windows NT 3.51 khách hàng và khách hàng Windows 95) ðang c? g?ng ð? s? d?ng ngu?n tài nguyên trên máy ch?.
   5. Tên bi?u tý?ng:
      
      
      RestrictAnonymousSAM
   6. Ðý?ng d?n ðãng k?:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymousSAM (Reg_DWORD)
   7. Ví d? v? các v?n ð? týõng h?p v? sau
   • Khám phá m?ng tin thý thoaòi SMS s? không th? có ðý?c ho?t ð?ng Thông tin Hêò thôìng và s? vi?t "Không bi?t" trong các OperatingSystemNameandVersion b?t ð?ng s?n.
   • Windows 95, Windows 98:Khách hàng Windows 95 và Windows 98 khách hàng s? không th? thay ð?i m?t kh?u c?a h?.
   • Windows NT 4.0:Windows NT 4.0 d?a trên thành viên máy tính s? không th? ðý?c xác th?c.
   • Windows 95, Windows 98:Máy tính d?a trên Windows 95 và Windows 98-based s? không th? ðý?c xác th?c b?i b? ði?u khi?n mi?n c?a Microsoft.
   • Windows 95, Windows 98:Ngý?i dùng trên máy tính d?a trên Windows 95 và Windows 98-based s? không th? thay ð?i m?t kh?u cho tài kho?n ngý?i dùng c?a h?.
9. M?ng truy c?p: không cho phép các li?t kê vô danh c?a SAM tài kho?n và chia s?
   1. N?n
      • Các m?ng truy c?p: không cho phép các li?t kê vô danh c?a SAM tài kho?n và chia s? thi?t l?p (c?ng ðý?c g?i là RestrictAnonymous) xác ð?nh cho dù chýa xác ð?nh ngý?i li?t kê b?o m?t tài kho?n Tài kho?n qu?n l? (SAM) và chia s? ðý?c cho phép. Windows cho phép ngý?i dùng vô danh th?c hi?n các ho?t ð?ng nh?t ð?nh, ch?ng h?n nhý li?t kê các tên mi?n tài kho?n (ngý?i s? d?ng, máy tính, và các nhóm) và m?ng chia s?. Ði?u này là thu?n ti?n, cho Ví d?, khi m?t qu?n tr? viên mu?n c?p quy?n truy c?p cho ngý?i dùng ? m?t ðáng tin c?y tên mi?n không duy tr? m?t ni?m tin ð?i ?ng. N?u b?n không mu?n cho phép Chýa xác ð?nh ngý?i ð?m SAM tài kho?n và chia s?, cho phép thi?t ð?t này.
      • Trong Windows 2000, m?t thi?t l?p týõng t? g?i là Các h?n ch? b? sung cho các k?t n?i chýa xác ð?nh ngý?i qu?n l? các
        RestrictAnonymous
        giá tr? ki?m nh?p. V? trí c?a giá tr? này là nhý sau:
        HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
   2. C?u h?nh nguy hi?m
      
      Cho phép các m?ng truy c?p: không cho phép các li?t kê vô danh c?a SAM tài kho?n và chia s? thi?t l?p là m?t t?p c?u h?nh có h?i.
   3. L? do ð? cho phép thi?t ð?t này
      • Cho phép các m?ng truy c?p: không cho phép các li?t kê vô danh c?a SAM tài kho?n và chia s? thi?t ð?t ngãn thß?? tß?? thiß??t bß?ï SAM tài kho?n và chia s? c?a ngý?i s? d?ng và máy tính ðang s? d?ng tài kho?n chýa xác ð?nh ngý?i.
   4. L? do ð? vô hi?u hoá cài ð?t chuyên bi?t này
      • N?u thi?t l?p này ðý?c kích ho?t, m?t ngý?i s? d?ng trái phép có th? n?c danh li?t kê tên tài kho?n và sau ðó s? d?ng các thông tin ð? c? g?ng ðoán m?t kh?u ho?c ð? th?c hi?n cu?c t?n công k? thu?t x? h?i . X? h?i k? thu?t là bi?t ng? có ngh?a là tricking ngý?i ti?t l? c?a h? m?t kh?u ho?c m?t s? h?nh th?c thông tin b?o m?t.
      • N?u thi?t l?p này ðý?c kích ho?t, nó s? không th? ð? thi?t l?p ?y thác có tên mi?n Windows NT 4.0. Thi?t ð?t này s? c?ng gây ra v?n ð? v?i khách hàng xu?ng c?p ch?ng h?n nhý Windows 95 và Windows NT 3.51 khách hàng mà ðang c? g?ng s? d?ng ngu?n tài nguyên trên máy ch?.
      • Nó s? không th? c?p quy?n truy c?p cho ngý?i dùng tên mi?n tài nguyên b?i v? ngý?i qu?n tr? mi?n tin tý?ng s? không th? li?t kê danh sách các tài kho?n trong mi?n khác. Ngý?i s? d?ng truy c?p các t?p tin và in máy ch? n?c danh s? không th? li?t kê các tài nguyên m?ng chia s? trên các máy ch?. Nh?ng ngý?i s? d?ng ph?i xác nh?n trý?c khi h? có th? xem danh sách các c?p dùng chung và máy in.
   5. Tên bi?u tý?ng:
      
      RestrictAnonymous
   6. Ðý?ng d?n ðãng k?:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous
   7. Ví d? v? các v?n ð? týõng h?p v? sau
      • Windows NT 4.0: Ngý?i dùng s? không th? thay ð?i m?t kh?u c?a h? t? Windows NT 4.0 máy tr?m khi RestrictAnonymous ðý?c kích ho?t trên b? ki?m soát mi?n trong tên mi?n c?a ngý?i dùng. Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        198941

        (http://support.microsoft.com/kb/198941/ )

        Ngý?i dùng không th? thay ð?i m?t kh?u khi kí nh?p
      • Windows NT 4.0:Thêm ngý?i dùng ho?c nhóm toàn c?u t? ðáng tin c?y Windows 2000 tên mi?n Windows NT 4.0 ð?a phýõng nhóm trong qu?n l? ngý?i dùng s? không thành công, và thông báo l?i sau s? xu?t hi?n:
        Hi?n có không có máy ch? kí nh?p có s?n ð? ph?c v? yêu c?u kí nh?p.
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        296405

        (http://support.microsoft.com/kb/296405/ )

        Giá tr? ki?m nh?p "RestrictAnonymous" có th? phá v? s? tin tý?ng vào m?t tên mi?n Windows 2000
      • Windows NT 4.0:Windows NT 4.0 d?a trên máy tính s? không th? tham gia các tên mi?n trong thi?t l?p ho?c b?ng cách s? d?ng giao di?n ngý?i dùng tham gia c?a tên mi?n.
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        184538

        (http://support.microsoft.com/kb/184538/ )

        Thông báo l?i: không t?m th?y m?t b? ði?u khi?n cho tên mi?n này
      • Windows NT 4.0:Thi?t l?p m?t ni?m tin xu?ng c?p v?i Windows NT 4.0 resource tên mi?n s? th?t b?i. Thông báo l?i sau s? xu?t hi?n khi RestrictAnonymous ðý?c kích ho?t trên tên mi?n ðáng tin c?y:
        Có th? không t?m th?y b? ði?u khi?n tên mi?n cho tên mi?n này.
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        178640

        (http://support.microsoft.com/kb/178640/ )

        Không th? t?m th?y các b? ði?u khi?n tên mi?n khi thi?t l?p m?t s? tin tý?ng
      • Windows NT 4.0:Ngý?i s? d?ng kí nh?p vào máy tính d?a trên Windows NT 4.0 máy ch? ð?u cu?i s? b?n ð? vào m?c tin thý thoaòi trang chuÒ m?c ð?nh thay v? m?c tin thý thoaòi ðý?c xác ð?nh trong ngý?i dùng qu?n l? cho các tên mi?n.
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        236185

        (http://support.microsoft.com/kb/236185/ )

        thông tin ngýõÌi duÌng thi?t b? ð?u cu?i máy ch? và ðý?ng d?n m?c tin thý thoaòi nhà ðý?c b? qua sau khi áp d?ng SP4 ho?c m?i hõn
      • Windows NT 4.0:B? b? ki?m soát mi?n sao lýu Windows NT 4.0 (BDCs) s? không th? kh?i ð?ng b?n ghi d?ch v? kí nh?p m?ng, có ðý?c m?t danh sách các tr?nh duy?t sao lýu ho?c ð?ng b? hóa b? máy cõ s? d? li?u SAM t? Windows 2000 ho?c t? b? ki?m soát mi?n Windows Server 2003 trong cùng m?t tên mi?n.
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        293127

        (http://support.microsoft.com/kb/293127/ )

        b?n ghi d?ch v? kí nh?p m?ng c?a m?t Windows NT 4.0 BDC không ho?t ð?ng trong m?t tên mi?n Windows 2000
      • Windows 2000:Máy tính d?a trên Windows 2000 thành viên trong tên mi?n Windows NT 4.0 s? không có kh? nãng ð? xem máy in trong mi?n bên ngoài n?u cài ð?t chuyên bi?t không có truy c?p mà không có quy?n truy c?p m?t cách r? ràng chýa xác ð?nh ngý?i ðý?c kích ho?t trong chính sách b?o m?t c?c b? c?a khách hàng máy tính.
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        280329

        (http://support.microsoft.com/kb/280329/ )

        Ngý?i dùng không th? qu?n l? ho?c xem thu?c tính máy in
      • Windows 2000:Windows 2000 tên mi?n ngý?i dùng s? không th? thêm máy in m?ng t? Active Directory; Tuy nhiên, h? s? có th? ð? thêm máy in sau khi h? ð? ch?n chúng t? xem d?ng cây.
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        318866

        (http://support.microsoft.com/kb/318866/ )

        máy tính khách Outlook không th? xem danh sách ð?a ch? toàn c?u sau khi b?n cài ð?t chuyên bi?t b?o m?t Rollup gói 1 (SRP1) trên máy ch? toàn c?u c?a hàng
      • Windows 2000:Trên máy tính d?a trên Windows 2000, biên t?p viên ACL s? không th? thêm ngý?i dùng ho?c nhóm toàn c?u t? tên mi?n ðáng tin c?y c?a Windows NT 4.0.
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        296403

        (http://support.microsoft.com/kb/296403/ )

        Giá tr? RestrictAnonymous phá v? s? tin tý?ng trong m?t môi trý?ng h?n h?p tên mi?n
      • ADMT Phiên b?n 2:Di chuy?n m?t kh?u cho tài kho?n ngý?i dùng ðý?c di chuy?n gi?a r?ng v?i ho?t ð?ng m?c tin thý thoaòi di chuy?n công c? (ADMT) phiên b?n 2 s? th?t b?i.
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        322981

        (http://support.microsoft.com/kb/322981/ )

        Làm th? nào ð? kh?c ph?c s? c? di chuy?n inter-forest m?t kh?u v?i ADMTv2
      • máy tính khách outlook:danh sách ð?a ch? toàn c?u s? xu?t hi?n có s?n ph?m nào cho khách hàng Microsoft Exchange Outlook.
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        318866

        (http://support.microsoft.com/kb/318866/ )

        máy tính khách Outlook không th? xem danh sách ð?a ch? toàn c?u sau khi b?n cài ð?t chuyên bi?t b?o m?t Rollup gói 1 (SR) trên máy ch? toàn c?u c?a hàng
        321169

        (http://support.microsoft.com/kb/321169/ )

        Hi?u su?t SMB ch?m khi b?n sao chép t?p tin t? Windows XP lên b? ki?m soát mi?n Windows 2000
      • Tin thý thoaòi SMS:Khám phá m?ng Microsoft h? th?ng qu?n lí máy ch? (SMS) s? không th? có ðý?c thông tin hêò ðiêÌu haÌnh. V? v?y, nó s? vi?t "Không bi?t" trong các tài s?n OperatingSystemNameandVersion b?t ð?ng s?n tin thý thoaòi SMS DDR khám phá baÒn ghi dýÞ liêòu (DDR).
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        229769

        (http://support.microsoft.com/kb/229769/ )

        Làm th? nào khám phá d? li?u qu?n l? xác ð?nh khi t?o ra m?t khách hàng yêu c?u c?u h?nh
      • Tin thý thoaòi SMS: Khi b?n s? d?ng thu?t s? ngý?i dùng qu?n tr? viên c?a tin thý thoaòi SMS ð? tr?nh duy?t cho ngý?i dùng và nhóm, không có ngý?i dùng ho?c nhóm s? ðý?c li?t kê. Ngoài ra, nâng cao khách hàng không th? giao ti?p v?i ð? qu?n l?. Chýa xác ð?nh ngý?i truy c?p là c?n thi?t vào th?i ði?m qu?n l?.
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        302413

        (http://support.microsoft.com/kb/302413/ )

        Không có ngý?i dùng ho?c nhóm ðý?c li?t kê trong thu?t s? ngý?i dùng qu?n tr? viên
      • Tin thý thoaòi SMS: Khi b?n ðang s? d?ng tính nãng khám phá m?ng tin thý thoaòi SMS 2.0 và trong cài ð?t chuyên bi?t khách hàng t? xa v?i c?u trúc liên k?t, khách hàng, và khách hàng hêò ðiêÌu haÌnh m?ng lý?i phát hi?n b?t, máy tính có th? ðý?c phát hi?n nhýng có th? không ðý?c cài ð?t chuyên bi?t.
        
        Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
        311257

        (http://support.microsoft.com/kb/311257/ )

        Tài nguyên không phát hi?n ra n?u k?t n?i chýa xác ð?nh ngý?i b? t?t
10. An ninh m?ng: m?ng Lan qu?n l? xác th?c c?p
    1. N?n
       
       Xác th?c m?ng LAN qu?n l? (LM) là giao th?c ðý?c s? d?ng ð? xác th?c khách hàng Windows cho m?ng ho?t ð?ng, bao g?m c? tên mi?n tham gia, truy c?p vào tài nguyên m?ng, và xác th?c ngý?i dùng hay máy tính. M?c ð? xác th?c LM quy?t ð?nh mà thách th?c/ph?n ?ng giao th?c xác th?c thýõng lý?ng gi?a máy tính khách và máy ch? máy tính. C? th?, m?c ð? xác th?c LM quy?t ð?nh mà giao th?c xác th?c mà khách hàng s? c? g?ng ðàm phán ho?c các máy ch? s? ch?p nh?n. Giá tr? ðý?c thi?t l?p cho LmCompatibilityLevel xác ð?nh thách th?c/ph?n ?ng giao th?c xác th?c ðý?c s? d?ng cho m?ng logons. Giá tr? này ?nh hý?ng ð?n m?c ð? giao th?c xác th?c khách hàng s? d?ng, m?c ð? b?o m?t phiên ðàm phán, và m?c ð? xác th?c ðý?c ch?p nh?n b?i các máy ch?.
       
       Có th? cài ð?t chuyên bi?t bao g?m.
       Thu g?n b?ng nàyBung r?ng b?ng này

       Giá tr?	Thi?t l?p	Mô t?
       0	G?i h?i ðáp LM & NTLM	Khách hàng s? d?ng LM và NTLM xác th?c và không bao gi? s? d?ng NTLMv2 phiên giao d?ch b?o m?t. B? ki?m soát mi?n ch?p nh?n xác th?c LM, NTLM, và NTLMv2.
       1	G?i LM & NTLM - s? d?ng NTLMv2 phiên b?o m?t n?u thýõng lý?ng	Khách hàng s? d?ng LM và NTLM xác th?c, và s? d?ng NTLMv2 phiên b?o m?t n?u các máy ch? h? tr? nó. B? ki?m soát mi?n ch?p nh?n xác th?c LM, NTLM, và NTLMv2.
       2	G?i NTLM tr? l?i ch?	Khách hàng s? d?ng NTLM xác th?c ch? và s? d?ng NTLMv2 phiên b?o m?t n?u các máy ch? h? tr? nó. B? ki?m soát mi?n ch?p nh?n xác th?c LM, NTLM, và NTLMv2.
       3	G?i NTLMv2 tr? l?i ch?	Khách hàng s? d?ng NTLMv2 xác th?c ch? và s? d?ng NTLMv2 phiên b?o m?t n?u các máy ch? h? tr? nó. B? ki?m soát mi?n ch?p nh?n xác th?c LM, NTLM, và NTLMv2.
       4	G?i NTLMv2 ph?n ?ng ch? / t? ch?i LM	Khách hàng s? d?ng NTLMv2 xác th?c ch? và s? d?ng NTLMv2 phiên b?o m?t n?u các máy ch? h? tr? nó. B? ki?m soát mi?n t? ch?i LM và ch?p nh?n ch? NTLM và NTLMv2 xác th?c.
       5	G?i NTLMv2 ph?n ?ng ch? / t? ch?i LM & NTLM	Khách hàng s? d?ng NTLMv2 xác th?c ch? và s? d?ng NTLMv2 phiên b?o m?t n?u các máy ch? h? tr? nó. B? ki?m soát mi?n t? ch?i LM và NTLM và ch?p nh?n ch? NTLMv2 xác th?c.

       Lýu ? Trong Windows 95, Windows 98 và Windows 98 Second Edition, khách hàng b?n ghi d?ch v? m?c tin thý thoaòi s? d?ng SMB k? khi nó authenticates v?i Windows Server 2003 máy ch? b?ng cách s? d?ng NTLM xác th?c. Tuy nhiên, các khách hàng không s? d?ng SMB k? k?t khi h? xác th?c v?i các máy ch? b?ng cách s? d?ng xác th?c NTLMv2. Ngoài ra, máy ch? Windows 2000 không ðáp ?ng v?i SMB k? yêu c?u t? các khách hàng.
       
       Ki?m tra ð? LM xác th?c: B?n ph?i thay ð?i các chính sách trên máy ch? cho phép NTLM, ho?c b?n ph?i ð?t c?u h?nh máy tính khách hàng ð? h? tr? NTLMv2.
       
       N?u các chính sách ðý?c ð?t (5) NTLMv2 g?i ph?n ?ng only\refuse LM & NTLM trên máy tính m?c tiêu mà b?n mu?n ð? k?t n?i v?i, b?n ph?i th?p hõn cài ð?t chuyên bi?t trên máy tính ho?c thi?t l?p b?o m?t ð? cùng cài ð?t chuyên bi?t trên máy tính ngu?n b?n ðang k?t n?i t?.
       
       T?m th?y v? trí chính xác nõi b?n có th? thay ð?i ngý?i qu?n l? m?ng LAN xác th?c c?p ð? thi?t l?p các khách hàng và máy ch? ð? cùng c?p. Sau khi b?n t?m th?y chính sách thi?t l?p m?ng LAN qu?n l? m?c ð? xác th?c, n?u b?n mu?n k?t n?i ð?n và ði t? máy tính ðang ch?y phiên b?n trý?c c?a Windows, gi?m giá tr? t?i thi?u (1) g?i LM & NTLM - s? d?ng NTLM Phiên b?n 2 phiên b?o m?t n?u thýõng lý?ng. M?t hi?u ?ng cài ð?t chuyên bi?t không týõng h?p v? sau là n?u các máy ch? yêu c?u NTLMv2 (tr? giá 5), nhýng các khách hàng ðý?c c?u h?nh ð? s? d?ng LM và NTLMv1 duy nh?t (giá tr? 0), kinh nghi?m ngý?i dùng ð? c? g?ng xác th?c kí nh?p th?t b?i mà có m?t m?t kh?u x?u và r?ng increments s? m?t kh?u x?u. N?u khoá trýõng m?c ra ðý?c c?u h?nh, ngý?i s? d?ng cu?i cùng có th? ðý?c khóa ra.
       
       Ví d?, b?n có th? c?n ph?i nh?n vào b? ði?u khi?n tên mi?n, ho?c b?n có th? ki?m tra chính sách c?a b? ði?u khi?n tên mi?n.
       
       Nh?n vào b? ði?u khi?n tên mi?n
       
       Lýu ? B?n có th? c?n ph?i l?p l?i các th? t?c sau ðây trên t?t c? các b? ði?u khi?n tên mi?n.
       1. B?m chu?t B?t ð?u, tr? ð?n Chýõng tr?nh, và sau ðó nh?p vào Công c? qu?n tr?.
       2. Theo cài ð?t chuyên bi?t b?o m?t c?c b?, m? r?ng Chính sách ð?a phýõng.
       3. B?m chu?t Tùy ch?n b?o m?t.
       4. Nh?p ðúp vào An ninh m?ng: M?c ð? xác th?c m?ng LAN qu?n l?, và sau ðó b?m vào m?t giá tr? trong danh sách.
       
       N?u các thi?t l?p có hi?u qu? và các thi?t l?p ð?a phýõng là nhý nhau, các chính sách ð? ðý?c thay ð?i ? c?p ð? này. N?u các cài ð?t chuyên bi?t khác nhau, b?n ph?i ki?m tra c?a b? ði?u khi?n tên mi?n chính sách ð? xác ð?nh li?u các an ninh m?ng: m?ng LAN qu?n l? xác th?c c?p thi?t l?p ðý?c xác ð?nh có. N?u nó không ðý?c xác ð?nh có, ki?m tra chính sách c?a b? ði?u khi?n tên mi?n.
       
       Ki?m trab? ði?u khi?n tên mi?n chính sách
       1. B?m chu?t B?t ð?u, tr? ð?n Chýõng tr?nh, và sau ðó nh?p vào Công c? qu?n tr?.
       2. Trong các B?o m?t ði?u khi?n tên mi?n chính sách, m? r?ng Thi?t ð?t b?o m?t, và sau ðó m? r?ng Chính sách ð?a phýõng.
       3. B?m chu?t Tùy ch?n b?o m?t.
       4. Nh?p ðúp vào an ninh m?ng: m?ng LAN qu?n l? xác th?c c?p, và sau ðó b?m vào m?t giá tr? trong danh sách.
       
       Lýu ?
       • B?n c?ng có th? ki?m tra chính sách ðý?c liên k?t ? c?p ð? web site, tên mi?n c?p ho?c các ðõn v? t? ch?c (OU) c?p ð? xác ð?nh nõi b?n ph?i ð?t c?u h?nh ð? xác th?c qu?n l? m?ng LAN.
       • N?u b?n th?c hi?n m?t thi?t l?p chính sách nhóm chính sách tên mi?n m?c ð?nh, các chính sách ðý?c áp d?ng cho t?t c? các máy tính trong tên mi?n.
       • N?u b?n th?c hi?n m?t thi?t l?p chính sách nhóm là b? ki?m soát mi?n m?c ð?nh chính sách, chính sách này ch? áp d?ng cho các máy ch? trong b? ki?m soát mi?n OU.
       • Nó là m?t ? tý?ng t?t ð? thi?t l?p m?ng LAN qu?n l? m?c ð? xác th?c trong các th?c th? th?p nh?t c?a các ph?m vi c?n thi?t trong h? th?ng phân c?p ýìng duòng chiình sách.
       
       Làm m?i các chính sách sau khi b?n th?c hi?n b?t k? thay ð?i. (N?u thay ð?i ðý?c th?c hi?n ? m?c thi?t ð?t b?o m?t c?c b?, s? thay ð?i là ngay l?p t?c. Tuy nhiên, b?n ph?i kh?i ð?ng l?i các khách hàng trý?c khi b?n th? nghi?m.)
       
       theo m?c ð?nh, cài ð?t chuyên bi?t chính sách nhóm ðý?c C?p Nh?t trên b? ki?m soát mi?n m?i nãm phút. Ngay l?p t?c l?c lý?ng b?n C?p Nh?t c?a các chính sách cài ð?t chuyên bi?t trên Windows 2000 ho?c m?i hõn, s? d?ng l?nh gpupdate .
       
       L?nh gpupdate /force C?p nh?t các ð?a phýõng nhóm chính sách cài ð?t chuyên bi?t và cài ð?t chuyên bi?t chính sách nhóm d?a trên b?n ghi d?ch v? m?c tin thý thoaòi Thý muòc Hoòat ðôòng, bao g?m cài ð?t chuyên bi?t b?o m?t. L?nh này thay th? các tùy ch?n hi?n nay /refreshpolicy cho secedit l?nh.
       
       L?nh gpupdate s? d?ng cú pháp sau:
       gpupdate [/ m?c tiêu: {}máy tính|ngý?i dùng}] [/force] [/ ch? ð?i:giá tr?] [/logoff] [/ Boot]
       
       Áp d?ng ð?i tý?ng chính sách Nhóm M?i (GPO) b?ng cách s? d?ng l?nh gpupdate ð? t? n?p ðõn xin l?i t?t c? các cài ð?t chuyên bi?t chính sách. Ð? làm ði?u này, g? nhý sau t?i d?u ki?m nh?c l?nh, và sau ðó nh?n Enter:
       GPUpdate /Force
       Nh?n vào b?n ghi s? ki?n ?ng d?ng ð? ð?m b?o r?ng các thi?t l?p chính sách ðý?c áp d?ng thành công.
       
       Trên Windows XP và Windows Server 2003, b?n có th? s? d?ng các k?t qu? t?p c?a chính sách snap-in ð? xem các thi?t l?p có hi?u qu?. Ð? làm ði?u này, h?y nh?p vàoB?t ð?u, b?m vào Ch?y, lo?i RSOP.msc, và sau ðó nh?p vào Ok.
       
       N?u v?n ð? v?n t?n t?i sau khi b?n th?c hi?n thay ð?i ð? chính sách này, kh?i ð?ng l?i máy ch? D?a-trên-Windows, và sau ðó xác nh?n r?ng các v?n ð? ðý?c gi?i quy?t.
       
       Lýu ? N?u b?n có nhi?u mi?n Windows 2000 d?a trên b? ði?u khi?n, b? ði?u khi?n mi?n d?a trên Windows Server 2003, ho?c c? hai, b?n có th? ph?i sao chép m?c tin thý thoaòi ho?t ð?ng ð? ð?m b?o r?ng các b? ði?u khi?n tên mi?n có nh?ng thay ð?i C?p Nh?t ngay l?p t?c.
       
       Ngoài ra, các thi?t l?p dý?ng nhý có th? ðý?c thi?t l?p ð? thi?t l?p th?p nh?t trong chính sách b?o m?t c?c b?. N?u b?n có th? th?c thi cài ð?t chuyên bi?t b?ng phýõng ti?n c?a m?t b? máy cõ s? d? li?u b?o m?t, b?n có th? ho?c ð?t m?ng LAN qu?n l? m?c ð? xác th?c trong s? ki?m nh?p b?ng cách ch?nh s?a các m?c LmCompatibilityLevel trong registry subkey sau ðây:
       HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
       Windows Server 2003 có m?t thi?t l?p m?c ð?nh m?i ð? s? d?ng NTLMv2 ch?. theo m?c ð?nh, Windows Server 2003 và b? ði?u khi?n mi?n d?a trên Windows 2000 Server SP3 ð? cho phép các "Microsoft m?ng máy ch?: ðýõòc kiì theo sôì thýìc truy?n thông (luôn luôn)" chính sách. Thi?t ð?t này ð?i h?i máy ch? SMB ð? th?c hi?n SMB gói ðãng. Thay ð?i ð?i v?i Windows Server 2003 ð? ðý?c th?c hi?n b?i v? b? ði?u khi?n tên mi?n, máy ch? t?p tin, H? ph?c v? cõ s? h? t?ng m?ng và Máy ch? Web trong b?t k? t? ch?c yêu c?u các cài ð?t chuyên bi?t khác nhau ð? t?i ða hóa an ninh c?a h?.
       
       N?u b?n mu?n th?c hi?n NTLMv2 xác th?c trong m?ng c?a b?n, b?n ph?i ð?m b?o r?ng t?t c? các máy tính trong vùng ðý?c thi?t l?p ð? s? d?ng c?p ð? xác th?c này. N?u b?n áp d?ng ho?t ð?ng m?c tin thý thoaòi khách hàng ti?n ích m? r?ng cho Windows 95 ho?c Windows 98 và Windows NT 4.0, Ti?n ích m? r?ng c?a khách hàng s? d?ng các tính nãng c?i thi?n xác th?c mà có s?n trong NTLMv2. B?i v? khách hàng máy tính ðang ch?y b?t k? hêò ðiêÌu haÌnh sau không b? ?nh hý?ng b?i các ð?i tý?ng chính sách nhóm Windows 2000, b?n có th? ph?i t? c?u h?nh các khách hàng:
       • Microsoft Windows NT 4.0
       • Microsoft Windows Millennium Edition
       • Microsoft Windows 98
       • Microsoft Windows 95
       Lýu ? N?u b?n s? các An ninh m?ng: không lýu tr? m?ng LAN qu?n l? giá tr? bãm ngày ti?p theo các thay ð?i m?t kh?u chính sách, ho?c thi?t l?p các NoLMHash khóa s? ki?m nh?p, khách hàng d?a trên Windows 95 và Windows 98-based không có khách hàng b?n ghi d?ch v? m?c tin thý thoaòi cài ð?t chuyên bi?t không th? kí nh?p vào tên mi?n sau khi m?t s? thay ð?i m?t kh?u.
       
       Nhi?u bên th? ba CIFS máy ch?, ch?ng h?n nhý Novell Netware 6, không ph?i là nh?n th?c c?a NTLMv2 và ch? s? d?ng NTLM. V? v?y, m?c ð? l?n hõn 2 cho phép các k?t n?i.
       
       Ð? bi?t thêm chi ti?t v? làm th? nào ð? c?u h?nh m?ng LAN qu?n l? xác th?c c?p, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
       147706

       (http://support.microsoft.com/kb/147706/ )

       Làm th? nào ð? vô hi?u hóa LM xác th?c Windows NT
       175641

       (http://support.microsoft.com/kb/175641/ )

       LMCompatibilityLevel và các hi?u ?ng
       299656

       (http://support.microsoft.com/kb/299656/ )

       Làm th? nào ð? ngãn ch?n Windows t? lýu tr? m?t bãm qu?n l? m?ng LAN c?a b?n m?t kh?u trong Thý muòc Hoòat ðôòng và SAM ð?a phýõng b? máy cõ s? d? li?u
       312630

       (http://support.microsoft.com/kb/312630/ )

       Outlook ti?p t?c nh?c b?n cho ?y nhi?m kí nh?p
       Ð? bi?t thêm chi ti?t v? LM xác th?c c?p, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
       239869

       (http://support.microsoft.com/kb/239869/ )

       Làm th? nào ð? cho phép NTLM 2 xác th?c
    2. C?u h?nh nguy hi?m
       
       Sau ðây là các cài ð?t chuyên bi?t c?u h?nh có h?i:
       • cài ð?t chuyên bi?t nonrestrictive g?i m?t kh?u cleartext và r?ng NTLMv2 ðàm phán t? ch?i.
       • Thi?t l?p h?n ch? ngãn ch?n không týõng h?p v? sau khách hàng ho?c b? ki?m soát mi?n t? ðàm phán m?t giao th?c xác th?c ph? bi?n
       • Yêu c?u xác th?c NTLMv2 trên thành viên máy tính và b? b? ki?m soát mi?n ðang ch?y phiên b?n c?a Windows NT 4.0 mà s?m hõn so v?i Service Pack 4 (SP4)
       • Yêu c?u xác th?c NTLMv2 vào Windows 95 khách hàng ho?c khách hàng Windows 98 không có m?c tin thý thoaòi Windows b?n ghi d?ch v? khách hàng cài ð?t chuyên bi?t.
       • N?u b?n b?m ð? ch?n các Yêu c?u NTLMv2 phiên an ninh hôòp kiêÒm trong các Microsoft Management Console so?n chính sách nhóm snap-in trên m?t Windows Server 2003 ho?c Windows 2000 Service Pack 3 d?a trên máy tính, và b?n gi?m m?c ð? xác th?c qu?n l? m?ng LAN ð?n 0, hai thi?t l?p xung ð?t, và b?n có th? nh?n ðý?c thông báo l?i sau trong t?p tin Secpol.msc ho?c t?p tin GPEdit.msc:
         Windows không th? m? b? máy cõ s? d? li?u chính sách c?c b?. M?t l?i không xác ð?nh x?y ra khi c? g?ng ð? m? b? máy cõ s? d? li?u.
         Ð? bi?t thêm chi ti?t v? c?u h?nh b?o m?t và công c? phân tích, xem t?p tin tr? giúp Windows Server 2003 ho?c Windows 2000.
         
         Ð? bi?t thêm chi ti?t v? làm th? nào ð? phân tích m?c b?o m?t trên Windows 2000 và Windows Server 2003, h?y nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
         313203

         (http://support.microsoft.com/kb/313203/ )

         Làm th? nào ð? phân tích an ninh h? th?ng trong Windows 2000
         816580

         (http://support.microsoft.com/kb/816580/ )

         Làm th? nào ð? phân tích an ninh h? th?ng trong Windows Server 2003
    3. L? do ð? s?a ð?i cài ð?t chuyên bi?t này
       • B?n mu?n ð? tãng ph? bi?n th?p nh?t giao th?c xác th?c ðý?c h? tr? b?i khách hàng và b? ki?m soát mi?n trong t? ch?c c?a b?n.
       • Nõi an toàn xác th?c là m?t doanh nghi?p yêu c?u, b?n mu?n không cho phép ðàm phán c?a LM và NTLM giao th?c.
    4. L? do ð? vô hi?u hoá cài ð?t chuyên bi?t này
       
       Khách hàng ho?c máy ch? xác th?c yêu c?u, ho?c c? hai, có ðý?c tãng ð?n ði?m nõi xác th?c trên m?t giao th?c ph? bi?n không th? x?y ra.
    5. Tên bi?u tý?ng:
       
       LmCompatibilityLevel
    6. Ðý?ng d?n ðãng k?:
       HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel
    7. Ví d? v? các v?n ð? týõng h?p v? sau
       • Windows Server 2003:theo m?c ð?nh, các câu tr? l?i c?a s? máy ch? 2003 NTLMv2 g?i NTLM cài ð?t chuyên bi?t ðý?c kích ho?t. V? v?y, Windows Server 2003 nh?n ðý?c thông báo l?i "Truy c?p t? ch?i" sau khi cài ð?t chuyên bi?t ban ð?u khi b?n c? g?ng ð? k?t n?i m?t c?m d?a trên Windows NT 4.0, v?i LanManager V2.1 d?a trên máy ch?, ch?ng h?n nhý OS/2 Lanserver. V?n ð? này c?ng x?y ra n?u b?n c? g?ng k?t n?i t? m?t máy tính khách Phiên b?n trý?c ðó v?i m?t máy ch? D?a trên Windows Server 2003.
       • B?n cài ð?t chuyên bi?t Windows 2000 an ninh Rollup gói 1 (SRP1).SRP1 l?c lý?ng NTLM Phiên b?n 2 (NTLMv2). Gói này ðý?c phát hành sau khi phát hành Windows 2000 Service Pack 2 (SP2). Ð? bi?t thêm chi ti?t v? SRP1, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
         
         
         311401

         (http://support.microsoft.com/kb/311401/ )

         Windows 2000 an ninh Rollup gói 1, tháng 1 nãm 2002
       • Windows 7 và Windows Server 2008 R2: nhi?u bên th? ba CIFS máy ch?, ch?ng h?n nhý Novell Netware 6 ho?c d?a trên Linux Samba Server, không ph?i là nh?n th?c c?a NTLMv2 và ch? s? d?ng NTLM. V? v?y, m?c ð? l?n hõn "2" cho phép các k?t n?i. Bây gi? trong phiên b?n này c?a hêò ðiêÌu haÌnh, m?c ð?nh cho LmCompatibilityLevel ðý?c thay ð?i ð? "3". V? v?y khi b?n nâng c?p Windows, các filers bên th? ba có th? ng?ng ho?t ð?ng.
       • Khách hàng Microsoft Outlook có th? ðý?c nh?c cho thông tin kí nh?p ngay c? khi h? ð? kí nh?p vào tên mi?n. Khi ngý?i dùng cung c?p thông tin kí nh?p c?a h?, h? nh?n ðý?c thông báo l?i sau: Windows 7 và Windows Server 2008 R2
         ?y nhi?m kí nh?p ðý?c cung c?p là không chính xác. H?y ch?c ch?n r?ng tên ngýõÌi duÌng và tên mi?n c?a b?n là chính xác, sau ðó g? l?i m?t kh?u c?a b?n.
         Khi b?n B?t ð?u Outlook, b?n có th? ðý?c nh?c cho thông tin kí nh?p c?a b?n ngay c? khi thi?t l?p an ninh m?ng kí nh?p c?a b?n ðý?c thi?t l?p ð? Passthrough ho?c xác th?c m?t kh?u. Sau khi b?n nh?p ?y nhi?m c?a b?n ðúng, b?n có th? nh?n ðý?c thông báo l?i sau:
         Thông tin kí nh?p ðý?c cung c?p là không chính xác.
         M?t d?u ki?m v?t m?ng màn h?nh có th? hi?n th? các c?a hàng toàn c?u phát hành m?t th? t?c t? xa (RPC) cu?c g?i l?i v?i traòm ðâòu 0x5. traòm ðâòu 0x5 có ngh?a là "Truy c?p ch?i."
       • Windows 2000:Ch?p màn h?nh m?ng có th? hi?n th? các l?i sau ðây trong các NetBIOS trên TCP/IP (NetBT) máy ch? tin thý thoaòi ch?n (giao th?c SMB) phiên:
         SMB R t?m m?c tin thý thoaòi Dos l?i, nh?n d?ng ngý?i s? d?ng không h?p l? (91) ACCESS_DENIED (109) STATUS_LOGON_FAILURE (5)
       • Windows 2000: N?u m?t tên mi?n Windows 2000 v?i NTLMv2 c?p ð? 2 ho?c cao hõn là ðáng tin c?y b?i m?t tên mi?n Windows NT 4.0, Windows 2000 d?a trên thành viên máy tính trong các ngu?n tài nguyên tên mi?n có th? g?p l?i xác th?c.
         
         Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
         305379

         (http://support.microsoft.com/kb/305379/ )

         V?n ð? xác th?c trong Windows 2000 v?i NTLM 2 tr?nh ð? trên 2 trong m?t tên mi?n Windows NT 4.0
       • Windows 2000 và Windows XP: theo m?c ð?nh, Windows 2000 và Windows XP thi?t l?p tùy ch?n m?ng LAN Manager xác th?c c?p ð?a phýõng chính sách b?o m?t-0. M?t thi?t l?p 0 có ngh?a là "g?i LM và NTLM ph?n ?ng."
         
         Lýu ? Windows NT 4.0 d?a trên c?m ph?i s? d?ng LM v? qu?n l?.
       • Windows 2000: Windows 2000 c?m không xác th?c m?t nút ch?n m?t tham gia n?u c? hai nút ch?n m?t là m?t ph?n c?a m?t gói b?n ghi d?ch v? Windows NT 4.0 6a (SP6a) tên mi?n.
         
         Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
         305379

         (http://support.microsoft.com/kb/305379/ )

         V?n ð? xác th?c trong Windows 2000 v?i NTLM 2 tr?nh ð? trên 2 trong m?t tên mi?n Windows NT 4.0
       • Công c? Lockdown IIS (HiSecWeb) thi?t l?p giá tr? LMCompatibilityLevel 5 và giá tr? RestrictAnonymous cho 2.
       • Các b?n ghi d?ch v? cho Macintosh
         
         Ngý?i dùng xác th?c Module (UAM): Microsoft UAM (mô-ðun xác th?c ngý?i s? d?ng) cung c?p m?t phýõng pháp ð? m? hóa m?t kh?u mà b?n s? d?ng ð? kí nh?p vào máy ch? Windows AFP (AppleTalk Filing Protocol). Apple ngý?i dùng xác th?c mô-ðun (UAM) cung c?p ch? t?i thi?u ho?c không m?t m? hoá. V? v?y, m?t kh?u c?a b?n m?t cách d? dàng có th? ðý?c ngãn ch?n trên m?ng LAN ho?c trên Internet. M?c dù UAM là không c?n thi?t, nó cung c?p m? hóa xác th?c cho máy ch? Windows 2000 có th? ch?y b?n ghi d?ch v? cho Macintosh. Phiên b?n này bao g?m h? tr? cho NTLMv2 128-bit ðý?c m? hóa xác th?c và m?t b?n phát hành 10,1-týõng thích MacOS X.
         
         theo m?c ð?nh, Windows Server 2003 b?n ghi d?ch v? cho Macintosh server cho phép ch? Microsoft Authentication.
         
         Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
         834498

         (http://support.microsoft.com/kb/834498/ )

         Macintosh khách hàng không th? k?t n?i v?i các b?n ghi d?ch v? cho Mac trên Windows Server 2003
         838331

         (http://support.microsoft.com/kb/838331/ )

         Ngý?i dùng Mac OS X không th? m? Macintosh chia s? m?c tin thý thoaòi trên m?t Windows Server 2003 d?a trên máy ch?
       • Windows Server 2008, Windows Server 2003, Windows XP, và Windows 2000: N?u b?n c?u h?nh LMCompatibilityLevel giá tr? là 0 ho?c 1 và sau ðó c?u h?nh giá tr? NoLMHash ph?i 1, ?ng d?ng và các ph? ki?n có th? b? t? ch?i truy c?p thông qua NTLM. V?n ð? này x?y ra b?i v? các máy tính ðý?c c?u h?nh ð? cho phép LM nhýng không s? d?ng LM lýu tr? m?t kh?u.
         
         N?u b?n c?u h?nh giá tr? NoLMHash ph?i 1, b?n ph?i ð?t c?u h?nh giá tr? LMCompatibilityLevel ph?i 2 ho?c cao hõn.
11. An ninh m?ng: LDAP khách hàng k? yêu c?u
    1. N?n
       
       Các an ninh m?ng: LDAP khách hàng k? yêu c?u thi?t l?p s? xác ð?nh m?c ð? d? li?u kí nh?p ðý?c yêu c?u trên thay m?t cho khách hàng v?n ð? nh? Directory Access Protocol (LDAP) mà gi?i h?n trên yêu c?u nhý sau:
       • Không: The LDAP liên k?t yêu c?u ðý?c phát hành v?i ngý?i g?i, quy ð?nh tùy ch?n.
       • Ðàm phán k?: n?u Secure Sockets l?p/v?n chuy?n l?p m?t (SSL/TLS) chýa B?t ð?u, yêu c?u LDAP gi?i h?n trên B?t ð?u v?i các d? li?u LDAP kí nh?p tùy ch?n thi?t l?p ngoài ra ð? tùy ch?n xác ð?nh ngý?i g?i. N?u SSL/TLS ð? B?t ð?u, LDAP liên k?t yêu c?u ðý?c kh?i xý?ng v?i quy ð?nh ngý?i g?i tùy ch?n.
       • Yêu c?u kí nh?p: ðây là gi?ng nhý ðàm phán ðãng. Tuy nhiên, n?u h? ph?c v? LDAP c?a trung gian saslBindInProgress ph?n ?ng không ch? ra r?ng LDAP lýu lý?ng truy c?p kí nh?p là c?n thi?t, ngý?i g?i nói r?ng yêu c?u l?nh LDAP gi?i h?n trên th?t b?i.
    2. C?u h?nh nguy hi?m
       
       Cho phép các an ninh m?ng: LDAP khách hàng k? yêu c?u thi?t l?p là m?t t?p c?u h?nh có h?i. N?u b?n thi?t l?p h? ph?c v? LDAP ch? k? yêu c?u, b?n c?ng ph?i ð?t c?u h?nh LDAP k? trên máy tính khách. Không c?u h?nh khách hàng s? d?ng ch? k? LDAP s? ngãn không cho giao ti?p v?i máy ch?. Ði?u này gây ra xác th?c ngý?i dùng, chính sách nhóm cài ð?t chuyên bi?t, k?ch b?n kí nh?p, và các tính nãng khác ð? th?t b?i.
    3. L? do ð? s?a ð?i cài ð?t chuyên bi?t này
       
       Ði?u m?ng lý?i giao thông là d? b? t?n công ngý?i ðàn ông ? gi?a nõi m?t k? xâm nh?p b?t gói tin gi?a khách hàng và các máy ch?, s?a ð?i chúng, và sau ðó chuy?n h? ð?n máy ch?. Khi ði?u này x?y ra trên m?t máy ch? LDAP, k? t?n công có th? gây ra m?t máy ch? ð? ðáp ?ng d?a trên các truy v?n sai t? khách hàng LDAP. B?n có th? làm gi?m nguy cõ này trong m?t m?ng công ty b?ng cách th?c hi?n các bi?n pháp an ninh v?t l? m?nh m? ð? giúp b?o v? cõ s? h? t?ng m?ng. Ngoài ra, b?n có th? giúp ngãn ch?n t?t c? các lo?i ngý?i ðàn ông ? gi?a cu?c t?n công b?ng cách yêu c?u k? thu?t s? ch? k? trên t?t c? các gói d? li?u m?ng b?ng phýõng ti?n c?a IPSec xác th?c tiêu ð?.
    4. Tên bi?u tý?ng:
       
       LDAPClientIntegrity
    5. Ðý?ng d?n ðãng k?:
       HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LDAP\LDAPClientIntegrity
12. S? ki?n ðãng nh?p: Kích c? s? ghi b?o m?t t?i ða
    1. N?n
       
       Các s? ki?n ðãng nh?p: kích c? s? ghi b?o m?t t?i ða cài ð?t chuyên bi?t b?o m?t xác ð?nh kích thý?c t?i ða c?a các s? ki?n an ninh kí nh?p. S? ghi này có kích thý?c t?i ða 4 GB. Ð? xác ð?nh v? trí cài ð?t chuyên bi?t này, m? r?ng CaÌi ðãòt Windows, và sau ðó m? r?ng An ninh cài ð?t chuyên bi?t.
    2. C?u h?nh nguy hi?m
       
       Sau ðây là các cài ð?t chuyên bi?t c?u h?nh có h?i:
       • H?n ch? kích c? s? ghi b?o m?t và an ninh ðãng phýõng pháp duy tr? khi các ki?m tra: t?t h? th?ng ngay l?p t?c n?u không th? kí nh?p an ninh ki?m tra cài ð?t chuyên bi?t ðý?c kích ho?t. Xem các "ki?m tra: t?t h? th?ng ngay l?p t?c n?u không th? kí nh?p ki?m tra an ninh" ph?n c?a bài vi?t này ð? bi?t thêm chi ti?t.
       • H?n ch? kích c? s? ghi b?o m?t v? v?y r?ng an ninh s? ki?n c?a quan ðý?c ghi ðè.
    3. L? do ð? tãng thi?t ð?t này
       
       Yêu c?u kinh doanh và an ninh có th? dictate r?ng b?n tãng kích c? s? ghi b?o m?t ð? x? l? các chi ti?t kí nh?p an ninh b? sung ho?c ð?n gi? l?i các b?n ghi b?o m?t trong m?t th?i gian dài.
    4. L? do ð? làm gi?m các thi?t ð?t này
       
       S? ki?n ngý?i xem b?n ghi có b? nh? ánh x? t?p tin. T?i ða Kích thý?c c?a m?t s? ki?n kí nh?p ð? ðý?c c? ð?nh b?i s? lý?ng các b? nh? v?t l? trong các máy tính c?c b? và b? nh? ?o dành cho s? ghi s? ki?n quá tr?nh. Tãng kích thý?c kí nh?p vý?t quá s? lý?ng b? nh? ?o là có s?n cho các s? ki?n ngý?i xem không tãng s? lý?ng kí nh?p m?c có duy tr?.
    5. Ví d? v? các v?n ð? týõng h?p v? sau
       
       Windows 2000:Máy tính ðang ch?y phiên b?n Windows 2000 s?m hõn so v?i Service Pack 4 (SP4) có th? d?ng ghi nh?t k? s? ki?n trong trý?ng h?p kí nh?p trý?c khi ð?t kích thý?c ðý?c quy ð?nh trong các thi?t l?p t?i ða kí nh?p kích thý?c trong tr?nh Tr?nh xem s? ki?n N?u tùy ch?n không ghi ðè lên s? ki?n (r? ràng kí nh?p theo cách th? công) ðý?c b?t.
       
       Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:
       312571

       (http://support.microsoft.com/kb/312571/ )

       S? ghi s? ki?n d?ng ghi nh?t k? s? ki?n trý?c khi ð?t kích thý?c t?i ða kí nh?p
13. S? ki?n ðãng nh?p: Duy tr? s? ghi b?o m?t
    1. N?n
       
       Các s? ki?n ðãng nh?p: duy tr? s? ghi b?o m?t cài ð?t chuyên bi?t b?o m?t xác ð?nh phýõng pháp "gói" cho các s? ghi b?o m?t. Ð? xác ð?nh v? trí cài ð?t chuyên bi?t này, m? r?ng CaÌi ðãòt Windows, và sau ðó m? r?ng Thi?t ð?t b?o m?t.
    2. C?u h?nh nguy hi?m
       
       Sau ðây là các cài ð?t chuyên bi?t c?u h?nh có h?i:
       • Không gi? l?i t?t c? các ðãng s? ki?n an ninh trý?c khi h? ðý?c ghi ðè
       • C?u h?nh t?i ða b?o m?t kí nh?p kích thý?c thi?t l?p quá nh? ð? s? ki?n an ninh ghi ðè
       • H?n ch? b?o m?t kí nh?p kích thý?c và duy tr? Các phýõng pháp trong khi các ki?m tra: t?t h? th?ng ngay l?p t?c n?u không th? kí nh?p an ninh ki?m tra cài ð?t chuyên bi?t b?o m?t ðý?c kích ho?t
    3. L? do ð? cho phép thi?t ð?t này
       
       S? thi?t ð?t này ch? khi b?n ch?n các Ghi ðè lên các s? ki?n c?a ngày phýõng pháp lýu tr?. N?u b?n s? d?ng m?t h? th?ng týõng quan s? ki?n cu?c thãm d? cho các s? ki?n, ð?m b?o r?ng s? ngày là ít nh?t là ba l?n t?n s? thãm d? ? ki?n. Làm ði?u này cho phép thãm d? ? ki?n không chu k?.
14. M?ng truy c?p: cho t?t c? m?i ngý?i quy?n áp d?ng cho ngý?i dùng vô danh
    1. N?n
       
       theo m?c ð?nh, các m?ng truy c?p: ð? cho m?i ngý?i quy?n áp d?ng cho ngý?i dùng vô danh thi?t l?p ðý?c thi?t l?p ð? Không xác ð?nh trên Windows Server 2003. theo m?c ð?nh, Windows Server 2003 không bao g?m m? thông báo chýa xác ð?nh ngý?i truy c?p trong t?t c? m?i ngý?i trong nhóm.
    2. Ví d? v? v?n ð? týõng h?p v? sau
       
       Giá tr? sau c?a
       HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\everyoneincludesanonymous
       [REG_DWORD] = 0x0 phá v? thành l?p s? tin tý?ng gi?a Windows Server 2003 và Windows NT 4.0, khi các tên mi?n Windows Server 2003 là tên mi?n tài kho?n và tên mi?n Windows NT 4.0 là tên mi?n tài nguyên. Ði?u này có ngh?a r?ng tên mi?n tài kho?n là ðáng tin c?y trên Windows NT 4.0 và tên mi?n tài nguyên là tý?ng bên Windows Server 2003. Hành vi này x?y ra v? quá tr?nh B?t ð?u s? tin tý?ng sau khi k?t n?i vô danh ban ð?u là ACL nào v?i m?i ngý?i m? thông báo bao g?m SID chýa xác ð?nh ngý?i trên Windows NT 4.0.
    3. L? do ð? s?a ð?i cài ð?t chuyên bi?t này
       
       Giá tr? ph?i ðý?c thi?t l?p ð? 0x1 ho?c thi?t l?p b?ng cách s? d?ng m?t GPO trên b? ði?u khi?n tên mi?n OU ph?i: m?ng truy c?p: ð? cho m?i ngý?i quy?n áp d?ng cho ngý?i dùng vô danh - cho phép ð? làm cho sáng t?o s? tin tý?ng có th?.
       
       Lýu ? H?u h?t các thi?t ð?t b?o m?t ði lên trong giá tr? thay v? xu?ng 0x0 ? traòm ðâòu ð?t b?o ð?m c?a h?. M?t th?c hành an toàn hõn s? ph?i thay ð?i s? ki?m nh?p trên gi? l?p ði?u khi?n tên mi?n chính thay v? trên t?t c? các b? ði?u khi?n tên mi?n. N?u vai tr? gi? l?p ði?u khi?n tên mi?n chính di chuy?n v? l? do nào, vi?c ki?m nh?p ph?i ðý?c C?p Nh?t trên máy ch? m?i.
       
       Kh?i ð?ng l?i là b?t bu?c sau khi giá tr? này ðý?c thi?t l?p.
    4. ki?m nh?p ðý?ng d?n
       HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\everyoneincludesanonymous
15. NTLMv2 xác th?c
    
    Phiên làm vi?c an ninh
    
    Phiên làm vi?c an ninh s? xác ð?nh các tiêu chu?n b?o m?t t?i thi?u cho khách hàng và máy ch? phiên. Nó là m?t ? tý?ng t?t ð? ki?m tra các thi?t l?p chính sách b?o m?t sau ðây trong so?n chính sách nhóm Microsoft Management Console snap-in:
    • Máy tính Settings\Windows Settings\Security Policies Policies\Security l?a ch?n
    • An ninh m?ng: T?i thi?u phiên b?o m?t cho máy ch? NTLM SSP d?a (bao g?m c? an toàn RPC)
    • An ninh m?ng: T?i thi?u phiên b?o m?t cho khách hàng NTLM SSP d?a (bao g?m c? an toàn RPC)
    Các tùy ch?n cho các cài ð?t chuyên bi?t này là nhý sau:
    • Yêu c?u thông báo tính toàn v?n
    • Yêu c?u thông báo b?o m?t
    • Ð?i h?i NTLM Phiên b?n 2 phiên an ninh
    • Yêu c?u m? hóa 128-bit
    cài ð?t chuyên bi?t m?c ð?nh là không có yêu c?u.
    
    Các chính sách này xác ð?nh các tiêu chu?n b?o m?t t?i thi?u cho m?t phiên ?ng d?ng ?ng d?ng liên l?c trên m?t máy ch? cho m?t khách hàng.
    
    Trong l?ch s?, Windows NT có h? tr? các phiên b?n sau hai thách th?c/ph?n ?ng xác th?c cho m?ng logons:
    • LM thách th?c/ph?n ?ng
    • NTLM Phiên b?n 1 thách th?c/ph?n ?ng
    LM cho phép kh? nãng týõng tác v?i các cõ s? cài ð?t chuyên bi?t c?a khách hàng và máy ch?. NTLM cung c?p c?i ti?n b?o m?t cho các k?t n?i gi?a khách hàng và máy ch?.
    
    Khóa registry týõng ?ng là nhý sau:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\"NtlmMinServerSec"

    
    

    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\"NtlmMinClientSec"

Chúng tôi ð? ngh? b?n cài ð?t chuyên bi?t gói b?n ghi d?ch v? 6a (SP6a) vào các khách hàng c?a Windows NT 4.0 interoperate trong m?t mi?n d?a trên Windows Server 2003. Windows 98 Second Edition d?a trên khách hàng, khách hàng d?a trên Windows 98, và d?a trên Windows 95 khách hàng ph?i ch?y khách hàng b?n ghi d?ch v? m?c tin thý thoaòi ð? th?c hi?n NTLMv2. N?u khách hàng d?a trên Windows NT 4.0 không có Windows NT 4.0 SP6 cài ð?t chuyên bi?t ho?c n?u khách hàng d?a trên Windows 95, khách hàng d?a trên Windows 98 và Windows 98SE d?a trên khách hàng làm không có khách hàng b?n ghi d?ch v? m?c tin thý thoaòi cài, vô hi?u hóa SMB kí nh?p chính sách c?a b? ki?m soát mi?n m?c ð?nh cài ð?t chuyên bi?t trên b? ði?u khi?n tên mi?n OU, và sau ðó liên k?t chính sách này ð? t?t c? Anh t? ch?c b? ki?m soát mi?n.

m?c tin thý thoaòi b?n ghi d?ch v? khách hàng cho Windows 98 Second Edition, Windows 98 và Windows 95 s? th?c hi?n SMB k? k?t v?i các máy ch? Windows 2003 theo NTLM xác th?c, nhýng không theo NTLMv2 xác th?c. Ngoài ra, máy ch? Windows 2000 s? không ðáp ?ng yêu c?u giao th?c SMB ðãng t? các khách hàng.

M?c dù chúng tôi không khuyên b?n nên nó, b?n có th? ngãn ch?n SMB ðãng t? ðý?c yêu c?u trên t?t c? các b? ði?u khi?n tên mi?n ðó ch?y Windows Server 2003 trong m?t tên mi?n. Ð? ð?t c?u h?nh cài ð?t chuyên bi?t b?o m?t này, h?y làm theo các bý?c sau:

1. M? b? ki?m soát mi?n m?c ð?nh chính sách.
2. M? m?c tin thý thoaòi Máy tính Configuration\Windows Settings\Security Policies Policies\Security tùy ch?n .
3. Xác ð?nh v? trí và sau ðó nh?p vào các h? ph?c v? m?ng Microsoft: ðýõòc kiì theo sôì thýìc truy?n thông (luôn luôn) cài ð?t chuyên bi?t chính sách, và sau ðó nh?p vào Khuy?t t?t.

Quan tr?ng Ph?n, phýõng pháp ho?c tác v? này ch?a các bý?c cho b?n bi?t làm th? nào ð? s?a ð?i s? ki?m nh?p. Tuy nhiên, v?n ð? nghiêm tr?ng có th? x?y ra n?u b?n s?a ð?i registry không chính xác. V? v?y, h?y ch?c ch?n r?ng b?n làm theo các bý?c sau m?t cách c?n th?n. Ð? b?o v? b? sung, sao lýu s? ki?m nh?p trý?c khi b?n s?a ð?i nó. Sau ðó, b?n có th? khôi ph?c s? ki?m nh?p n?u m?t v?n ð? x?y ra. Ð? bi?t thêm chi ti?t v? làm th? nào ð? sao lýu vaÌ khôi phuòc s? ki?m nh?p, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft: Ngoài ra, h?y t?t SMB ðãng trên máy ch? b?ng cách s?a ð?i s? ki?m nh?p. Ð? làm ði?u này, h?y làm theo các bý?c sau:

1. B?m chu?t B?t ð?u, b?m vào Ch?y, lo?i regedit, và sau ðó nh?p vào Ok.
2. Xác ð?nh v? trí và sau ðó b?m vào khoá con sau:
   
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Lanmanserver\Parameters
3. B?m vào các enablesecuritysignature m?c nh?p.
4. Trên các Ch?nh s?a tr?nh ðõn, nh?p vào S?a ð?i.
5. Trong các D? li?u giá tr? h?p, lo?i 0, và sau ðó nh?p vào Ok.
6. Thoát kh?i Registry Editor.
7. Kh?i ð?ng l?i máy tính, ho?c t?t máy và sau ðó kh?i ð?ng l?i b?n ghi d?ch v? h? ph?c v?. Ð? làm ði?u này, g? l?nh sau t?i d?u ki?m nh?c l?nh, và sau ðó nh?n Enter sau khi b?n g? m?i l?nh:
   net stop máy ch?
   net B?t ð?u máy ch?

Lýu ? Phím týõng ?ng trên máy tính khách hàng là trong registry subkey sau ðây:Dý?i ðây danh sách d?ch l?i m? s? m? traòm ðâòu và ðúng nguyên vãn l?i ðý?c ð? c?p trý?c ðó:Ð? bi?t thêm chi ti?t, nh?p vào s? bài vi?t sau ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft: