等保测评2.0：Windows入侵防范

1. 说明

本篇文章主要说一说windows系统中入侵防范控制点的相关内容和理解。

2. 测评项

a)应遵循最小安装的原则，仅安装需要的组件和应用程序； 

b)应关闭不需要的系统服务、默认共享和高危端口； 

c)应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制； 

d)应提供数据有效性检验功能，保证通过人机接口输人或通过通信接口输入的内容符合系统设定要求；           

e)应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞；  

f)应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。

注意，测评项d的测评对象不包括服务器的操作系统：

3. 测评项a

a)应遵循最小安装的原则，仅安装需要的组件和应用程序；

这一条比较容易理解。即仅安装该服务器需要的组件和应用程序，非必需的组件和应用程序应该删除或者停用。

输入appwiz.cpl可以看到windows中安装的程序：

在进行测评的时候，有一些是明显多余的程序，比如QQ、迅雷等，另外一些，如果是不常见或者不清楚用途的软件，需要通过访谈来进行确认。

4. 测评项b

b)应关闭不需要的系统服务、默认共享和高危端口；

这个测评项总的意思为是否对外部的访问进行管制和最小化处理。

服务、进程、端口的关系是这样的，启用了某个服务，某个服务就会启动一个或者数个进程，然后进程就有可能会监听端口，然后只有当进程监听了端口后，此端口的通信才会存在意义。

外界对一个服务器的某个没有任何进程监听的端口发送信息的话，不会得到任何回应的。

如iis服务会启动w3wp进程，w3wp进程就会监听80端口或者你设置的某个端口。

所以对于这个测评项，可以从多个方面进行判断，一个是开启服务（其中也包括了共享服务）情况，一个是监听端口的情况，其中最直接的是通过服务器监听的端口情况进行判断。

4.1. 不需要的系统服务

一方面，可以查看windows启用的功能，在服务器管理器中的功能节点中，可以看到已启用的windows功能：

这里启用了Telnet服务器功能，明显是多余的（在身份鉴别控制点的c测评项中也是不允许的），但注意，这不能代表它就一定开启了telnet服务。

另外如果不是网站服务器、应用服务器，未承担网站后台的业务，那么IIS也是多余的。

另外一方面，就是直接查看各个服务的状态：

注意，这里的Telnet服务是关闭的，所以并没有监听相关的端口。

4.2. 默认共享

对于默认共享，也可以先看看共享服务是否开启了：

然后用命令net share查看开启的共享到底有哪些：