聚焦Windows Server 2008终端服务安全问题

核心提示： 检测用户对终端服务器的访问默认情况下，只有终端服务器远程桌面用户组(和域/本地管理员)的成员才能够登录到终端服务器，聚焦Windows Server 2008终端服务安全问题(8)，我们强烈建议你定期对这些组成员进行记录和审计，如果用户不再需要登录到终端服务器，某些用户有管理员权限的话，管

检测用户对终端服务器的访问

默认情况下，只有终端服务器远程桌面用户组(和域/本地管理员)的成员才能够登录到终端服务器，我们强烈建议你定期对这些组成员进行记录和审计，如果用户不再需要登录到终端服务器，那么就可以将其从远程桌面用户组除名。

使用组策略配置其他安装政策

可以通过组策略为终端服务器环境配置很多安全增强功能，以下是几个常见的：

1. 将终端服务用户限制到单个远程会话

在大多数情况下，单个用户没有必要启动终端服务器上的多个会话，如果允许他们启用多个会话可能会使终端服务器环境受到拒绝服务攻击(当用户身份凭证被攻击者盗取时)。可以对组策略对象内的Computer ConfigurationAdministrative TemplatesWindows ComponentsTerminal ServicesTerminal ServerConnections进行配置。

2. 不允许驱动器重新定向

除非有特殊需要，允许用户访问来自终端服务器会话的本地驱动器都可能带来非常不安全的通信渠道。有了这种功能，用户不仅能够复制数据到终端服务器，而且数据很可能包含恶意代码，并有可能被终端服务器执行。

可以对组策略对象内的Computer ConfigurationAdministrative TemplatesWindows ComponentsTerminal ServicesTerminal ServerDevice and Resource Redirection进行配置。

3. 为断开会话设置时间限制

总的来说，让用户在没有完全注销的情况下退出对话并不是件好事，攻击者可能能够控制这个会话，然后获取某些敏感信息，或者获得身份验证到另一个网络应用程序。制止这种情况发生的方法就是，为断开会话设定非常短的时间限制，当时间一到会话就会自动关闭。

可以对组策略对象内的Computer ConfigurationAdministrative TemplatesWindows ComponentsTerminal ServicesTerminal ServerSession Time Limits进行配置。

4. 禁用 Microsoft Windows Installer

简而言之，只有系统管理员才能够在终端服务器安装应用程序，在大多数情况下，由于用户不能以管理员身份登录，他们就不能自己安装应用程序。但是，如果某些用户需要这种特权，管理员可以通过禁用Microsoft Windows Installer来限制他们安装某些程序的权限。

可以对组策略对象内的Computer ConfigurationAdministrative TemplatesWindows ComponentsWindows Installer进行配置。 重要的是，配置此设置为启用，而不是总是允许，这样做能够确保你仍然可以通过组策略向终端服务器发布应用程序，而使用总是允许选项将阻止这种情况发生。

5. 文件夹重新定向

如果我每次登录终端服务器都能在用户本地桌面发现敏感数据或者关键数据，并因此获得1美元的话，那肯定成大富翁了。虽然网络管理员为用户提供了多个公共和个人数据存储位置，有些用户仍然习惯将数据存在他们的桌面上。管理员可以通过将用户桌面重新定向到文件服务器上的合适位置来防止数据丢失事故的发生。

可以对组策略对象内的User ConfigurationWindows SettingsFolder Redirection 来进行配置，用户桌面绝对不是唯一可以重新定向的文件夹，建议查看所有可用的文件夹并将某些文件夹重新定向到服务器。

6. 禁止访问控制面板

将像使用Microsoft Installer一样，用户不应该拥有防止控制面板的权限，但是，某些用户有管理员权限的话，管理员也可以通过配置设置来限制他们对系统控制面板的访问。

可以对组策略对象内的User ConfigurationAdministrative TemplatesControl Panel 来进行配置。