聚焦Windows 2008终端服务安全问题

　　请记住，当对服务器的这些设置进行更改时，所有的连接客户端必须确保使用标记到服务器IP地址上的新端口扩展来连接到终端服务。举例来说，使用内部IP地址(192.168.0.1)连接到终端服务器，而现在使用的是非标准端口8888的话，将要求用户输入192.168.0.1:8888到远程桌面连接客户端。

　　内容导航

　　使用Easy Print和限制重新定向的打印机

　　从本地连接到客户端工作组的设备中进行打印，一直都是Windows Server2008之前版本中的终端设备的缺点，为了做到这一点，你必须确保在客户端和服务器安全了版本完全相同的打印机驱动程序，而且即使如此，也不一定总是能正常打印。从安全的角度来看，我们从来都不想在我们的系统上安装更多的驱动程序，除非必要情况。安装在服务器上的每个驱动程序都有可能扩大潜在攻击范围。

　　Windows Server2008中新增了被称为Easy Print(简易打印)的功能，这从根本上改变了本地连接打印机的处理方式。从本质上来说，TS Easy Print是一个驱动程序，能够作为代理将所有通过的数据进行重新定向。当客户端使用简易打印驱动程序从设备打印时，数据和打印设置都将转换为常用格式发送给终端服务器进行处理。在这个过程中，点击打印后，打印对话框是从客户端弹出的，而不是从终端会话中弹出的，这意味着不需要在终端服务器上安装驱动程序来处理本地打印设备的打印工作。

　　为了配置简易打印，你需要确保所有的本地连接打印设备都有逻辑打印机，并在客户端工作组配置为使用简易打印驱动程序。所有运行远程桌面连接6.1或更高版本以及.NET Framework 3 SP1的所有Windows XP SP3、Vista和Windows 7都支持简易打印功能。

　　只要你已经在工作组级别配置好本地连接设备，最好就是确保只有使用TS Easy Print的打印机才能够被重新定向到终端服务器，并应设置为默认打印机。想要实现这一点，可以创建一个组策略对象并浏览到Computer Configuration Administrative TemplatesWindows ComponentsTerminal ServicesTerminal ServerPrinter Redirection，启用Redirect only the default client printer(仅对默认客户端打印机进行重新定向)选项。

　　内容导航

　　限制用户帐户

　　当你雇佣一个人为你耕地时，你只需要把拖拉机的钥匙给这个人即可，而不是给他所有的钥匙，避免发生物品丢失事故。同样的道理，我们必须记住，当用户连接到服务器或者直接在服务器工作时，他们有可能接触他们并不需要的资源，为了提高终端服务器环境的安全性，我们必须限制这种现象。这不仅可以防止用户的身份凭证被破坏，还可以防止合法用户的非法意图，我们可以做的事情包括以下：

　　对终端用户使用特定的帐户

　　用户在本地使用某些应用程序，然后进入终端服务器以访问其他应用程序，这种现象并不少见。从管理角度来看，用户使用相同的用户帐户登录本地和终端设备是很便于管理，但是从安全角度来看，这也很容易让盗取了访问多个应用程序凭证的攻击者继续攻击其他应用程序。因此，必须为终端服务器访问创建单独的用户帐户，并限制为仅能访问必要的应用程序，这样将大大减小攻击者大范围攻击的威胁。

　　使用软件限制政策

　　软件限制政策(Software Restriction Policies)毫无疑问的属于新的发展趋势，但是其中却存在很大不足，软件现在政策可以配置为允许或者拒绝使用某些应用程序，这在公共计算机或者kiosk环境很常用，在终端服务器环境中也很多。

　　检测用户对终端服务器的访问

　　默认情况下，只有终端服务器远

凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!