緊張的預算和嚴格的規(guī)定經(jīng)常會成為Windows服務器管理員們的不安因素。然而來自企業(yè)網(wǎng)絡安全評估的壓力似乎更大，通常讓管理員和IT經(jīng)理難以應對。

[[155423]]

　　這種情況通常有兩種解決方法：使用企業(yè)內(nèi)部Windows安全工具，或者雇傭其他公司來解決。兩種方法都可行，說不上對錯，但有些特定情況還是需要獨立的第三方來執(zhí)行。

　　在獨立顧問這一行工作了十多年，由于經(jīng)常遇到這些情況，因此我慢慢找到了比較合理的解決方法。首先，任何信息安全項目的***步就是找到所有存在的弱點。市場上有很多很棒的免費開源工具以及低成本的商用工具可以用來執(zhí)行合理的安全漏洞評估，幫助用戶發(fā)現(xiàn)并糾正問題。

　　下列七個Linux和Windows安全工具可以用于查明服務器和相關網(wǎng)絡系統(tǒng)上的弱點。

　　1.Kali Linux

　　Kali Linux是基于Debian的Linux發(fā)行版，用于高級滲透測試、數(shù)字取證和漏洞掃描。這是一款免費的開源工具。還有一些商業(yè)工具，例如GFI LANGuard和NeXpose Community Edition。

　　2.NetScantools基礎版

　　NetScantools基礎版是一個提供了各種基本網(wǎng)絡和安全相關功能的工具包。NetScantools專業(yè)版本的漏洞掃描功能很強大，涉及的范圍從開放端口到DNS漏洞，再到電子郵件安全問題等等。

　　3.TamoSoft Essential NetTools

　　與NetScanTools Pro類似，TamoSoft Essential NetTools也是用來檢查網(wǎng)絡配置和安全問題的工具包，并且是免費的。

4.Wireshark

　　Wireshark是一個免費的開源網(wǎng)絡分析器，能夠捕獲Windows服務器上往來的數(shù)據(jù)包。CommView和CommView for WiFi雖然是商業(yè)的網(wǎng)絡分析工具，但成本低，并且讓有線和無線網(wǎng)絡的分析過程變得更加簡單。

　　5.Burp Proxy

　　Burp Proxy是一款用于評估IIS網(wǎng)站和Web應用程序漏洞的低成本工具。

　　6.微軟基準安全分析器(Microsoft Baseline Security Analyzer，MBSA)

　　微軟基線安全分析器是一個免費工具，安裝在Windows服務器上，用于發(fā)現(xiàn)弱密碼、丟失的補丁和其他安全配置錯誤。

　　7.Metasploit Framework

　　Metasploit Framework是一款免費的開源安全工具，利用Windows系統(tǒng)上的特殊脆弱性來確定該漏洞的嚴重程度，例如是否無需登錄就能獲得遠程系統(tǒng)上的命令提示符。

　　創(chuàng)建用例

　　如果要測試自己的系統(tǒng)，需要符合諸如美國國家標準與技術研究院(NIST)Special Publication 800-115、支付卡行業(yè)滲透測試指南和開源安全測試方法(OSSTMM)等行業(yè)規(guī)定。

　　使用這些指南，可以向管理部門、審計和監(jiān)管機構(gòu)演示自己已經(jīng)使用了常見的Windows安全工具，并通過可靠的方法擁有了行業(yè)***實踐。如果對此不熟悉，那么你可以多閱讀各種安全評估相關書籍，或者雇傭別人來完成這項工作。

　　定期評估

　　這項工作并不應該受預算分配的影響。這些安全評估通常是有法律規(guī)定的，或者是業(yè)務合作伙伴或客戶所要求執(zhí)行的合同內(nèi)容。重要的是，要開始著手去 做，并且定期、年年做，例如每季度或每半年一次。人們犯的***一個錯誤是，只進行基本的漏洞掃描，卻不深入挖掘。這可能導致在最初的評估中無法發(fā)現(xiàn)嚴重錯 誤，從而誤以為環(huán)境是安全的。

　　在安全方面，管理員必須做到主動出擊。必須采取措施建立一個完善的滲透測試方法，來彌補漏洞。黑客都在努力提升自己的技能，Windows管理員也必須做同樣的事情，否則你的數(shù)據(jù)中心會成為另一個受害者。