在基于活动目录（Active Directory）的系统上，你应该始终运行着组策略。若是没有，则在你的网络中将很可能会发生大量的攻击，就像你从下面的、原来发表于SearchWindowsSecurity.com的专栏文章中看到的一样。
　
　　让我们做一个假设。

　　假设在你的网络中，有一个怀有恶意的临时工作人员，我们将他的名字叫做Eddie。或许Eddie是一个顾问或者推销员，它也许只进来几个小时进行工作上的“安全”转移。不管他做什么，他都知道他能够相当简单地连接到其他人的网络上，并且做他想要的任何事情。为什么？就是由于缺省的Windows设置所引起。

　　Eddie并不知道Windows 2000和它之后的组策略对象（Group Policy Object，GPO），但他怀着恶意，具有搜寻信息的能力。他知道，多数Windows系统的安全并没有被加强，它们在普通攻击下就容易被暴露，并且能够从你的网络中窃取大量由0、1组成的好用的信息。

　　现在，这个Eddie并不需要用无线LAN连接进入你的网络，他能够在大厦中任一个有网络接口的地方――在没有人的小卧室和会议室中――接入你的网络。作为一个低效率运行的计划，Eddie知道他能够通过一个不安全的Wi-Fi接入点（AP）很容易的成功接入你的网络，他也知道，能够用物理连接进入你的系统的价值是不可估量的。

　　根据我的经验，Eddie将在你的Windows系统上做以下几件事情――这几件事情很可能是在Windows 2000，甚至是Windows XP和Windows Server 2003上。（一个令人遗憾的事情就是，这些所有的破坏都能够简单的通过加固你的组策略设置避免。）

　　使用组策略能够预防的十种攻击

　　如果组策略设置没有被加强，像Eddie一样怀有恶意的人将能够轻易地做到：

　　1.查看最后登录进入工作站的服务器的用户的ID，这将为他的社会工程学控制游戏收集大量的用户，并带来用户密码攻击，最后导致出现受损害的账号。

　　2.开始猜测弱口令以获取用户的密码，这将带来什么样的后果，就不用我向西说明了吧。

　　3.拷贝活动目录（Active Directory）数据库，这可能得到所有的用户名和密码。

　　4.使用强大的用户密码破解工具，如Proactive Windows Security Explorer或LC5通过远程服务器破解用户密码，或者在数据传输线路上捕捉相应的数据。

　　5.使用黑客工具PipeUpAdmin提升当前登录用户的权限，直到他自己与系统上的管理员账号拥有相等的权限。

　　6.安装软件并且“调节”你的Internet Explorer的设置，以允许未来可以进行恶意内容攻击。

　　7.做任何他喜欢的事情而不被跟踪（这也是另外一个弱点）。

　　8.使用垃圾数据填满你的日志文件――这将更改你合法的日志文件。

　　9.关闭你的工作站，更糟糕的，关闭你的服务器。

　　10.关机之后从你的机器中取出硬盘，然后使用他喜欢的硬盘编辑工具通过Windows交换文件获取信息。

　　如果Eddie异常勤勉，他就能够在你的网络的防火墙之后执行其它的几百种攻击，只有时间才是唯一的限制。

　　那么，如何才能够阻止像Eddie一样的人呢？组策略是一个好的开始！在本地计算机、域和域控制级别上，组策略是非常容易实施的。组策略能够帮助防范来自所有Windows 2000和其以上操作系统的攻击，这将使你的工作（和生活）非常容易。

　　几乎每个我测试的网络都至少有几个Windows系统没有运行组策略，或者组策略的配置和行的不正确。虽然管理组策略通常情况下很麻烦，但在独立和基于活动目录的系统上，绝对没有任何不实施它的好的原因。一旦你知道了组策路编辑器（gpedit.msc）和组策略工具，如组策略管理控制台（Group Policy Management Console，GPMC），你将会惊奇的发现，在你的Windows系统下，你能够做很多事情以保护你的计算机。

　　查看Roberta Bragg的有关加固Windows系统的IT检查列表，你将会发现你需要的所有细节。而在做出更改时一定要小心――特别是在域和域控制器级别，如果你不能充分的理解你改变的是什么，你可能很容易的将自己锁定，或者是破坏现有的系统。

　　所有的假设都说明，问题的真相是，直到我们使用Windows的组策略之前，Eddie和像他一样的人将继续用卑鄙的方式攻击我们的Windows系统――这是一场对我们来说丢失的愚蠢的战争。

　　作者简介：Kevin Beaver是位于亚特兰大的Principle Logic LLC的创建者和首席顾问，并且是SearchWindowsSecurity.com的常驻专家。他专门研究信息安全评估和突发事件反应，是新书《Hacking for Dummies》（John Wiley & Sons）的作者。你可以通过电子邮件kbeaver@principlelogic.com联系Kevin，或者在http://searchwindowssecurity.techtarget.com/ateAnswers/0,289620,sid45_tax297883,00.html向他询问有关Windows安全威胁的问题。