活動目錄審核
在安全性要求較高的場合，我們可以使用組策略中的審核策略，來記錄用戶的各種可能會影響安全性的行為。通過審核策略，我們就可以識別惡意猜解密碼或者攻擊某個服務(wù)的嘗試。先前的審核策略包含了對于文件資源、用戶賬戶和目錄訪問的審核記錄（圖2），但這些記錄只能告訴我們什么時候誰來過，卻不知道到訪者究竟做了什么。相對于文件夾和文件對象，用戶在活動目錄對象上能做的事情更多，而且影響也更大，我們需要記錄他們的具體行為。以便在排除故障時，清楚地回溯歷史操作。
圖2 Windows Server 2003的審核策略
Windows Server 2008中實現(xiàn)的活動目錄審核能夠通過對系統(tǒng)訪問控制列表（SACL）的修改。查看用戶對于活動目錄對象的訪問和修改，在Windows Server 2008中是默認就啟用的，審核功能既能夠?qū)徍顺晒Φ牟僮?，也能夠?qū)徍耸〉牟僮?，這樣就能夠最大限度的保障活動目錄的安全性。與在Windows 2000 Server和Windows Server 2003中只有一種審核策略來審核目錄服務(wù)訪問不同，用來控制審核目錄服務(wù)事件是被啟用或者禁用的單一審核策略在Windows Server 2008中被劃分成四個子類別，它們分別是：
在圖3中的位置啟用活動目錄審核后，就會同時打開以上的全部四個子類別。
圖3 打開活動目錄訪問審核策略
正因為新的審核子類??目錄服務(wù)更改的出現(xiàn)，AD DS對象屬性的更改才能被審核。我們能夠?qū)徍说母念愋捅患毣絼?chuàng)建，修改，移動以及反刪除。這些事件都將被記錄在安全日志中。
在AD DS中新的目錄服務(wù)更改審核策略子類增加了以下的功能：
只讀域控制器（RODC）
2008年起源于美國的金融危機之所以能如此大規(guī)模如此迅速的擴散至全球，跨國/跨地區(qū)的貿(mào)易集團功不可沒。因為業(yè)務(wù)需要，企業(yè)對遍布各地的分支機構(gòu)早已習(xí)以為常，而隨著地區(qū)業(yè)務(wù)的深入開展，分支機構(gòu)承擔(dān)的工作也在不斷調(diào)整深化，越來越多的應(yīng)用需要在分支機構(gòu)部署。然而，這些地方也許沒有域控制器，或者他們有域控制器但是沒有足夠的物理安全保障、網(wǎng)絡(luò)帶寬以及專門的技術(shù)人員來提供支持。這就使得分支機構(gòu)很可能成為黑客的突破點，進而攻擊整個企業(yè)網(wǎng)絡(luò)。
只讀域控制器（RODC）就是針對上述的隱患而設(shè)計的。
顧名思義，RODC本身是一臺域控制器，但是存儲于這臺域控制器里的數(shù)據(jù)庫是被寫保護的，無法對數(shù)據(jù)庫中的數(shù)據(jù)做任何更改操作，所有對AD數(shù)據(jù)庫的修改操作，只能在可寫的域控上進行，然后這些修改再通過復(fù)制拓撲復(fù)制到RODC上。而且，在默認情況下，RODC 不保存任何賬戶信息和密碼。這樣的話，即使 RODC 受到安全攻擊，管理員們也無需擔(dān)心入侵者更改安全配置或利用服務(wù)器上保存的信息訪問整個網(wǎng)絡(luò)。
圖4指定安裝成RODC
RODC使用的復(fù)制拓撲是單向的，即只能從可寫域控制器復(fù)制到RODC，沒有任何屬性的更改會被直接寫入RODC，所以，任何更改都不會從RODC發(fā)起，作為復(fù)制伙伴的可寫域控制器也就不會產(chǎn)生從RODC“拉”數(shù)據(jù)的操作。這不僅意味著上述的惡意用戶通過攻擊在分支結(jié)構(gòu)的RODC，在其上進行的操作的結(jié)果不會被復(fù)制到森林的其余部分，而且這一體制也減少了樞紐站點里的橋頭服務(wù)器的工作量，以及為了監(jiān)視復(fù)制所產(chǎn)生的數(shù)據(jù)量。RODC的單向復(fù)制同時應(yīng)用于AD DS及分布式文件系統(tǒng)（DFS）的復(fù)制。
前面提到，RODC上不會保存賬戶信息和密碼，實際上，在默認情況下，RODC上還是會存放少量的賬戶信息，不過RODC只存儲它自己的計算機賬戶和一個用于這臺RODC的特殊的Kerberos 票據(jù)授權(quán)（KRBTGT）賬戶，此賬戶是被可寫域控制器用來驗證RODC身份的。如果需要在RODC上存儲用戶憑據(jù)或者計算機憑據(jù)的話，你需要在RODC上允許這些憑據(jù)被緩存。因為RODC一般是總是放置在比較小的分支機構(gòu)，所以被允許憑據(jù)緩存的計算機賬戶和用戶賬戶應(yīng)該都不多。這樣即使RODC被偷了，我們只會丟失那些緩存在RODC上的憑據(jù)。如果你連這些賬戶信息也非常在乎，在發(fā)現(xiàn)RODC被偷走之后，你可以立即在可寫域控上將RODC的計算機賬戶刪除，在刪除時還可以對緩存在該RODC上的憑據(jù)進行密碼重設(shè)，這樣丟失掉的這些憑據(jù)就沒有任何作用了。
RODC還支持一種稱為“管理員角色分離”的功能，我們可以使用該功能來指派一個普通的域用戶成為RODC的本地管理員。這樣這個特定的域用戶就擁有了對分支機構(gòu)的RODC服務(wù)器進行一些系統(tǒng)維護或管理操作的權(quán)限，例如安裝安全更新或者驅(qū)動程序。這個功能的好處在于：此用戶在域中其他機器或者任何可讀寫的域控制器上并沒有用戶權(quán)利。而在以前的AD中，所有DC都是可讀寫的，DC上的本機管理事實上是使用域管理員賬戶的。這使得分支機構(gòu)用戶可以有效的管理RODC而不會影響整個域的安全性。
為了進一步減少對分支機構(gòu)和總部之間網(wǎng)絡(luò)的占用，你還能在RODC上安裝DNS服務(wù)。安裝在RODC上的DNS也是只讀的，它能夠復(fù)制其他DNS使用的所有程序目錄分區(qū)，包括ForestDNSZones以及DomainDNSZones。這樣，就使得用戶能夠像查詢其它DNS服務(wù)器一樣進行名稱解析和服務(wù)位置查詢。
總之，RODC的實現(xiàn)，為需要在分支機構(gòu)部署域服務(wù)的管理員們，提供了即完整又安全的解決方案。
網(wǎng)絡(luò)訪問保護（NAP）
要問到Windows Server 2008最吸引眼球的功能，網(wǎng)絡(luò)訪問保護（NAP）絕對當之無愧！
現(xiàn)如今，令管理員非常頭痛的事是：如何在一個充斥著家庭計算機、出差用戶、來訪客戶等不在他們控制范圍的各種移動客戶端的網(wǎng)絡(luò)中確保安全性？這些計算機很可能存在沒有及時安裝關(guān)鍵補丁、沒有啟用防火墻、沒有及時升級病毒庫等非常嚴重的安全隱患，當他們接入公司內(nèi)網(wǎng)的時候，勢必給企業(yè)內(nèi)網(wǎng)的安全帶來非常大的考驗。好在NAP及時出現(xiàn)在我們的視線中。
要想描述清楚NAP系統(tǒng)是不容易的，簡單來說NAP是一組服務(wù)器的集合，其核心服務(wù)器稱為網(wǎng)絡(luò)策略服務(wù)器（NPS），配合NPS工作的有健康注冊管理機構(gòu)（HRA）、安全修正服務(wù)器以及運行在客戶端的安全狀況收集程序??系統(tǒng)健康代理（SHA）等。一個典型的NAP系統(tǒng)通常有以下幾個部分：
NAP客戶端
若要訪問網(wǎng)絡(luò)，首先由NAP代理從運行在NAP客戶端計算機本地的系統(tǒng)健康代理（SHA）收集有關(guān)該客戶端健康狀況的信息。NAP代理是一種在本地計算機上運行的服務(wù)，能夠收集來自 SHA 的信息。安裝在客戶端計算機上的每SHA都提供當前設(shè)置或設(shè)計用于監(jiān)視的活動的相關(guān)信息。NAP代理服務(wù)將匯總該計算機的健康狀態(tài)信息并將此信息傳遞給一個或多個NAP強制客戶端。強制客戶端是與 NAP 強制點交互以便在網(wǎng)絡(luò)上進行訪問或通信的軟件。
強制技術(shù)
可用于作為判斷依據(jù)決定如何匹配NAP策略的五種網(wǎng)絡(luò)訪問技術(shù)。這五種網(wǎng)絡(luò)訪問技術(shù)是：
每個NAP策略都可以指定到某一種網(wǎng)絡(luò)訪問技術(shù)，當客戶端接入網(wǎng)絡(luò)后，就會被判斷出其使用了那種網(wǎng)絡(luò)訪問技術(shù)，從而對應(yīng)到相應(yīng)的NAP策略。
NAP 強制點
NAP強制點是一個服務(wù)器或硬件設(shè)備，它向NAP客戶端計算機提供某個級別的網(wǎng)絡(luò)訪問權(quán)限。每個NAP強制技術(shù)的執(zhí)行都對應(yīng)使用不同類型的NAP強制點。在使用 802.1X 強制的 NAP 中，NAP 強制點是兼容 IEEE 802.1X 的交換機或無線訪問點。IPSec、DHCP 和 RD 網(wǎng)關(guān)強制方法的 NAP 強制服務(wù)器也必須運行配置為 RADIUS 代理或 NAP 健康策略服務(wù)器的 NPS。使用 VPN 強制的 NAP 不要求在 VPN 服務(wù)器上安裝 NPS?？梢栽谀硞€網(wǎng)絡(luò)上使用一種、幾種或者所有執(zhí)行方法。
健康注冊管理機構(gòu)（HRA）
健康注冊機構(gòu)（HRA）負責(zé)驗證客戶端憑據(jù)，然后將證書申請轉(zhuǎn)發(fā)到代表客戶端的證書機構(gòu)（CA）。通過檢查網(wǎng)絡(luò)策略服務(wù)器（NPS），HRA 可驗證證書申請以確定 NAP 客戶端是否與網(wǎng)絡(luò)健康要求兼容。如果發(fā)現(xiàn)客戶端兼容，HRA 將從 CA 申請?zhí)厥忸愋偷淖C書（稱為健康證書）。由 NAP 客戶端計算機使用的健康證書用于受 IPSec 保護的網(wǎng)絡(luò)上的通信。在此功能中，HRA 將作為 NAP 強制服務(wù)器，使用 NAP Internet 協(xié)議安全（IPSec）強制方法。
NAP 健康策略服務(wù)器
NAP健康策略服務(wù)器是一臺運行 Windows Server 2008 或 Windows Server 2008 R2 的計算機，并且已安裝和配置了NPS角色服務(wù)，用于評估NAP客戶端計算機的健康狀況。所有的NAP強制技術(shù)至少需要一個健康策略服務(wù)器。NAP健康策略服務(wù)器使用策略和設(shè)置對 NAP客戶端計算機提交的網(wǎng)絡(luò)訪問請求進行評估。
NAP修正服務(wù)器
NAP 修正服務(wù)器能夠向被判斷為不安全的客戶端計算機提供安全更新服務(wù)。當然，標識為安全的的客戶端計算機也可以訪問修正服務(wù)器。NAP修正服務(wù)器的示例包括：
系統(tǒng)健康驗證程序（SHV）
系統(tǒng)健康驗證程序（SHV）用于在NPS服務(wù)器上定義健康要求，并和收到的客戶端系統(tǒng)健康代理（SHA）做對比，以檢測客戶端是否滿足健康要求。在NAP上有很多種SHV和SHA類型。Windows Server 2008自帶的SHV（WSHV）可以進行以下方面的健康要求篩選：
NAP 健康要求服務(wù)器
健康要求服務(wù)器是能夠向一個或多個系統(tǒng)健康驗證程序（SHV）提供健康策略要求和健康評估信息的計算機。如果 NAP 客戶端計算機報告的健康狀態(tài)能夠在不咨詢其他設(shè)備的情況下通過 NPS 的驗證，則不需要健康要求服務(wù)器。例如，WSUS 在用于 Windows 安全健康驗證程序（WSHV）時被認為不是健康要求服務(wù)器。即使管理員能夠使用 WSUS 指定客戶端計算機必須有哪些更新，該客戶端計算機仍會報告自己是否已安裝了這些更新。在這種情況下，WSUS 將作為更新服務(wù)器，而不是健康要求服務(wù)器。
使用配置管理器SHV部署NAP時也要使用健康要求服務(wù)器。配置管理器SHV將聯(lián)系全局編錄服務(wù)器，通過檢查向 Active Directory 域服務(wù)發(fā)布的健康狀態(tài)參考來驗證客戶端的健康狀態(tài)。因此，部署配置管理器SHV后，域控制器將用作健康要求服務(wù)器。其他SHV也可以使用健康要求服務(wù)器。
圖5 NAP系統(tǒng)架構(gòu)示意圖
在圖5所示的NAP系統(tǒng)中，客戶端上的系統(tǒng)健康代理（SHA）創(chuàng)建一些健康聲明（SoH），并將這些聲明發(fā)送給NPS服務(wù)器上相應(yīng)的系統(tǒng)健康驗證程序（SHV）；SHV則與策略服務(wù)器（NPS）進行通信，確定SoH里面提供的安全狀況是否符合安全策略的要求。如果符合，則允許該計算機全面訪問公司網(wǎng)絡(luò)資源。如果不符合，該計算機被連接到受限網(wǎng)絡(luò)，通過修正服務(wù)器運行狀況更新，直到滿足NPS服務(wù)器上的安全策略要求，才能重新進入公司網(wǎng)絡(luò)。
BitLocker驅(qū)動器加密
我們第一次知道BitLocker驅(qū)動器加密這個東西，是在Windows Vista上。通過對硬盤數(shù)據(jù)的全卷加密，BitLocker能夠保障個人計算機、企業(yè)計算機上存儲數(shù)據(jù)的安全。相比購買硬件的花費，更令企業(yè)擔(dān)心的是丟失或被盜計算機上存儲的數(shù)據(jù)，只需要把硬盤裝載在另一臺計算機中，就能夠很輕松的讀取硬盤中的數(shù)據(jù)，甚至是受EFS保護的數(shù)據(jù)，也無法保證萬無一失。誰也不希望看到自己的文件被公開叫賣。
BitLocker可以通過TPM芯片（集成在主板上的安全信息存儲芯片，用于提供該主板的唯一標識）、USB密鑰盤（含有密鑰資料的 USB 閃存驅(qū)動器）和PIN碼這三種識別信息的其中一個或多個的組合（多因素身份驗證）來驗證磁盤的工作環(huán)境是否是經(jīng)過授權(quán)的。BitLocker提供的保護，包括以下兩種：
BitLocker的易用性并沒有因為它堅固的安全性受到影響，微軟提供了一個用于設(shè)置和管理的向?qū)В▓D6），并通過Windows 管理規(guī)范（WMI）界面提供了用腳本實現(xiàn)的可擴展性和可管理性。另外，由于BitLocker明顯加速了對磁盤的安全清理過程，實際上簡化了計算機的重復(fù)利用。
圖6 BitLocker配置向?qū)?/p>
由BitLocker所保護的計算機的日常使用對用戶來說是完全透明的。而且，即使發(fā)生很少可能出現(xiàn)的系統(tǒng)鎖定（也許是由硬件故障或直接攻擊而引起的），BitLocker也會提供一個簡單而有效的恢復(fù)過程。此類情況包括許多事件，例如將含有加密的操作系統(tǒng)卷的硬盤驅(qū)動器移動到另一臺計算機或更換系統(tǒng)主板。此時，恢復(fù)向?qū)詣訂?，并向你索要恢?fù)密鑰，恢復(fù)密鑰是一組字母和數(shù)字的組合，在啟用BitLocker時，由向?qū)С绦蜃詣由?，因此，需要妥善保管這組密鑰。
總之，使用 Windows Server 2008 BitLocker驅(qū)動器加密功能顯著增強了公司的數(shù)據(jù)保護策略，通過保護休眠數(shù)據(jù)幫助組織達到日益嚴格的保密要求，并且在對設(shè)備進行淘汰處理時提升了安全性并節(jié)省了成本。
擁有強大的安全保障，還不足以成就Windows Server 2008的絕對優(yōu)勢，管理員們都希望自己面對的是一部聰明的機器，她界面簡潔，易學(xué)易用。畢竟，被要求從本來就很有限的時間里騰出大量的時間來學(xué)習(xí)和部署新的功能和服務(wù)，是不會令人愉快的。
Windows系統(tǒng)的易用性一直是有目共睹的，除了經(jīng)過優(yōu)化的新風(fēng)格系統(tǒng)界面和高集成度的管理工具，以及舉世矚目的Hyper-V，Windows Server 2008還提供了相當多的新功能和新工具，這些新的特性可以帶給管理員前所未有的輕松體驗。
PMC(Print Management Console，打印管理控制臺)。
這個功能最先是在 Windows Server 2003 R2中發(fā)布的。但是與在Windows Server 2003 R2版本中不同的是，Windows Server 2008中，PMC成為了一個原生的功能，且每個用戶都可以使用。PMC被添加為微軟管理控制臺(MMC)的一部分，可以允許每個管理員從一個單一的控制臺監(jiān)測到整個企業(yè)內(nèi)的每一臺打印機。此外，管理員還可以利用組策略來將打印機映射到特定的用戶群組，從而使得該組無需實際安裝打印機即可使用。
WinRS(Windows Remote Shell，Windows遠程Shell)。
還記得Telnet嗎？為了在 Windows Server 2003中連接到遠程計算機上的命令行界面，管理員必須使用Terminal服務(wù)。而所謂的Terminal服務(wù)很好，但是可擴展性并不是很好，需要連接到每一臺遠程計算機上的控制臺。WinRS則可以創(chuàng)建到任何遠程計算機的安全連接，并且只需要從單個控制臺進行這一切操作。這將給管理員帶來顯著的時間成本的降低。
事件推進。
這個特性對在客戶端運行Windows Vista/Windows 7的企業(yè)用戶有意義。事件推進功能將一些被選中的計算機的日志聚合起來并且推進到中央控制臺，從而使得管理員的管理更加高效。比如說，管理員收到了客戶端用戶的求救，用戶說他看見了一個代號為“事件51”的報錯信息顯示在其屏幕上，這就表明這個用戶遇到了登錄問題。
與此前在局域網(wǎng)中應(yīng)用嗅探技術(shù)以便偵測安全等問題不同，管理員只需要簡單地在服務(wù)端的控制臺中“訂閱”客戶端計算機的事件信息即可，這樣那些客戶端機器就會自動發(fā)送管理員所需求的信息到控制臺中。
新的粒度密碼策略。
在活動目錄中，域是一個安全分界線。作為Windows Server的先期版本，Windows Server 2003的安全分界線被限定為每個域擁有一個密碼策略。這是一個比較受限的措施，因此在Windows Server 2008中已經(jīng)被取消?，F(xiàn)在管理員無需通過創(chuàng)建新域來獲得一個新的密碼策略，只需要為特定的群組或者用戶設(shè)定密碼策略即可。如果CEO或者CIO們需要更為嚴格的密碼策略，就為他們分配獨立的用戶組，并在其上新建一個更嚴格的密碼策略，這在Windows Server 2008中很容易達成。
群組策略的改進。
在Windows Server 2008中，群組策略有兩處改進，這都是管理員們關(guān)注的問題。第一個改進是用于群組策略設(shè)置的可搜索的數(shù)據(jù)庫。很多管理員都曾使用過Excel表來追蹤其群組策略的設(shè)置。設(shè)若有數(shù)千條類似的設(shè)置，那么顯然通過Excel表的方式將會帶來很大的麻煩。現(xiàn)在，通過群組策略管理控制臺，管理員能夠搜索策略，無需Excel幫忙，從而顯著提升效率。
第二個對群組策略的升級是在群組策略設(shè)置中添加注解的能力。在設(shè)置中添加注解將不僅幫助當前的管理員，也能幫助未來的管理員進行有關(guān)群組策略的故障檢測。比如說，在管理員配置群組策略時，管理員能夠添加注解，為什么需要配置如此特別的策略。今后，如果需要進行故障檢測或者重新配置該策略時，那么該管理員或者其繼任者能夠明白配置該策略的來龍去脈。此外，當管理員進行群組策略建模時，為策略模型添加注解，指出不同的策略的不同含義，那些注解將來能夠在報表中顯示出來，簡化群組策略的管理。
潛在的網(wǎng)絡(luò)速度提升。
網(wǎng)絡(luò)承載著傳遞更多數(shù)據(jù)的重任。自1995年以來，能夠在一個包中被發(fā)送出去的網(wǎng)絡(luò)數(shù)據(jù)包大小都維持在64KB，其數(shù)據(jù)傳輸流量大概在 5MB大小。這就好像一個大卡車里面只裝了一個很小的箱子在到處行駛，盡管車很大，但是根本沒有提高運輸能力。今天的網(wǎng)絡(luò)也是如此，如果網(wǎng)絡(luò)的傳輸能力很強，但是數(shù)據(jù)包的大小依然很小，那么也沒有太大的意義。在Windows Server 2008中幾乎重寫的網(wǎng)絡(luò)堆棧包活了一些全新的技術(shù)，比如說允許更大的數(shù)據(jù)包進入網(wǎng)絡(luò)等。同時，它也可以即時改變網(wǎng)絡(luò)傳輸中的數(shù)據(jù)包的大小，使得其在傳輸時更具效率。數(shù)據(jù)包大小的上限被修改為512KB，這一改動能夠轉(zhuǎn)化為大概40MB的吞吐量。換句話說，如果網(wǎng)絡(luò)被正確地配置和調(diào)優(yōu)之后，最快能夠以相當于此前8倍的速度運行。這的確是一項令人激動的改進！
當然，如果你仍然癡迷于基于命令行界面的管理方式，Windows Server 2008還提供了全命令行界面的Server Core版本供你選擇，你可以用非常低的配置來搭建Server Core版的Windows Server 2008，而其功能和互操作性與圖形界面版本的Window Server 2008沒有區(qū)別。
