网络安全问题？

xiangrui

各位大侠，现在我有一个问题，就是如果我想实现公司员工只能在公司访问公司资源，在外网都不能访问自己的邮箱，也不能使用USB等资源。有什么办法吗？现在老板就要方案我都急死了。这个在excahnge server上如何设置啊？就是在exchange上设置让大家不能外网通过OWA访问邮箱，只能在公司使用。

roytocn

不开放外网：８０端口

xiangrui

谢谢兄弟的回答，我等会就试试。
请问大家对禁止公司内部使用USB有什么好方法吗？

michel_hu

可考慮軟件進行管控.

winxp0286

用域管理。。設置組策略。。。

钉子

转自:http://gnaw0725.blogbus.com/logs/4888570.html

关于屏蔽USB：
MS有此kb，见于 http://support.microsoft.com/default.aspx?scid=kb;zh-cn;823732 ，主要内容如下：
如果计算机上尚未安装 USB 存储设备
如果计算机上尚未安装 USB 存储设备，请向用户或组分配对下列文件的“拒绝”权限：
%SystemRoot%InfUsbstor.pnf
%SystemRoot%InfUsbstor.inf
这样，用户将无法在计算机上安装 USB 存储设备。 要向用户或组分配对 Usbstor.pnf 和 Usbstor.inf 文件的“拒绝”权限，请按照下列步骤操作：
启动 Windows 资源管理器，然后找到 %SystemRoot%Inf 文件夹。
右键单击“Usbstor.pnf”文件，然后单击“属性”。
单击“安全”选项卡。
在“组或用户名称”列表中，单击要为其设置“拒绝”权限的用户或组。
在“用户名或组名 的权限”列表中，单击以选中“完全控制”旁边的“拒绝”复选框，然后单击“确定”。
右键单击“Usbstor.inf”文件，然后单击“属性”。
单击“安全”选项卡。
在“组或用户名称”列表中，单击要为其设置“拒绝”权限的用户或组。
在“用户名或组名 的权限”列表中，单击以选中“完全控制”旁边的“拒绝”复选框，然后单击“确定”。
返回页首
如果计算机上已经安装了 USB 存储设备
警告： “注册表编辑器”使用不当可导致严重问题，可能需要重新安装操作系统。Microsoft 不能保证您可以解决因“注册表编辑器”使用不当而导致的问题。使用注册表编辑器需要您自担风险。 如果计算机上已经安装了 USB 存储设备，请将以下注册表项中的“Start”值设置为 4：
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesUsbStor

这样，当用户将 USB 存储设备连接到计算机时，该设备将无法运行。要设置“Start”的值，请按照下列步骤操作：
单击“开始”，然后单击“运行”。
在“打开”框中，键入“regedit”，然后单击“确定”。
找到并单击下面的注册表项：
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesUsbStor

在右窗格中，双击“Start”。
在“数值数据”框中，键入 4，单击“十六进制”（如果尚未选中），然后单击“确定”。
退出“注册表编辑器”。

在实践操作的时候，可以结合策略中的设定计算机安全属性中的“登陆”和“档案系统”来做策略的分发（抱歉这里是用繁体的名称，下面用图片来说明它的位置）

通过在登陆项目中新增机码（主键）（注：一般dc如果没有使用过usb设备，那么usbstor这键值是不会产生的，可以手动添加此主键。策略分发到client后，会自动应用于client的注册表中对应键值;      在添加用户的时候可以酌情考虑，是使用domain users还是其他；权限的设置，请点击修改旁边的拒绝，这样当usbstor主键权限继承下去后，如果原来下面的子键已经有相应的权限，那么也会以拒绝优先）

通过在档案系统中新增资料夹（文件夹）（注：在指定文件夹路径的时候，为了使用win2k和winxp，请使用%systemroot%）
就可以完成这一点。

client登入后，如果插入usb设备，系统将会提示：
“您的安全性特殊?限不足,所以?法在?部??上安?新的?置.???您的站台系?管理?,或者登出後重新以系?管理?的身分登入,然後再安?一次.”
至此，USB禁止策略实施成功。

xiangrui

请问钉子大哥，如果这样设置后，USB的鼠标键盘还能用吗？
还有为什么我的Server 2003的注册表中没有USBStor这个选项啊？

钉子

1.USB的鼠标键盘还能用吗？
--usb鼠标键盘不是usb存储设备吧.

2.没有USBStor项
--应该是原来没有安装usb存储设备的机器吧.

钉子

原帖由 roytocn 于 2007-10-11 11:55 发表
不开放外网：８０端口

如果以前开放过pop3,把pop3的110也关了.

xiangrui

钉子大哥，请问我怎么样才能让server 2003系统的USBStor选项显示出来啊？