Winteacher.com Technet Master Page

Microsoft TechNet Magazine (Farsi User Guide)
Winteacher.com
Resource: Microsoft.COM > TechNet > TechNet Magazine

2003-2006

Winteacher.com > Part3 > TechNet Magazine Master Page

TechNet Magazine Master Page

Spring 2005
Decoding TCPIP
10 Easy Ways to Lock Down Your Computer
Be The Master Of Your Domain Rename With Exchange
Isolate Server With IPSEC
Secure Your Desktops With The New Group Policy Settings In SP2
November - December
Top 10 Ways to Pump Up IIS Performance
A Hands-On Guide to Hands-Off Updates with WSUS

January - February 2006

NTFS Permissions Part 2

May - June 2006

Get Control of File System Resources with Windows Server 2003 R2

19 Smart Tips for Securing Active Directory

Microsoft Links

Microsoft Technet Home

Microsoft در این قسمت اخبار جدید بخش TechNet خود و نیز مجله مربوط به این بخش را بصورت Online قرار داده.

این قسمت برای Update کردن اطلاعات Admin ها و Developer ها بسیار مفید می باشد .

برای دیدن هر قسمت بر روی Click here آن کلیک کنید .

SPRING 2005

Microsoft TechNet Magazine (HOW IT Works)

Decoding TCPIP "Don Parker" Click here "Language: Farsi"

Don Parker works in a high-assurance environment where he is employed as a network security analyst. He has been a guest speaker at various computer security conferences, and holds the GCIA and GCIH certifications. His Web site is http://www.bridonsecurity.com/.

.
Microsoft TechNet Magazine (Windows Administration)

10 Easy Ways to Lock Down Your Computer "Derek Melber" Click here "Language: Farsi "

Derek Melber manages http://www.auditingwindows.com/, the first dedicated Web site for Windows auditing and security. Derek's new book series on Auditing Windows Security is now available. Online training is available at http://www.auditlearning.org/. Reach him at derekm@braincore.net .

.
Microsoft TechNet Magazine (Exchange for Expert)

Be The Master Of Your Domain Rename With Exchange "Steve Schiemann" Click here "Language: EN"

Steve Schiemann has been working with Exchange Server in Microsoft Product Support Services for over seven years. He is now on the Exchange Server administration specialty team.

.
Microsoft TechNet Magazine (Security Watch)

Isolate Server With IPSEC "Joseph Davies" Click here "Language: Farsi"

Joseph Davies is a technical writer with Microsoft who has been writing about Windows networking topics for more than ten years. He has written five books for Microsoft Press and is the author of the monthly TechNet Cable Guy column.

.
Microsoft TechNet Magazine (Windows Administration)

Secure Your Desktops With The New Group Policy Settings In SP2 "Jeremy Moskowitz" Click here "Language: Farsi"

Jeremy Moskowitz, MCSE and MVP in Group Policy, runs GPanswers.com, a community forum on Group Policy. He also runs a two-day Group Policy intensive training course. His latest book is Group Policy, Profiles and IntelliMirror, 3rd edition (Sybex, 2005). Contact Jeremy at www.GPanswers.com.
.

NOVEMBER • DECEMBER 2005

Microsoft TechNet Magazine (Web Administration)

Top 10 Ways to Pump Up IIS Performance "Brien M. Posey"

These 10 techniques can help you get better performance out of your IIS Web servers without investing in more bandwidth or expensive new hardware. Click here "Language: Farsi"

Brien M. Posey is a freelance technical writer who has written over 3,000 articles and written or contributed to 27 books over the last 10 years. Previously Brien served as CIO for a hospital chain. Reach Brien at www.brienposey.com.
.
Microsoft TechNet Magazine (Patch Management)

A Hands-On Guide to Hands-Off Updates with WSUS "Jeremy Moskowitz"

Learn everything you need to know to install, configure, and start using WSUS to manage updates throughout your organization. Click here "Language: EN"

Jeremy Moskowitz, MCSE and MVP in Group Policy, runs GPanswers.com, a community forum on Group Policy. He also runs a two-day Group Policy intensive training course. His latest book is Group Policy, Profiles and IntelliMirror, 3rd edition (Sybex, 2005). Contact Jeremy at www.GPanswers.com.
.

JANUARY • FEBRUARY 2006

Microsoft TechNet Magazine (How IT Works)

NTFS Permissions Part 2 "Richard Civil" Click here "Language: Farsi"

Richard Civil runs Civil Consulting and Training, and is Senior Technical Trainer at New Horizons in Beaverton, OR. A professional trainer since 1992, Richard also holds MCT, MCSE, MCP+I, SCPI, and IC3 certifications. Learn more about Richard at www.rcivil.com.
.

MAY • JUNE 2006

Microsoft TechNet Magazine (Windows 2003 Server R2)

Get Control of File System Resources with Windows Server 2003 R2 "John Savill"

Find out how the new File Server Resource Manager allows you to better manage network storage. Click here "Language: Farsi"

John Savill is Director of Technical Infrastructure for Geniant. He is a CISSP, a Security and Messaging MCSE on Windows Server 2003, a six-time MVP, and a Krav Maga instructor. He is also the author of Windows Server 2003 Active Directory Design and Implementation (Packt Publishing, 2005).
.
Microsoft TechNet Magazine (Special Report : Security)

19 Smart Tips for Securing Active Directory "Sean Deuby"

Security within Active Directory is one of the biggest concerns of most administrators. Fortunately, there are a lot of things you can do to improve your Active Directory security. Click here "Language: FA"

Sean Deuby is a design engineer with Intel Corporation, where he is the senior member of the identity and directory services team. The author of many articles and presentations on Active Directory and Windows Server, this is his third year as a Directory Services MVP with Microsoft.
.

Microsoft TechNet Magazine (Farsi User Guide)

LastUpdate: August 26, 2006

Winteacher.com > Part3 > TechNet Magazine Master Page


Winteacher.com News - Decoding TCPIP "Don Parker" April 2005

2003-2005

Winteacher.com > Part3 > TechNet Magazine > Decoding TCPIP

How IT Works

Don Parker

TCPIP تشکیل شده از چندین Protocols مانند TCP ,UDP ,IP ,ICMP . متخصص IT از چگونگی

کار این Protocol ها با یکدیگر و درنتیجه برقراری ارتیاط بین سیستم ها در شبکه باید اطلاع داشته باشد .

ما می دانیم که از IP برای مسیر دهی اطلاعات یا همان Route کردن اطلاعات استفاده می شود و از TCP برای جابجا کردن

اطلاعات .اما بیشتر ما از فیلدهای درون یک Packet از نوع TCPIP اطلاع نداریم.در اینجا کمی ریزتر و دقیق تر به یک Packet نگاه می کنیم .

TCPIP Connection از سه مرحله برای شروع ارتباط (برای اولین بار) میان دو Computer تشکیل شده .

و ترکیب شده از سه Packet برای ایجاد ارتباط .

S ynchronize (SYN) Packet

همیشه اولین Packet برای شروع SYN Packet می باشد .این Packet توسط Client به Server ارسال می شود دراینجا Client شروع کننده

ارتباط می باشد .

Synchronize/Acknowledgement (SYN/ACK) Packet

در مرحله بعد دومین Packet بنام SYN/ACK Packet توسط سرور به Client برگشت داده می شود یا ارسال می شود .

(ACK) Packet

در آخر ACK Packet برگشت داده می شود به Server از طرف Client

جالب بدانید که برگشت دادن ACK Packet به سرور از طرف Client بستگی مستقیم به نوع

Operation System موجود بر روی دستگاه شما دارد .در واقع مشخص می کند که مثلا سیستم شما دارای چه Windows با چه Version می باشد

Step 1 | Source Host | ===> SYN | Destination Host
Step 2 | Source Host | <=== SYN/ACK | Destination Host
Step 3 | Source Host | ===> ACK | Destination Host

در شکل زیر شما می توانید محتویات یک SYN Packet را مشاهده کنید یعنی مرحله اول یا Packet اول از سه Packet.

Figure 1: S ynchronize (SYN) Packet

برای مشاهده یا Monitor کردن TCPIP Traffic برنامه های گوناگون بصورت Free در Internet وجود دارد .

از این برنامه ها Hacker ها نیز استفاده می کنند .به همین دلیل در سایتهای معروف Hacker انواع آن را می توانید پیدا کنید .

برای نمونه نرم افزار IP Sniffer در Website : www.webattack.com یک نمونه از این برنامه ها می باشد .

در خود Windows Server نیز ابزار این کار وجود دارد Network Monitor.

برای دیدن یک نمونه مثال به قسمت Network Traffic Monitoring در Part4 مراجعه کنید .

در قسمت زیر موارد مختلف موجود در Figure 1 را بررسی می کنیم .

09:09:52.283919

در این قسمت زمان و یا ساعت دریافت Packet را توسط سیستم شما نشان می دهد .تذکر فقط زمان دریافت را نشان میدهد

شش عدد آخر 283919 همان صدم ثانیه می باشد .

xxx.xxx.xxx.xxx.10459

در این قسمت Source Computer و Source Port مشخص شده .

در شکل بالا سیستمی با آدرس 192.168.1.100 از Port 10459 این Packet را ارسال کرده

>

این علامت نشان دهنده مبدا به مقصد می باشد آدرس سمت چپ به آدرس سمت راست را نشان می دهد .

192.168.1.200.80

همان Destination Computer یا مقصد Packet می باشد و با مشخص شدن Destination Port همراه می باشد .

S

این حرف به ما می گوید که این Packet از نوع SYN می باشد .

[tcp sum ok]

این قسمت مربوط به Checksum می باشد و به ما می گوید که Checksum درست می باشد یا در واقع Valid است .

سیستم ارسال کننده Packet توسط یکسری الگوریتم محاسبه می کند اطلاعاتی را در Checksum و آن را در Header یک Packet

جاسازی می کند سیستم دریافت کننده نیزاز همان الگوریتم ها را برای محاسبه بر روی Checksum استفاده می کند اگر جواب بدست آمده ازهر دو سیستم

یکسان باشد Checksum = Valid در آن وقت سیستم آن Packet را به رسمیت می شناسد.

3153110659:3153110659

این قسمت نمایان کننده تعداد یا عدد مربوط به TCP Sequence Number می باشد و عدد بعد از آنها که داخل پرانتز قرار دارد نمایان کننده

مقدار DATA اریال شده یا Sent شده توسط مبدا است زمانی که این عدد صفر باشد یعنی اینکه Packet شما اولین Packet می باشد همان طور که

در بالا گفتیم این شکل نمایان کننده SYN Packet می باشد پس همیشه اگر این عدد داخل پرانتز صفر باشد به ما می گوید که یک SYN Packet می باشد

تذکر SYN Packet دارای DATA نمی باشد و وفقط Header دارد .

win 32768

در این قسمت سیستم ارسال کننده به مقصد مقدار Buffer اطلاعاتی را که می خواهد دریافت کند از مقصد را مشخص می کند .

یعنی چه زمانی که ACK Packet توسط Server دریافت شود آن وقت می تواند دیگر Data ها را ارسال کند در اینجا این عدد

نشان می دهد که مقدار DATA از چقدر بیشتر نشود این عدد توسط Application که بر روی Client می باشد ارتباط کنترل می شود این عدد بطور مداوم تحت نظر است

در اینجا می توان حدس زد که سیستم ارسال کننده به یک Website اشاره دارد و می خواد ارتباط برقرار کند چون عدد Win 32768 مربوط می شود

به Internet Explorer IE شرکت Microsoft. پس متوجه شدیم که OS سیستم ارسال کننده Windows می باشد .

<mss536>

نمایان کننده مقدار DATA موجود در هر Packet می باشد در اینجا سیستم مقصد نمی تواند بیشتر از 536 Bytes اطلاعات مربوط به

قسمت DATA رادر هر Packet ارسال کند .

برای اطلاعات بیشتردر مورد DATA/PAYLOAD به قسمت TCPIP در Part1 رجوع کنید .

اطلاعات مربوط به DATA هر Packet می تواند تا 1540 Byte رشد کند در Ethernet Networks.

(ttl 63, id 60989, len 44)

TTL نمایان کننده تعداد Hop های یک Packet در میان Router ها می باشد یعنی یک Packet با TTL63 می تواند قبل از رسیدن

به آدرس مقصد 63 Router را رد کند زمانی که یک Router یک Packet را عبور دهد یک TTL از آن کم می کند وقتی یک Packet با ttl1 به یک

Router برسد Router آن Packet را ازبین می برد و ICMP Error ارسال می کند به ارسال کننده آن Packet.

این عمل موجب جلوگیری کردن از پرواز کردن یا عبور و مرور Packet ها در شبکه تا بی نهایت می شود .

در نتیجه هر Packet یک عمری را باید داشته باشد .زمانی که شما یک Linux Computer را Ping کنید ttl=64 این عدد در Windows مساوی با 128

id 60989 این عدد ID می باشد که به IP Header داده شده.برای اینکه یک Packet توسط Router ها تکه تکه می شوند برای دوباره به هم پیوستن آنها باید

هر تکه ID یکسان داشته یاشد .ID های یکسان دویار تشکیل Packet را که تقسیم شده بود را می دهند .Destination Host برای دوباره بازسازی Packet

تکه تکه شده به این ID ها نیاز دارد.

در زیر مشخصات نویسنده این مقاله را مشاهده می کنید .

Don Parker works in a high-assurance environment where he is employed as a network security analyst. He has been a guest speaker at various computer security conferences, and holds the GCIA and GCIH certifications. His Web site is http://www.bridonsecurity.com/.

Microsoft TechNet Magazine (Farsi User Guide)

LastUpdate:2005/05/21

Winteacher.com > Part3 > TechNet Magazine > Decoding TCPIP


Winteacher.com News: Be The Master Of Your Domain Rename With Exchange "Steve Schiemann"

Microsoft TechNet Magazine

2003-2005

Winteacher.com > Part3 > TechNet Magazine > Be The Master Of Your Domain Rename With Exchange

Exchange for Experts
Steve Schiemann
Be The Master Of Your Domain Rename With Exchange
At A Glance:
  • Preparing for a domain rename
  • How to rename a domain
  • Troubleshooting domain migrations

Systems administrators have always assumed that after you deploy a Microsoft Windows forest for your organization, its topology cannot be changed. Without potentially complex and time-consuming reinstalls and domain controller promotion or demotion operations, this was true, at least until the release of Windows Server™ 2003.

You might make such changes for political considerations, mergers, or acquisitions—but you shouldn't take it lightly.

A tool called rendom.exe in the \VALUEADD\MSFT\MGMT\DOMREN directory on the Windows Server 2003 CD, allows you to rename an Active Directory® domain. There are certain limitations, however, which you can read about at Windows Server 2003 Active Directory Domain Rename Tools.

Domain rename operations are a serious business and entail extensive planning and lab work before implement-ing this process in production. Domains can be renamed in place, or you can restructure the existing topology. Rather than provide a step-by-step guide, I'll offer an overview to help you decide if you want to proceed.

Prerequisites

There are some prerequisites for domain rename operations from a Windows Server perspective, and more from a Microsoft® Exchange Server perspective. One specific Windows Server consideration is that Active Directory must be in Windows Server 2003 forest mode. This means that all domain controllers must be running Windows Server 2003, and the forest functional level needs to be changed using the Active Directory Domains & Trusts Microsoft Management Console (MMC) snap-in. Figure 1 shows the old and new domain structures.

Figure 1 Old and New Domain Structures

Unfortunately, from the time Windows Server 2003 was released until the release of Exchange Server 2003 SP1, some users of Exchange Server experienced problems after renaming one or more domains. The Exchange System Attendant service would not start and the domain had to be renamed with the original name, or Exchange Server reinstalled from backup. The Exchange Server 2003 tools download site now has an Exchange Server Domain Rename Fixup tool which allows Exchange Server to function after a domain rename.

When using the Exchange Server Domain Rename Fixup (XDR-fixup) tool, there are a number of Exchange Server prerequisites to consider:

  • All Exchange Servers in the organization must be Exchange Server 2003 SP1 or later. This also means no Exchange Server 5.5 can exist in the org. This includes intra-org Certificate Authorities (CAs) and Site Replication Service; the Active Directory Connector (ADC) service supports only inter-org CAs.
  • Exchange Server 2003 can only be installed on member servers, not on Domain Controllers (DC).
  • Domain rename will not rename the Exchange Server org.
  • Exchange domain rename will not let you merge two Exchange Server orgs (from different forests) into a single Exchange Server org.
  • In other words, XDR-fixup does not replace or extend the functionality of the Windows Server 2003 domain rename tools. XDR-fixup is a script that modifies certain Exchange Server attributes after a domain has been renamed so that Exchange Server can function.

If you meet these prerequisites, have a solid reason for renaming one or more domains in your forest, and like to live on the edge, then the tool combination of rendom.exe and xdr-fixup could be useful to you. Take a look at the sidebar "Renaming a Domain" for the steps involved.

Domain Controller Rename

Quite often companies that rename their domains will also want to rename their domain controller for consistency. If you do rename domain controllers, there are some minor extra steps that must be taken for full Exchange Server functionality. This is a separate process from renaming the domain. After the domain rename, your domain controllers will still have the old domain suffix. If the old domain was Contoso.com, after the random process all domain controllers in the renamed domain will still be called serverx.Contoso.com.

Domain Rename Resources

  • Windows 2003 Rendom Page
  • Windows 2003 Domain Rename Webcast
  • Exchange Server 2003 and Domain Rename Operations
  • Exchange System Attendant Does Not Start After You Rename a Windows
  • How To Use the Exchange Server Domain Rename Fix-up Tool
  • Exchange and Domain Rename Operations
  • When You Rename Your Domain Content Indexing Does Not Work in Exchange
  • How Domain Rename Works
  • Supplemental Steps for Using the Exchange Server Domain Rename Fixup

Member servers will have the new domain suffix, say serverx.NorthwindTraders.com. For more, see "Rename a domain controller" in Windows Server 2003 Server Help and Support Center, which is found at Start | Help | Support.

If you rename DCs, you must point the Recipient Update Service to the newly renamed domain controller. Until you update this configuration, the Recipient Update Service (RUS) will log warnings/errors 8033, 8201, 8284, 8264, and not function correctly. Choosing the domain controller for the RUS is easy using the properties of each RUS. Browse and select the new domain controller name. You can find more detailed instructions for working with the Exchange Recipient Update Service at How to work with the Exchange Recipient Update Service.

If you have statically configured any DSAccess domain controllers via the Directory Access tab from server properties in Exchange System Manager, or directly in the registry, you will have to hardcode them again after they have been renamed. The old fully-qualified domain name (FQDN) of the server will be cached and will need to be updated after you rename domain controllers. The same goes for clients that might have global catalog servers configured in the registry.

Next, check the message queues on each Exchange Server. If messages appear to be stuck, stop the System Attendant service and the SMTP service on the server, and then restart them in any order. Renaming a domain will cause Content (full-text) Indexing to malfunction. However, the Exchange Server MSSearch Administration Tool (which you can download by visiting Downloads for Exchange Server 2003) can be used to resolve this problem.

Troubleshooting

Occasionally the entire rendom/xdr-fixup process doesn't go smoothly. In these cases, the trace file generated by xdr-fixup has been useful. With this output file, you can search for errors such as "Did not convert attribute <attribute>:<attributevalue>". This file output, in combination with an ldifde.exe dump of the Exchange Server organization container, has led to successful Exchange Server functionality after the domain rename process.

And don't forget XDR-fixup—it can make life much easier. Although far from effortless, successful domain renaming is possible as long as certain requirements are met. Check out the additional resources for more information.

Renaming a Domain

One important tool you'll use when renaming a domain is the command-line tool XDR-fixup. You can type "XDR-fixup /?" at a command prompt to see the available switches. The Exchange Server Domain Rename Fix-up.doc (installed with XDR-fixup) gives a brief explanation of these switches. Sample syntax is also shown in the document. The XDR-fixup tool represents just one step in the domain rename process.

First, the tool generates an LDIF file. Next, you import this file manually into Active Directory with ldifde.exe. This will modify certain Exchange Server attributes so they reference the new domain name. You can look at the LDIF file and see exactly what is changed before you perform the import. You definitely want to use the /trace switch when running XDR-fixup since this generates a very useful log file. Finally, verify the changes with XDR-fixup. If the corrections.ldf file is 0 bytes, there are no corrections that need to be made.

The XDR-fixup tool can be run anytime after the rendom /execute step is run, but it's usually run immediately after. Be sure not to use the RTM version of rendom.exe, because it has been updated since then to fix a potential issue with replication. Use the version found at the link I referred to earlier.

The Process

What follows is a view of the entire process performed from a single control station, a server running Windows Server 2003 that is a member of the forest. Steps in your labs and production environments will be more detailed:

  1. Log on as an administrator with full Active Directory and Exchange Server permissions.
  2. Copy Rendom.exe, Gpfixup.exe, and XDR-fixup.exe (all command-line tools) to a folder such as C:\Rendom on the control station. All of the commands related to renaming a domain will be issued from this command prompt at this control station.
  3. Open a command prompt to C:\Rendom and type "rendom /list" (see Figure A).

    Figure A     Saving a Description of the Forest Structure
  4. Open Domainlist.xml in Notepad, and save it as BackupDomainlist.xml.
  5. Edit Domainlist.xml in Notepad to reflect the new domain name.
  6. At the command prompt, type "rendom /upload". Wait for at least 15 minutes (or more, depending on your Active Directory configuration) to allow for a significant amount of Active Directory replication.
  7. The rendom /upload command also generates the state file in the same directory (DcList.?ml) that is used to track the progress of the domain rename operation. Verify in DcList.xml that the state of all DCs is set to "Initial", then type "rendom /prepare".
  8. Verify in DcList.xml that all domain controllers are set to the "Prepared" state and type "rendom /execute".
  9. Check DcList.xml. The state of all domain controllers should be set to "Done" or (hopefully not) "Error".
  10. Type "xdr-fixup /s:backupdomainlist.xml /e:domainlist.xml
    /trace:tracefile.txt /changes:changes.ldf /restore:restore.ldf".
  11. Import the changes noted in changes.ldf by inputting "ldifde -i -f changes.ldf" at the command prompt.
  12. Verify that the changes were made successfully by running "xdr-fixup /trace:tracefile2.txt /verify:changes.ldf /changes:corrections.ldf".
  13. Reboot member servers twice.
  14. Enter "gpfixup /olddns:OldDomainDnsName /newdns:NewDomainDNSName
    /oldnb:OldDomainNetBIOSName /newnb:NewDomainNetBIOSName
    /dc:DcDnsName 2>&1 >gpfixup.log".
  15. Finally, at the command line, type "rendom /clean".

If possible, you should also plan on having staff standing by in all locations where you have Exchange Servers, just in case something goes wrong and you need to perform a hard reset. Better safe than sorry.

Steve Schiemann has been working with Exchange Server in Microsoft Product Support Services for over seven years. He is now on the Exchange Server administration specialty team.

Microsoft TechNet Magazine

LastUpda?e:2005/05/21

Winteacher.com > Part3 > TechNet Magazine > Be The Master Of Your Domain Rename With Exchange


Winteacher.com News - Isolate Servers With IPsec "Joseph Davies" April 2005

2003-2005

Winteacher.com > Part3 > TechNet Magazine > Isolate Servers With IPsec

Security Watch

Joseph Davies

ما دوست داریم و می پسندیم که از طریق ارتباطات توسط Email و دسترسی به فایل ها و Database ها

و Website ها با دیگران ارتباط داشته باشیم .این امر با تکثیر Network ها و تکنولوژی های آن میسر شده.

این حضور داشتن شما یا افراد در چند جا در یک لحظه از شاهکارهای شبکه می باشد اما دارای Risk نیز می باشد .

زمانی که شما در شبکه جهانی در واقع قرار می گیرید از حمله افراد سودجو و مخرب و ویروس ها و دیگر مشکلات در امان نیستید .

این امر کاملا از نظر منطقی روشن می باشد .این افراد 24 ساعته در Internet وجود دارند .پس در اینجا این امر که فقط افراد Valid

یا در واقع افراد مشخص و قابل اعتماد باید به اطلاعات دسترسی داشته باشند بسیار مهم می شود .در اینجا بحث Authentication and Authorization

پیش می آید و انواع Method های آن .

اطلاعات شما باید محافظت بشوند در برابر ابن مشکلات نه تنها در Internet بلکه در Intranet نیز به همین صورت .

برای مثال اطلاعات محافظت می شوند توسط Access Control Security ACLs درلایه Application Layer در شبکه .

این لایه توسط اطلاعات دریافتی از افرار مانند User Name and Password این حفاظت را انجام می دهد.و بعد از دریافت اطلاعات صحیح

اجازه دسترسی به اطلاعات را می دهد .هر چند اطلاعات شما توسط ACL محافظت می شوند اما این امر نمی تواند از اطلاعات شما در برابر دیگر روشهای Attack

و یا حمله که در دنیا وجود دارد در Internet و یا Intranet محافظت کند .افرای که در واقع unauthorized می باشند می توانند با روشهای زیادی به اطلاعاتی

که در شبکه در لایه Application Layer محافظت می شوند حمله کنند و به راحتی از آن عبور کنند .این افراد با برنامه نویسی یا با نرم افزار این کار را می کنند .

برای مقابله با این نوع حمله ها که بسیار خطر ناک می باشد برای شبکه ها یک روش مقابله ایجاد شده که در لایه 3 شبکه یا Internet Layer فعالیت می کند و کاملا

جلوگیری کرده از این نوع حمله ها .این روش توسط Internet Protocol Security IPSec انجام می شود .

توسط این روش سرور یا Client شما از حمله افراد ناشناس و Unauthorized محافظت می شود و تا حالا هیچ هکری در دنیا نتوانسته حتی ادعا کند که توانسته این روش

را Hack کند .چون از نظر منطفی نمی توان این کار را کرد.این روش کاملا جلوگیری کرده از ارتباط این افراد

توسط TCPIP Communication با سرور یا Client شما .

The Process

برای شروع اول شما باید لیستی از سیستم هایی که می خواهید با سروری که توسط IPSec محافظت می شود را تهیه کنید .

اگر از شبکه که افراد عضو Domain می باشند استفاده می کنید استفاده می کنید این لیست باید از افراد عضو Domain ایجاد شود .

پس در مرحله اول یک Document تشکیل می دهید از نام و Account های مورد نظر .سپس شروع به ایجاد و تعریف Policy می کنید

برای برقراری ارتباط آن افراد با سرور مد نظر.

برای این کار از Group Policy موجود بر روی Domain Controller استفاده می شود .این Protocol یعنی IPSec فقط بر روی

سیستم های Win2000, WinXP, Win2003 قابل استفاده می باشد و سیستم های قدیمی را پشتیبانی نمی کند .

فقط کافی می باشد که سیستم ها عضو یک Domain یکسان باشند .البته بصورت End-to-End یا Point-to-Point نیز می توان بین دو WinXP و

یا دو سیستم عامل یکسان انجام داد.شما می توانید سیستم خود را بگونه ای تنظیم کنید که با یک یا چند سیستم فقط در شبکه از طریق IPSec ارتباط برقرار کند و بادیگر

سیستم ها ارتباط برقرار نکند .

این سرویس یا Protocol از سیستم هایی که از طریق آن با یکدیگر ارتباط برقرار می کند محافظت می کند و نیز از TCPIP Traffic بین آنها نیز

محافظت می کند که این شاید Advantage این سرویس نصبت به دیگر روشهای محافظت می باشد .

روشهای دیگری مانند SSL وجود دارد برای محافظت از حمله افراد این روش از اطلاعات Authentication بین مبدا و مقصد بخوبی محافظت

می کند در شبکه اما فقط از این اطلاعات می تواند محافظت کند و نمی تواند از ترافیک ردوبدل شده میان مبدا و مقصد محافظت کند .

SSL از Encryption برای محافظت Authentication Data استفاده می کند .

Benefits of Server Isolation

سرورهایی که توسط IPSec محافظت می شودن ترافیک Incoming آنها دارای محدودیت هایی می شود و فقط سیستم هایی را

که توسط این Protocol برسمیت می شناسد و همچنین عضو Domain می باشند اجازه برقراری ارتباط با سرور را پیدا می کنند .

سیستم هایی مانند Guest و unknown و Stand-alone نمی توانند با سرور ها ارتباط بر قرار کنند .

Group Policy موجود بر روی Domain و نیز وجود Domain موجب می شود سیستم ها و User هایی بتوانند ارتباط

برقرار کنند که توسط این دو ابزار شناسایی شوند .

IPsec مانند یک Firewall عمل می کند و می تواند جلوگیری کند از حمله های متفاوت از طرف Internet و یا Intranet .

البته این روش سازگاری دارد با دیگر روشهای نرم افزاری و سخت افزاری برای محافظت شبکه و مشکلی بوجود نمی آورد و فقط همان طور

که گفته شد به هر کسی اجازه نمی دهد که از طریق Incoming سیستم اطلاعات خودش را وارد کند و محدودیت برای سیستم ایجاد می کند در مورد

بر قراری ارتباط با هر چیزی در شبکه.

اگر سیستمی یا فردی بخواهد با سیستمی که توسط IPSec محافظت می شود ارتباط برقرار کند اول باید به Domain وصل یا Joined شود .

وجود این Policy افراد را دلگرم می کند برای مثال سرور های E-mail موجود در شبکه بعد از اینکه توسط این سرویس محافظت بشوند دیگر

نمی توانند سرویس دهی کنند به سیستم های خارج از شبکه یا Domain در واقع سیستم های UnKnown نمی توانند به Email ها دسترسی

داشته باشند و برای دسترسی آن فرد باید توسط یک سیستمی که به Domain وصل شده Email خود را چک کند .دیگر منفعت IPSec همان طور

که گفته شد محافظت ار ترافیک شبکه می باشد .این ترافیک توسط یک سری روشها کد گذاری شده و Encrypt می شوند این کار موجب می شود

که یک Packet در زمان عبور از شبکه توسط هیچ سیستمی یا فردی نتواند Modify و یا Read/Write شود.فقط سیستم مبدا و مقصد می توانند

این Packet ها را Decode کنند .این روش موجب می شود افرای که ترافیک شبکه شما را زیر نظر دارند و Monitor می کنند نتوانند این Packet ها

را Decode کنند و یا از محتویات اطلاعات ردوبدل شده نمی توانند سردربیارند.

IPSec از Application هایی که در لایه Application Layer عمل Authentication را انجام می دهد نیز محافظت می کنند چون خود

این برنامه ها قدرت محافظت از خود را ندارند .

IPSec فواید دیگری نیز دارد مانند جلوگیری کردن از حمله IP Spoofing اگر تمامی ترافیک های شبکه توسط IPSec ایجاد شود این نوع حمله نیز

کارساز نمی باشد به شبکه شما .

IPSec از حمله های مانند data injection, session hijacking نیز جلوگیری می کند .

Configuration of Server Isolation

برای راه اندازی IPSec مراحلی وجود دارد اول وجود یک Domain Controller و دوم Member Computer که باید

مشخص شوند در واقع لیست آنها را Admin باید داشته باشد سوم Group Policy و چهارم IPSec Policy می باشد .

یک Domain Controller و یا ADS ممکن است تشکیل شده باشد از چندین Trust با دیگر Domain ها و... در اینجا

مهم افرای می باشند یا سیستم هایی می باشند که به DC وصل شده اند یا در واقع Joined شده اند .Group Policy مشخص

می کند که کدام افراد و کدام Computer ها جزو گرهی قرار می گیرند که باید از این سرویس استفاده کنند و IPSec Policy نیز

مشخص می کند و تصمیم می گیرد که این Isolation با IPSec چگونه انجام شود برای مثال در IPSec Policy شما

توسط Rule های که ایجاد می کنید مشخص می کنید که چه سیستم هایی چگونه کار کنند با چه الگوریتها و با چه نوع ترافیک چگونه رفتار کنند و ...

در ایجا شما مشخص می کنید که مثلا Secure Traffic را با سیستم های عضو Domain برقرار کنند و با چه سیستم هایی اگر لازم باشد

UnSecure Traffic برقرار کنند یا در واقع اجازه ارتباط از این نوع را بدهند .بعد از ایجاد IPSec Policy آن را باید Active کنید

بر روی Active Directory container ها مانند Site و یا Domain و یا OU های موجود بعد از این کار سیستم های عضو آن Container ها

بصورت Automatic آن IPSec Setting را Download کرده و اجرا می کنند .

بعد از مراحل بالا شما سرور های خود و شبکه خود را با ترافیک IPSec راه اندازی کرده این و دو مورد مهم اول ADS Authentication و دوم

IPSec Policy بخوبی سیستم های شما و سرور شما را از ارتباط غیره قانونی و ارتباط سیستم های خارجی محافظت می کند .فقط سیستم هایی که در IPSec Policy

مشخص شده اند با Server شما ارتباط خواهند داشت .در اینجا شما ممکن است یک سری سیستم ها را معرفی کنید که Secure Traffic داشته

باشند و یک سری سیستم ها را معرفی کنید که Unsecure ترافیک را با سرور بتوانند بر قرار کنند .فقط سیستم هایی که در این دو لیست می باشند

می توانند با سرور ارتباط بر قرار کنند.در اینجا سیستمی که در این دو لیست وجود نداشته باشد Unmanaged Computer نام می گیرد و نمی تواند

با شبکه و سرور و سیستم های آن رابطه بر قرار کند .البته شما می توانید طوری سیستم را Config کنید که فقط ترافیک Secure برقرارکند .

Group-Specific Server Isolation

دسترسی افراد به سرور همیشه برای افراد متفاوت بوده یعنی بعنوان مثال یک Email Server همیشه تمامی افراد به آن

دسترسی باید داشته باشند برای چک کردن Email های خودشان اما یک سرور حسابداری و یا یک سرور که اطلاعات محرمانه دارد همه افراد نباید

به آن دسترسی داشته باشند بلکه افراد خاصی که مثلا عضو یک Subnet و یا یک OU و یا Group خاص می باشند باید به آن Access داشته

باشند این بسیار برای امنیت اطلاعات مهم می باشد .برای بهینه کردن این گروه بندی ها برای دسترسی به سرور های مختلف چندین Step وجود دارد .

اول اینکه شما باید جدا کنید سرور های حساس و مهم را و همچنین Managed Computer هایی که باید به آنها دسترسی داشته باشند توسط IP Address ها

یعنی مثلا سرور حسابداری را با Computer هایی که باید با آن ارتباط بر قرار کنند در یک Subnet جداگانه از کل شبکه قرار دهید .این کار را برای تک تک سرور ها

و سیستم های مرتبط به آنها می توان انجام داد.سپس یک IP-Base Rule جدید برای آن سرور حسابداری و سیستم های مرتبط با آن ایجاد کنید که فقط اشاره کند به

Subnet آنها و ترافیک Secure را تشکیل دهد .این کار را برای تک تک Subnet ها انجام دهید .

این کار اگرچه موجب می شود که شما شبکه های متعدد از نظر منطقی یا فیزیکی ایجاد کنید اما موجب می شود

که User ها فقط بتوانند در محدوده Subnet خود پرسه بزنند و حوزه فعالیتشان مشخص باشد و این مهم می باشد که Admin

بتواند حوزه عملیاتی افراد را در دست داشته باشد و مدیریت کند .

دوم اینکه شما باید از روشهای مختلفی برای Authentication سیستم ها یا Managed Computer ها با سرور ها استفاده کنید.

برای مثال اگر دیگر سروهای شبکه که با IPSec کار می کنند توسط Kerberos عمل Authentication را انجام می دهند شما می توانید

برای سرور حسابداری نیز که توسط IPSec کار می کند دیگر از Kerberos استفاده نکنید برای مثال از Certificate Authority استفاده

کنید برای این کار باید سرویس CA را نصب کنید .در اینجا دیگر افرادی که Certificate آنها برسمیت شناخته شود می توانند به این سرور خاص دسترسی

داشته باشند .

هر دو Method که در بالا گفته شد توسط IPSec پشتیبانی می شود و می تواند بسیار مفید باشد و امنیت شبکه را بسیار بالا برده.

در Windows-Base سیستم ها شما می توانید به غیر از دو مورد بالا از دیگر روش های Authentication استفاده کنید و آن

Access This Computer From the Network می باشد . این روش در IPSec Policy موجود نمی باشد بلکه بر روی

Local Policy وجود دارد .شما می توانید در Local Group Policy این نوع Policy را بر روی تک تک سرور ها ایجاد کنید

برای اینکه مشخص کنید چه افرادی می توانند با سرور شما ارتباط بر قرار کنند از طریق شبکه .

برای شروع این نوع Method شما سه کار یا مرحله زیر را باید انجام دهید .

اول باید مطمن شوید که سرور مد نظر شما که می خواهید از این نوع روش برای Authentication آن استفاده کنید

در IPSec Policy Rule قرار گرفته باشد یعنی این با این سرویس کار کند

دوم یک گروه از نوع Active Directory Security Group ایجاد کنید و تمامی Computer Accounts های که

مد نظر می باشند برای دسترسی به آن سرور را به آن گروه Add کنید .

سوم در Local Policy موجود بر روی آن سرور Policy مد نظر را پیدا کرده و گروه ساخته شده در مرحله دوم را به آن Policy معرفی می کنید.

Computer Configuration\Windows Settings\Security Settings\Local Policies\ User Rights Assignment\Access this computer from the network

For example, for a file server that contains sensitive financial data, add the financial server to the isolated servers IPsec policy, create a ConfidentialFinancial security group, and then add the authorized computer accounts. Next, change the "Access this computer from the network" access right on the financial file server so that it contains only the ConfidentialFinancial security group.By leveraging Active Directory's authentication and Group Policy infrastructure, IPsec server isolation can easily provide an extra layer of protection for sensitive servers. This extra layer ensures that unmanaged computers on your intranet cannot initiate any type of IP-based communications with any isolated servers. With group-specific server isolation, you can specify that managed computers on your network must also belong to a specific Active Directory security group that you designate, further reducing the number of computers that are going to be able to communicate with specific servers that contain sensitive data.

در قسمت زیر مواردی که در بالا شرح داده شد بصورت گام به گام مرور شده با دقت مطالعه کنید .

How Are You Communicating?
A Managed Computer to an Isolated Server
When a managed computer with both Active Directory credentials and domain isolation IPsec policy settings (for example, Computer 1) initiates communication with an isolated server (for example, Server 1), the following occurs:
  1. The initial communication packet being sent by Computer 1 [for example, a TCP Synchronize (SYN) segment destined for the IP address of an e-mail server that is isolated] matches a rule of the active IPsec policy.
  2. Because the rule requires secured traffic to isolated servers, Computer 1 uses IPsec to authenticate itself to Server 1 and to negotiate the use of IPsec protection.
  3. Computer 1 uses its domain credentials to perform IPsec authentication with Server 1.
  4. Computer 1 then uses its IPsec policy settings to negotiate the cryptographic settings for IPsec-protected communication with Server 1.
  5. Computer 1 sends the IPsec-protected initial communication packet (the TCP SYN segment) to Server 1.
  6. Server 1 sends the IPsec-protected response to the initial communication packet [for example, a TCP SYN-Acknowledgement (SYN-ACK) segment], to Computer 1.
  7. Subsequent packets that are sent between Computer 1 and Server 1 are encrypted.

As a result of the IPsec policy and domain membership, managed computers authenticate and IPsec-protect communications to all isolated servers.

An Unmanaged Computer to an Isolated Server

When an unmanaged computer (for example, Computer 2) initiates communication with an isolated server (for example, Server 1), the following occurs:

  1. Because it does not have any IPsec policy settings, Computer 2 sends its initial communication packet (for example, a TCP SYN segment—without encryption) to Server 1.
  2. On Server 1, the initial communication packet sent by Computer 2 matches a rule of its IPsec policy, which requires that the incoming communication be IPsec-protected.
  3. Because the rule does not allow incoming packets without IPsec protection, Server 1 silently discards the TCP SYN segment sent by Computer 2.
  4. Subsequent communication initiation packets sent by Computer 2 to Server 1 are also discarded by Server 1.
  5. Eventually, Computer 2 fails in its communication attempt with Server 1.

As a result of the IPsec policy on Server 1, unmanaged computers that attempt to communicate with an isolated server never receive a response, and therefore cannot connect to them. If a user on an unmanaged computer was able to duplicate the IPsec policy settings of a managed computer, it would still be unable to connect to Server 1 because it would not have a set of valid domain credentials with which to authenticate itself.

An Excepted Computer to an Isolated Server

When an excepted computer (for example, Computer 3) initiates communication with an isolated server (for example, Server 1), the following steps occur:

  1. Because it lacks IPsec policy settings, Computer 3 sends its initial packet (a TCP SYN segment) to Server 1 without IPsec protection.
  2. On Server 1, the initial packet sent by Computer 3 matches a rule of its IPsec policy, which permits unsecured communication to its own IP address from the IP addresses of specific excepted computers.
  3. Server 2 sends a response to Computer 3 without IPsec protection.
  4. Subsequent packets sent between Computer 3 and Server 1 are sent without IPsec protection.

Excepted computers can now communicate with isolated servers without IPsec protection.

در زیر مشخصات نویسنده این مقاله را مشاهده می کنید .

Joseph Davies is a technical writer with Microsoft who has been writing about Windows networking topics for more than ten years. He has written five books for Microsoft Press and is the author of the monthly TechNet Cable Guy column.

Microsoft TechNet Magazine (Farsi User Guide)

LastUpdate:2005/05/21

Winteacher.com > Part3 > TechNet Magazine > Isolate Servers With IPsec


Winteacher.com News - Secure Your Desktops With The New Group Policy Settings In SP2 "Jeremy Moskowitz" April 2005

2003-2005

Winteacher.com > Part3 > TechNet Magazine > Secure Your Desktops With The New Group Policy Settings In SP2

Windows Administration

Jeremy Moskowitz

Service Pack 2 یا همان SP2 برای بالابردن امنیت سیستم XP می باشد .قبل از شروع مقدمه ای در مورد Group Policy باید گفت

برای هدایت کردن سیستم شما می توان از یک سری Policy ها استفاده کرد تا سیاست مد نظر Admin بر روی User ها و Client ها اعمال شود .

این کار توسط GPO یا Group Policy اجرایی می شود .بدلیل اینکه Policy های تعریف شده هر چند دقیقه یکبار Refresh می شوند به همین دلیل

می توان گفت که همیشگی می باشد Policy های تعریف شده تغییر نمی کند .SP2 تقریبا بیش از 600 Policy را به Windows XP شما اضافه کرده

که بسیار مفید می باشند .برای دیدن Policy های موجود در GPO در قسمت Run دستور GPEDIT.MSC را اجرا کنید .

Controlling the Windows XP SP2 Firewall

اولین بمب خبری که بعد از انتشار خبر آمدن SP2 برای XP بسیار صدا کرد را می توان همان Firewall دانست .

در قسمت زیر شما می توانید Policy های مربوط به Firewall را مشاهده کنید این Policy ها را در دو آدرس زیر می توانید بیابید .

Computer Configuration\Administrative Templates\Network\Network Connections\Windows Firewall\Domain Profile

Computer Configuration\Administrative Templates\Network\Network Connections\Windows Firewall\Standard Profile

Figure 1 GPO - Windows XP SP2 Firewall Settings (Standard Profile)

Domain Profile

زمانی که شما به یک Domain Controller وصل می شوید برای عمل Authentication از این نوع استفاده می کنید .

زمانی که بصورت Locally می باشید و به Network خاصی متصل نیستید برای عمل شناسایی و ... از نوع Standard استفاده می شود بدلیل

اینکه در هر یک از این حالتها سیستم از Port های مختلفی برای انواع کارهای خود استفاده می کند برای اطمینان شما می توانید هر دو حالت را تنظیم کنید .

Securing Computer Access to the Internet

دومین مورد جالب در Policy های موجود ایجاد و تعریف Policy برای ارتباطات سیستم با Internet می باشد که آن هم در دو آدرس

وجود دارد برای تعریف کردن .Admin شبکه می تواند توسط برخی از این Policy ها محدودیتهایی برای افراد یا User ها و Client ها

ایجاد کند .برای مثال اگر بخواهید می توانید جلوگیری کنید از Traffic های مختلف ردوبدل شده بین افراد شبکه خود با Internet.

Figure 2 GPO - Internet Communication Settings

مواردی همچون Print کردن اطلاعات موجود در Internet و یا Publish کردن Data بر روی Internet و یا جلوگیری

کردن از ترافیک Automatic Update سیستم ها به روشهای مختلف و غیره که در Figure 2 مشاهده می کنید .

Computer Configuration\Administrative Templates\System\Internet communication Management\Internet Communication Settings

Computer Configuration\Administrative Templates\System\Internet communication Management

مرحله بعدی در امنیت ارتباط با Internet فایل هایی می باشد در Internet که User اقدام به اجرا یا باز کردن آنها می کند .

در قسمت Attachment Manager درجه بندی شده Risk باز کردن فایلهای درون Internet برای مثال فایلهای TXT دارای درجه LOW می باشند

و فایلهای با پسوندهای VBS. و BAT. و REG. دارای درجه HIGH Risk می باشند .

Notify antivirus programs when opening attachments

در این Policy موجود در قسمت Attachment Manager شما می توانید مشخص کنید که سیستم فایلی را که باز می کند توسط Anti-Virus چک شود

درجه Risk آن و اگر دارای Virus بود با آن برخورد کند البته معمولا AntiVirus ها این کار را اتوماتیک می کنند اگر این Policy را Enable کنید سیستم

اتوماتیک این وظیفه را به AntiVirus می دهد اگر Disable کنید این وظیفه را از AntiVirus می گیرد .

User Configuration\Administrative Templates\Windows Components\Attachment Manager

Figure 3 GPO - Attachment Manager

Policy بالا زمانی باید فعال کنید که SP2 توانسته باشد AntiVirus نصب شده بر روی سیستم شما را شناسایی کرده باشد و با آن مشکلی نداشته باشد .

Default risk level for file attachments

Figure 4 GPO - Attachment Manager\Default risk level for file attachments (Explain TAB)

در این Policy در قسمت توضیحات یا Explain TAB شرح داده شده که در هر حالت سیستم چگونه عمل می کند در

رابطه با فایلهای باز شده .

Securing Browser Settings

وجود Pop-Up Blocker در SP2 بر روی Internet Explorer تا حد بسیار زیادی Risk رفتن به سایتهای مختلف را کم کرده .

و همچنین Active X ها تا حد بسیار زیادی تحت کنترل سیستم می باشند .

در Policy که در زیر مشاهده می کنید شما می توانید مشخص کنید که در کدام Zone های مهم زیر فایل های

مربوط به Active X ذخیره شوند و یا نشوند و نیز Run شوند و یا اجرا نشوند و ...

Computer Configuration\Administrative Templates\Windows Components\Internet Explorer\Internet Control Panel\Security Page

User Configuration\Administrative Templates\Windows Components\Internet Explorer\Internet Control Panel\Security Page

Figure 5 GPO - Internet Control Panel\Security Page\Internet Zone

Figure 6 GPO - Internet Zone\Run ActiveX Control and plugins (Explain TAB)

در این جا می توانید شرح چگونگی کار Run ActiveX control and plugins Policy را در Figure 6 مشاهده کنید .

Locating the New Policy Settings

Figure 7 GPO - View Menu - Filtering - (At least Microsoft Windows XP Professional with SP2)

برای مشاهد Policy هایی که با نصب SP2 به Windows XP شما اضافه شده می توانید در زمانی که بر روی Administrative Templates قرار دارید

در منوی View در قسمت Filtering منوی بالا در شکل Figure 7 را مشاهده کنید و گزینه مد نظر همانند شکل را انتخاب کنید .

Because the text within the Group Policy Object editor is not searchable, I would suggest you download the Excel spreadsheet entitled

"Group Policy Settings Reference for .adm Files Included with Windows XP Professional Service Pack 2".

Figure 8 The Group Policy Settings Reference Spreadsheet

As you can see in Figure 8, this spreadsheet contains all policy settings and is easily configured to display only the new ones. Indeed, this spreadsheet contains worksheets which show just the new settings for regular, registry-based policy settings known as administrative (ADM) templates, as well as security settings (non-registry settings). All policy settings are searchable as well, making this a handy resource if you're looking for a specific policy setting but can't locate it in the Group Policy Object editor.

Conclusion

There are tons of new policy settings to help you control Windows XP SP2, so get out there and make your world even more secure! As with anything new, though, be sure to perform thorough tests on a test lab or small segment of users before rolling out into full production.

در زیر مشخصات نویسنده این مقاله را مشاهده می کنید .

Jeremy Moskowitz (http://www.moskowitz-inc.com/) is an MCSE and a Microsoft Most Valuable Professionals MVP in Group Policy. Jeremy is the author of Group Policy, Profiles and IntelliMirror (Sybex, 2004) . He runs http://www.gpanswers.com/, a site for group policy information.

Microsoft TechNet Magazine (Farsi User Guide)

LastUpdate:2005/08/14

Winteacher.com > Part3 > TechNet Magazine > Secure Your Desktops With The New Group Policy Settings In SP2


Winteacher.com News - 10 Easy Ways To Lock Down Your Computer "Derek Melber" April 2005

2003-2005

Winteacher.com > Part3 > TechNet Magazine > 10 Easy Ways To Lock Down Your Computer

Windows Administration

Derek Melber

برای امنیت بیشتر سیستم های عضو یک Domain می توان از GPO موجود بر روی Domain استفاده کرد .برای این کار شما باید Policy مربوط

به Domain را تغییراتی که مد نظر است انجام دهید .البته بصورت Locally نیز می توان بر روی Local Policy هر سیستمی

مانند WinXP,Win2000 انجام داد.

اگرسیستم های شبکه همه از WinXP و یا Win2000 استفاده می کنند و از سیستم های Prewin2k Win95,98 استفاده نمی کنید

بهتر است که بر روی Domain این Policy ها را ایجاد کنید.

تذکر Group Policy نقش مهمی برای جلوگیری کردن از حمله Hacker ها ایفا می کند پس آن را جدی بگیرید .برای درک کامل آن به Help ویندوز

و نیز سایتهای معروف ازجمله سایتهای مربوط به نویسنده این مقاله رجوع کنید .البته بهتر می باشد آخرین Service Pack مربوط به Windows 2003 Server را نصب کنید .

در ویندوز XP شما SP2 را دارید و در Win2000 شما SP4 , SP5 را دارید .با نصب SP های جدید امکانات جدید نیز به Policy های شما اضافه می شود .

در Windows 2003 Server نیز SP1 را دارید .

در اینجا مواردی همچون User Password , User Authentication, Anonymous Access را در GPO بررسی می کنیم .

User Password Security

اگر شما در شبکه برای User ها از Password های مناسب استفاده نکنید .شما نمی توانید از Crack شدن آنها جلوگیری کنید.

در نتیجه Network و Resource ها درون آن دارای امنیت بسیار پایین می شود Admin باید به یک شبکه فدرت و نظم بدهد یکی از

روش های دادن این قدرت به شبکه درست تعریف کردن مبانی اولیه امنیت شبکه می باشد که Policy مربوط یه User Password یکی از آنها

می باشد .برای ایجاد در قسمت GPO بر روی Domain به موارد زیر دقت کنید .

1. Minimum Password Length
Computer Configuration\Windows Settings\Security Settings\Account Policies\Password Policy\Minimum Password Length

این قسمت بسیار مهم می باشد به دو دلیل اول اینکه تعریف می کنید که یک User حتما باید Password داشته باشد یعنی مقدار Value آن مساوی صفر نباشد .

چون اولین تستی که یک Hack-Tools یا Cracker انجام می دهد Password Blank می باشد برای هر User.

دوم اینکه در این قسمت شما بهتر است که حداقل طول یک Password را مشخص کنید بهترین گزینه از 6 کارکتر تا 8 می باشد البته هرچه بالاتر در نظر بگیرید

کار Hacker ها را سختر کرده اید . البته فقط این مورد کافی نمی باشد باید نظم این ده مورد را حداقل رعایت کنید .تذکر بهتر است همیشه Policy ها را قبل

از شروع کار Network تعریف کنید و به User ها آموزش دهید .

2. Maximum Password Age
Computer Configuration\Windows Settings\Security Settings\Account Policies\Password Policy\Maximum Password Age

این Policy مشخص می کند که چه مدت زمانی یک Password می تواند در شبکه فعالبت می کند .این مورد نیز مهم می باشد و کمتر رعایت می شود.

یک Password اگر مدت زمان زیادی بماند و تغییر نکند امکان Crack شدنش نیز درصدش بالا می رود و همچنین امکان

اینکه بیش افراد زیادی لو برود نیز بالا می باشد .

بهترین زمان برای استفاده از یک Password بین 30 تا 60 روز می باشد .شما نباید صبر کنید تا Password شما توسط کسی Hack شود سپس آن را تغییر دهید.

Password age values are 0 = never or 1 – 999 days.

3. Password Complexity
 Computer Configuration\Windows Settings\Security Settings\Account Policies\Password Policy\Password must meet complexity requirements

یک روش برای ایجاد یک Password قوی وجود دارد تا براحتی توسط افراد حدس زده نشود و Hacker برای بدست آوردنش وقت و زمان زیاد لازم داشته باشد و ...

آن روش استفاده از برخی علائم در درون Password می باشد و همچنین استفاده همزمان از اعداد و حروف و پرهیز از استفاده کردن از کلمات معروف و متداول .

With this setting, all passwords must contain a minimum of six characters, use three of the four character types (lower case alpha, upper case alpha, numeric, and special), and may not contain part of the user's account name.

User Login and Authentication

این قسمت بسیار مهم می باشد در این قسمت شما مشخص می کنید که از چه روشی برای عمل Authentication سیستم استفاده کند

اگر بر روی Domain این Policy راایجاد کنید تمام Network شما با این روش Authentication را انجام می دهد .

4. Last User Logged On
Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options\Interactive logon: Do not display last user name

By Default سیستم همیشه نام آخرین User که با آن به Domain وارد شده را نگهداری می کند .

این Policy موجب می شود که این اطلاعات در زمانی که سیستم Boot شده پاک بشود و در زمان Login سیستم

نام User که قبلا باآن به شبکه وارد شده اید را نمایش ندهد زمانی که از یک سیستم چند نفر استفاده می کنند این گزینه مهم می باشد .

5. LAN Manager Authentication Level
Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options\Network Security: LAN Manager authentication level

در این قسمت شما مشخص می کنید که سیستم برای ردوبدل کردن اطلاعات Authentication از چه Protocol هایی استفاده کند و از کدام استفاده نکند.

NTLMV2 و NTLM و چند Protocol دیگر وجود دارد که هریک دارای فوایدی می باشند WinXP از طریق NTLMV2 با دیگر سیستم های Microsoft

ارتباط برقرار می کند NTLMv2 قدرت بیشتری نصبت به دیگر Authentication Protocol ها دارد به همین دلیل بهترین انتخاب می باشد

برای شبکه های Winxp,2000 وWindows 2003 server البته در این قسمت یک گزینه وجود دارد که بالاترین Level امنیتی را ایجاد می کند آن را در زیر مشاهده می کنید

"Send NTLMv2 response only\refuse LM & NTLM."

تذکر زمانی که دو سیستم می خواهند با یکدیگر ارتباط برقرار کنند باید این Policy آنها با یکدیگر سازگار باشد یعنی اگر Host1 از NTLM استفاده

کند و Host2 گزینه Send NTLMv2 response only\refuse LM & NTLM را داشته باشد ارتباط برقرار نمی شود .

6. Do Not Store LAN Manager Hash
Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options\Network Security: Do not store LAN Manager hash value on next password change

تمامی سیستم های Microsoft اطلاعات مربوط به LAN Manager خود را که مربوط به اطلاعات NTLM و موارد دیگر می باشد را در یک Hash با فضای

ذخیره می کنند برای جلوگیری کردن از کم شدن سرعت کار. ذخیره این اطلاعات Risk را بالا می برد چون Crack کردن آن تقریبا نه به سادگی امکان پذیر است این گزینه

موجب می شود که این اطلاعات کد گذاری شده در Hash ذخیره نشوند و درصد Risk را به صفر برساند .سیستم های قدیمی این امکان را نداشتند و

مناسب بودند برای Hacker ها تا از این طریق به سیستم دسترسی پیدا کنند .

User Privileges

در این بخش مواردی که تقریبا Advance می باشند برای امنیت سیستم را بررسی می کنیم .

7. User Privileges Assignment
Computer Configuration\Windows Settings\Security Settings\Local Policies\User Rights Assignment

در این بخش موارد بسیار زیادی وجود دارد تقریبا 40 مورد برای تنظیم که هریک نقش مهمی را ایفا می کند

اگر Locally یک سیستم را تنظیم می کنید یعنی در Local Policy قرار دارید موردی همچون Access this computer from the Network

بسیار مهم می باشد که شما می خواهید از طریق LAN و یا Modem Internet چه افرای اجازه برقراری ارتباط با شما را داشته باشند.و....

برای اطلاعات بیشتر به Help سیستم مراجعه کنید بر روی هر مورد که قرار دارید F1 را بزنید تا Help آن موضوع را در Group Policy مشاهده کنید.

8. Do Not Allow Anonymous Enumeration of SAM Accounts

Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options\Network Access: Do not allow anonymous enumeration of SAM accounts

سابقه نشان داده که Anonymous Users توانسته اند در تمامی سیستم هایی که دارای Windows هسنتد مشکل ایجاد کنند و وارد سیستم

شوند و به اطلاعات SAM دسترسی پیدا کنند این گزینه مانع این مورد می شود و اجازه هیچ گونه دسترسی را به این نوع افراد نمی دهد .

9. Let Everyone Permissions Apply to Anonymous Users
Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options\Network access: Let Everyone permissions apply to anonymous users

اگر این گزینه را Enable کنید anonymous users می توانند با قدرت یک Everyone users به Resource ها سیستم شما

دسترسی داشته باشد پس امنیت بیشتر در این است که این Policy فعال نباشد یعنی Disable باشد

Persistence of GPO Settings

اما از همه Policy ها مهمتر این قسمت می باشد و آن هم پایداری تنظیمات Policy شما و تغییر نکردن آن .

10. Process Settings in a GPO Even if the GPO Has Not Been Changed
 Computer Configuration\Administrative Templates\System\Group Policy\Security policy processing

برای دسترسی به این Policy شما نمی توانید آن را در Local Policy پیدا کنید اما در قسمت Administrative Templates می توانید .

اگر بصورت Locally یک سیستم مثلا WinXP را دارید تنظیم می کنید بعد از 9 مرحله بالا شما توسط دستور GPEDIT.MSC می توانید این Policy را

پیدا کرده و تنظیم کنید .اما این Policy بر روی Domain دردسترس می باشد و می توانید آن را تنظیم کنید . بعد از Enable کردن آن گزینه

Process even if the Group Policy objects have not changed را انتخاب کنید اطلاعات بیشتر درمورد آن را در Explain Tab

می توانید مشاهده کنید .

در زیر مشخصات نویسنده این مقاله را مشاهده می کنید .

Derek Melber manages http://www.auditingwindows.com/, the first dedicated Web site for Windows auditing and security. Derek's new book series on Auditing Windows Security is now available. Online training is available at http://www.auditlearning.org/. Reach him at derekm@braincore.net.

Microsoft TechNet Magazine (Farsi User Guide)

LastUpdate:2005/05/21

Winteacher.com > Part3 > TechNet Magazine > 10 Easy Ways To Lock Down Your Computer


Winteacher.com TechNet - Top Ten Ways To Pump Up IIS Performance "Brien M. Posey " November - December 2005

2003-2006

Winteacher.com > Part3 > TechNet Magazine > Top 10 Ways to Pump Up IIS Performance

Web Administration

Brien M. Posey

اگر شما دارای یک یا چند Website بر روی یک IIS می باشید برای افزایش دادن به سرعت کاری آن بهترین راه Cluster کردن آن می باشد اما این راه کمی پر خرج می باشد

به همین دلیل در این قسمت راه های دیگری که برای افزایش سرعت یک IIS وجود دارد را برسی می کنیم .10 تکنیک برتر را برای بالا بردن سرعت IIS .

If you host one or more Web sites that receive a lot of traffic, IIS performance is important to you. To enhance performance, you could always cluster your IIS servers or buy more bandwidth, but this tends to be a little expensive.
1.Enable HTTP Keep-Alives

یک راه برای بهینه کردن کار IIS شما فعال کردن این گزینه یعنی Http Keep-Alives می باشد که در IIS 6.0 بصورت Default فعال می باشد .

  • How to do it: To enable the HTTP Keep-Alives option, open the IIS Manager and navigate through the console tree to Internet Information Services |<your server>| Web Sites | your Web site. Right-click on your Web site and select the Properties command from the context menu . When you do , you will see the site's Properties sheet see Figure 1.

The Enable HTTP Keep- Alives checkbox is located on the Web Site tab.

Figure 1: Enable Keep-Alives

برای نمایش دادن یک Page موجود در یک Website ممکن می باشد یک صفحه وب دارای چندین عکس و نیز کد Html باشد یعنی هم عکس باشد هم HTML Document

در این حالت یک Client توسط Web Browser خود باید تمامی عکسها و کد Html را بر روی Cache خود Load کند از روی Web Server .

این امر نیازمند زمان می باشد . چون Web Browser یک Connection باید برقرار کند با Web Server اطلاعات را Download کند و سپس Connection را از بین ببرد .

در این میان زمانی که تعداد زیادی Client ارتباط برقرار کنند با یک IIS موجب می شود که IIS برای هر ارتباط یک Connection ایجاد کند اگز این گزینه فعال باشد

موجب می شود که سرور Connection را برای هر Client وقتی برای اولین بار ایجاد می کند نگهداری کند تا اگر File های بعدی نیز Download شد توسط Client از

طریق همان Connection باشد و با این کار Web Server دیگرنیاز ندارد که برای هر Download یک Connection جدید ایجاد کند .

2.Adjust Connection Timeouts

در این قسمت شما می توانید مدت زمان برقراری یک Connection را برای یک IIS مشخص کنید مدت زمان خوب 120 می باشد.

این مقدار کمتر از مقدار مشخص شده در IIS های قبلی می باشد . IIS برای هر Connection مقدار 10kb از Memory را در نظر می گیرد .برای نگهداری

مشخصات و اطلاعات آن Connection.

پس نتیجه می گیریم که هرچه زمان این گزینه کمتر باشد مقدار Memory اشغال شده زود تر آزاد می شود .

و این مورد در زمانی که تعداد Connection ها بسیار زیاد باشند برای یک IIS بسیار مهم می باشد درنتیجه کم کردن زمان آن کمک می کند به آزاد شدن RAM سیستم.

دومین خاصیت آن این می باشد که مقدار کم مدت زمان Connection ها موجب می شود که زمانی که حمله DoS - Denial of Service رخ داد کارایی نداشته باشد یا حد اقل

آسیب را برساند .چون یکی از روش های این نوع حمله ایجاد Connection های بسیار زیاد می باشد با مدت زمان بالا و ....

3.Enable HTTP Compression

راه دیگر برای افزایش سرعت IIS استفاده از Compressing برای فایل هایی می باشد که IIS به آنها سرویس دهی می کند .

این کار موجب می شود که Disk Space بیشتری را صرفه جویی کنید و نیز موجب کم شدن استفاده از Bandwidth شبکه می شود و همچنین کم شدن زمان ردوبدل شدن اطلاعات.

و در نهایت موجب استفاده کمتر از CPU نیز می شود .

استفاده IIS از Compression برای تمامی فایلها یکسان نمی باشد برای مثال در WEB های که از Page های Static استفاده می شود این امر مفید می باشد و کمترین

فعالیت را برای IIS تولید می کند . در زمانی که یک IIS یک Request برای یک Static Page دریافت می کند آن را Compress می کند و به درخواست کنند ارسال می کند .

و در آخر آن Page را که Compress شده در Cache خود نگهداری می کند .زمانی که یک Request دیگر برای آن Page ارسال شود دیگر آن Page را دوباره Compress نمی کند بلکه از

طریق Cache آن را برای درخواست کننده بعدی ارسال می کند .

  • How to do it: To enable HTTP compression, right-click on the Internet Information Services Manager's Web Sites container and select the Properties command from the resulting context menu. When the Web Sites Properties sheet appears, select the Service tab. You can compress static files by selecting the Compress static files checkbox (which enables compression on htm, html, and txt files by default). Likewise, you can compress dynamic pages by selecting the Compress application files checkbox shown in Figure 2 (which enables compression on .asp, .dll, and .exe files by default). You'll also see the option of changing the amount of space consumed by temporary files.

Figure 2: Compress Application Files

اما Dynamic Page رانمی توان Cache کرد به همین دلیل باید IIS در هر زمانی که یک Request دریافت کرد آن را Compress کرده و ارسال کند این تفاوت

بسیار مهم می باشد و باید مورد توجه قرار داد . در نتیجه این نوع WebSite ها نباید از این گزینه استفاده کنند معمولا .

اگر شما از یک CPU باسرعت بالا استفاده می کنید اما از یک BandWidth کم و پایین برخوردار هستید این حالت کاملا برای استفاده از این گزینه مناسب می باشد .

شما می توانید همزمان هم Static Page و هم Dynamic Page را Compress کنید .

برای این کار شما باید مکان Temporary File هر یک را جدا گانه مشخص کنید .

بصورت پیش فرض همیشه مکان این فایلها در windir\IIS Temporary Compressed Files folder می باشد .

و همیشه 95MB برای این قسمت درنظر گرفته شده و اطلاعات اگر بیشتر شود بر روی OldFiles نوشته می شود یا overwrite می شود .

شما می توانید فایلهای با Extensions مربوط به IIS مانند HTM , HTML , TXT و ... را نیز توسط اجرای یک Script که در زیر مشخص شده Compress کنید .

این کار را نیز برای Dynamic Page ها نیز می توان انجام داد .

You can modify the list of file extensions IIS will include in compression. To add one or more file types to the server-wide static compression configuration, open a command prompt and execute the following commands:

c:\inetpub\adminscripts>cscript adsutil.vbs
SET W3SVC/Filters/Compression/Deflate/
HcFileExtensions "htm html txt newext"

c:\inetpub\adminscripts>cscript adsutil.vbs
SET W3SVC/Filters/Compression/gzip/HcFileExtensions
"htm html txt newext"

"Newext" is the extension of the new file type you want to compress. You can add multiple file types separated by spaces.

To remove one or more file types from the server-wide static compression configuration, repeat the previous two commands, leaving out the file type you want to remove.

If you want to add one or more file types to the server-wide dynamic compression configuration, open a command prompt and type the two commands that are shown here:

c:\inetpub\adminscripts>cscript adsutil.vbs
SET W3SVC/Filters/Compression/Deflate/
HcScriptFileExtensions "asp dll exe newext"

c:\inetpub\adminscripts>cscript adsutil.vbs
SET W3SVC/Filters/Compression/gzip/
HcScriptFileExtensions "asp dll exe newext"

Once again, "newext" is the extension of the new file type you want to compress. You can add multiple file types separated by spaces. You will have to restart IIS before compression will take effect.
4.Grow a Web Garden

روش دیگری برای بالا بردن سرعت کار و بهینه کردن کار IIS استفاد از این گزینه می باشد .اولین قسمت مدت زمانی می باشد که یک Connection می تواند بدون استفاده

فعال باشد برای افراد .

در مرحله بعد شما می توانید تعداد Worker Process را نیز مشخص کنید .تعداد نباید زیاد باشد البته بستگی به Application هایی دارد که با IIS کار می کنند.

  • How to do it: You can set the number of worker processes by right-clicking on an application pool and selecting the Properties command from the resulting context menu. The Web garden setting is found on the resulting Properties sheet's Performance tab shown in Figure 3.

Figure 3: AppPool Properties

5.Adjust the IIS Object Cache TTL

Cache موجود در IIS یک TTL دارد که معمولا بر روی 30 ثانیه می باشد و بعد از این مدت آن Cache از بین می رود .اما این مدت زمان همیشه مناسب نمی باشد .

برای مثال در Dynamic Page این زمان زیاد می باشد و باید ttl آن کوتاه نر باشد . در زمانی که سیستم شما دارای Memory کمی میباشد این کم کردن ttl نیز مناصب می باشد

برای آزاد کردن سریع تر Memory.اما زمانی که شما دارای فصای Memory بالا می باشید و نیز از Static Page استفاده می کنید می توانید از TTL بالا استفاده کنید.

برای تغییر TTL شما باید از Registry استفاده کنید :

  • How to do it: Open the Registry Editor and navigate to HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\InetInfo\Parameters. Now, right-click on the Parameters subkey and select the New | DWORD Value commands from the resulting shortcut menus. In the New Value dialog box, enter ObjectCacheTTL. Now, right-click on the value that you just created and select the Modify command. Set the base to Decimal and then enter the new TTL time (in seconds) into the Value Data box. You can set the TTL between 0 (no caching) and 4,294,967,295 (the maximum possible time limit, which indicates unlimited caching).
6.Recycle

یکسری برنامه ها و Code هامی توانند موجب بشوند که Site شما و یا IIS شما دچار مشکل شوند و زمان و سرعت کار Site ویا IIS را بسیار کاهش دهدند این

مورد ممکن می باشد موجب شود که مردم فکر کنند که IIS شما دچار حمله شده و یا در تدارک حمله به سیستم آنها می باشد به دلیل کاهش سرعت جواب گویی و ..

یک راه برای جلوگیری از کاهش سرعت کار IIS استفاده از Recycle می باشد که در AppPool وجود دارد.

  • How to do it: You can access the interface used to control recycling by right-clicking on the application pool that contains the leaky Web application, and selecting the properties command from the resulting shortcut menu. The recycling options exist on the Recycling tab of the AppPool's Properties sheet, as you see in Figure 4.

Figure 4: Recycling Worker Processes

استفاده از Recycle برای خالی کردن Memory پرشده بسیار مفید می باشد همچنین شما می توانید از schedule برای این کار استفاده کنید که زمان های متفاوت

این امر اجرا شود .بصورت پیش فرض هر 29 ساعت Recycle کار می کند شما می توانید این مدت زمان را کاهش دهید و موجب افزایش سرعت کار IIS شوید.

7.Limit Queue Length

زمانی که یک Request به IIS می رسد آن به یک صف اضافه می شود که صف Request ها می باشد .شما می توانید تعداد Request هایی که باید در داخل صف قرار بگیرند

را مشخص کنید . برای معرفی این تعداد همانند Figure 3 شما می توانید در قسمت Request Queue Limit این تعداد را مشخص کنید .

با معرفی تعداد Request ها شما می توانید مطمئن شوید از اینکه درخواست افراد برای IIS در درون صف قرار گرفته تا در زمان متعارف به آنها جواب داده شود.

  • How to do it: To change the request queue length, open the Internet Information Services Manager, right-click on the application pool that you want to adjust the queue length for, and select the Properties command from the resulting shortcut menu. When you do, you will see the AppPool's Properties sheet that you saw in Figure 3.
8.Shift Priority to the Working Set

شما می توانید در این قسمت به Windows فرمان بدهید که از Memory برای System Cache استفاده کند یا برای Program های سیستم .حالت اول Default می باشد یعنی

System Cache شما برای اینکه از Memory برای IIS استفاده بیشتر شود می توانید این گزینه را تغییر دهید به Programs .

  • How to do it: To shift the machine's priority to the working set, open the Control Panel and choose the System option. When the System Properties sheet appears, select the Advanced tab and then click the Settings button found in the Performance section. This will cause Windows to display the Performance Options Properties sheet. Select the Advanced tab and then select the Programs option in the Memory usage section, as shown in Figure 5.

Figure 5: Performance Options

9.Add Memory

اضافه کردن RAM به سیستم نیز روش خوبی می باشد برای بالا بردن کار هر سرویسی مانند IIS و ...

The addition of physical memory is one of the best performance enhancements you can make. To optimize available memory, data is moved back and forth between RAM and disk-based virtual memory in a process known as paging. The more RAM the server machine has, the less paging will occur, and that's good because paging is extremely inefficient and causes the machine to run much slower than it would if everything could fit into RAM. A little paging is normal, even on machines with plenty of RAM, but excessive paging will kill a machine's performance. Not only does the machine have to stop and wait for the paging operation to complete, but the paging operation itself is processor intensive.

In addition to adding memory you can create page files on multiple hard disks. Windows requires your page file to be 1.5 times the size of your system's RAM. However, not all of that space has to exist within a single file. For example, if you have a server with four hard drives and 1GB of RAM, then placing a 384MB page file on each of the four drives would usually be more efficient than placing a 1.5GB page file on a single disk.
10.Use Disk Striping

روش آخر شاید ربطی به IIS نداشته باشد مستقیما اما استفاده از Volume های Dynamic با استفاده از تکنیک نرم افزاری و یا سخت افزای Striping کلا می تواند سرعت

کار Operation System شما را بالا ببرد.

Although disk striping isn't technically an IIS performance tweak, it can go a long way toward helping IIS to be more efficient. Disk striping spans files across multiple hard drives in an effort to achieve the combined performance of multiple drives. For example, if a volume is striped across five physical hard drives, then data can be read and written at approximately five times the speed that it could be if it existed on a single drive, because all five drives are being used simultaneously.

In the real world, you won't get five times the performance by using five drives, because you lose some performance to the overhead of managing multiple drives. Some stripe sets also sacrifice some speed and capacity in order to achieve a degree of fault tolerance.

While including disk striping in your IIS architecture and design can help you achieve performance gains, unfortunately the concept of disk striping and other advanced disk configurations is a bit more complex than I'm able to discuss here. For more information, see the "Using striped volumes" section in Help and Support Center for Windows Server 2003.

در زیر مشخصات نویسنده این مقاله را مشاهده می کنید .

Brien M. Posey is a freelance technical writer who has written over 3,000 articles and written or contributed to 27 books over the last 10 years. Previously Brien served as CIO for a hospital chain. Reach Brien at www.brienposey.com
Microsoft TechNet Magazine (Farsi User Guide)

LastUpdate:2005/12/25

Winteacher.com > Part3 > TechNet Magazine > Top 10 Ways to Pump Up IIS Performance


Winteacher.com TechNet - A Hands-On Guide to Hands-Off Updates with WSUS "Jeremy Moskowitz" November • December 2005

Microsoft TechNet Magazine

2003-2006

Winteacher.com > Part3 > TechNet Magazine > A Hands-On Guide to Hands-Off Updates with WSUS

Patch Management

Jeremy Moskowitz

At A Glance:
  • Planning for a WSUS rollout
  • Installing a WSUS server
  • Setting up notification groups
  • Server hierarchies explained

An essential, though sometimes time-consuming, task for protecting your computing environment is to keep systems current with the latest software updates and patches. To help streamline this process, Microsoft recently released

Windows Server™ Update Services (WSUS), which greatly improves upon its predecessor Software Update Services (SUS). WSUS is a flexible component that can be installed on Windows Server 2003 or Windows® 2000 Server, and lets you deploy Microsoft product updates to systems throughout your network running Windows 2000 Server, Windows Server 2003, Windows XP, and more. In this article, I examine the various configurations that WSUS supports, and look at the features to help you get it up and running quickly.

Choosing a Topology

Before you do anything else, you need to determine precisely how many WSUS servers you'll need to support your enterprise. If you have a single office, you'll most likely only need one server. In a single WSUS server environment, as shown in Figure 1, all clients utilize the same WSUS server to grab their updates
Figure 1 Using a Single Update Server
Whereas SUS dictated that all clients that requested updates from a single server got the same updates, WSUS gives you the ability to specify groups of computers (clients, servers, or a combination of both) that will receive the same updates. In Figure 1, for example, there are three groups defined. The term "groups" can be a little confusing, though?groups in WSUS does not refer to groups defined in Active Directory®. Rather, these groups are simply collections of computers defined within the WSUS environment. I'll explain how to define and configure groups later.

Planning the Installation

Once you have a handle on which topology you'll deploy, you're ready to install your first server. WSUS stores information about known patches in a database. The good news is that you get to choose which database is used to store this information: SQL Server™ 2005, SQL Server 2000, SQL Server 2000 Desktop Engine (MSDE), or SQL Server 2000 Desktop Engine (Windows) (WMSDE), which is available for Windows Server 2003.

For smaller installations, SQL Server may not be the ideal choice if you're only using it for this one task. However, if you already have SQL Server deployed and have SQL expertise, then it's a perfectly viable option. Of the other options, WMSDE does incorporate performance enhancements over MSDE, but in this case they're likely to perform very similarly. WSUS ships with WMSDE, so that's an easy choice for the majority of installations running Windows Server 2003. MSDE can be used if you install WSUS on Windows 2000 Server instead.

Smaller installations or satellite offices often have only one or two Windows-based servers. You might be tempted to just load WSUS on the one server already out in the field. However, before making that decision, be sure to recognize the kinds of loads that machine could be under when you're rolling out an important patch or update.

WSUS is currently capable of delivering updates for four product families: Windows, Office, Exchange Server, and SQL Server. It is also internally architected to deliver additional update types in the future. Service packs for an operating system typically range somewhere between 300 and 500MB. If you have multiple languages to deal with, you have to carve out space for each language as well. All of the patches, service packs, and languages you'll have to support can constitute a huge storage requirement. While WSUS will only download updates as they are needed, you'll still need to plan for long-term growth. Microsoft recommends a minimum of space for potential downloads of at least 10GB. However, I recommend a realistic minimum of about 20GB of space for an average environment.

If you only have one server in a small or branch office, you need to be sure it can handle the space and performance requirements of WSUS when servicing clients for not only regular updates, but larger service pack releases for Windows or Office as well. Additionally, keep in mind that WSUS requires IIS 5.5 or later. You may want to consider a stand-alone installation of IIS dedicated to WSUS, simply to ensure that it doesn't interfere with other production uses of IIS you may have in your environment.

Installing Your First Server

Installing your first server is really a piece of cake. First, make sure that IIS is already installed on the server you choose. You'll need to have Background Intelligent Transfer Service (BITS) 2.0 and Windows HTTP Services (WinHTTP) 5.1 already installed on the machine. (The installer for both can be found through Knowledge Base article 842773.) Also required is The Microsoft® .NET Framework 1.1 SP1.

On my server, I created a 20 GB D: partition on which to load WSUS and store the available updates. At installation time, I was given the option of storing the updates locally, which is recommended. If you don't, every time a patch is needed, clients will have to fetch the patch from the main Microsoft servers.

You are also given the choice to mirror an existing WSUS server. If this is your first WSUS server, you can safely skip this option and click Next. However, if this isn't your first server and you want to create a server hierarchy, you can point your new server toward an existing one to grab all the needed information.

Once you've finished those initial settings, WSUS is ready to go. You can select Options | Synchronization Options to make some major configuration decisions. Here is where you choose where to get your updates (from Microsoft directly, or through another WSUS server) and, under the advanced options, select which languages you'll want to download (see Figure 2). In many cases you can choose to download only updates that match the locale of your server. This is a much more sensible choice for the majority of environments.
Figure 2 Selecting Options
Notification and Groups
WSUS needs to know what mechanism you'll use to let clients know they might have updates waiting for them. If you select Options | Computers Options, you can choose from the two options shown in Figure 3: Use the Move computers task in Windows Server Update Services or Use Group Policy or registry settings on computers. WSUS also calls these options server-side targeting and client-side targeting, respectively.
Figure 3 Finding WSUS Server
For server-side targeting, you'll utilize the Move the selected computer task on the Computers page to organize your client computers into groups. This option is generally meant for organizations with smaller implementations. However, personally, I think the next option, client-side targeting, should be used for implementations whenever possible.

For client-side targeting, you'll perform one of three steps:

  • Create a Group Policy and link it to an Organizational Unit (OU) within Active Directory that contains the client computers or servers
  • Edit the local Group Policy Object on target computers
  • Edit the registry
Each of these three steps has the exact same effect, but utilizing Group Policy within Active Directory allows for the most straightforward and manageable option for larger organizations.

Configuring the clients through Group Policy is quite simple. In fact, if you've previously configured SUS through Group Policy, you're already on the way. The Group Policy settings to configure a client to utilize WSUS are found by selecting Computer Configuration | Windows Components | Windows Update within the Group Policy template.
Figure 4 Update Service Location
While WSUS does bring a handful of additional client-side options, only two are of major concern with regard to architecting your WSUS environment. The policy setting specifying the update service location is shown in Figure 4, and the policy setting that enables client-side targeting is shown in Figure 5.
Figure 5 Client-Side Targeting
Clients tell WSUS which server they want to receive updates from when they get a message from Group Policy explaining which server to report to. This is specified in the Update Service location policy setting, as seen in Figure 4. Simply specify the upstream update server URL in both fields.

Additionally, clients need to know which WSUS group they belong to, which they can also learn through Group Policy. Again, they can relay that information to the update server.

Conclusion

WSUS adds some great new functionality to its predecessor, but the real news is in the increased flexibility that it provides. For example, WSUS allows administrators to choose a topology that makes sense for their organization. In addition, Group Policy and the WSUS group functionality can be used to manage both clients and the methods by which updates are distributed. This kind of custom control makes WSUS an adaptable infrastructure that ensures that your computing environment will always be up to date with the very latest software and fixes.
Hierarchical Configurations

In a single, small-to-mid-size office environment, using a single server and separating computers into a few groups for updating might be the right choice. However, if you have a very large environment with many branch offices, slow WAN links, multiple administrators, and perhaps a little bit of red tape, you might be better off with a hierarchy of servers. A server hierarchy gives admins the ability to direct which clients will utilize which servers. For instance, the clients in a branch office with a slow WAN link would want to use a locally available update server to avoid downloading large service packs across a slow link.

WSUS hierarchies are very flexible and have three main configuration possibilities, as described here. In each case, the configuration involves two server types: upstream servers that connect to Microsoft servers to retrieve updates, and downstream servers that only connect to upstream servers.

Configuration 1: Standard Hierarchy

In this configuration, the downstream servers can only distribute updates if they've been previously approved at the upstream server. This allows for organizations to decide at a high level which patches and updates work for the entire company, but it also allows administrators close to the user populations to determine which subset of those updates is right for them, and when to deliver them.

Configuration 2: Replica Hierarchy

In this configuration, the downstream servers are exact clones of the upstream servers. When an update is approved on the upstream server, the downstream server will also automatically approve it. This configuration allows for centralized administration of all updates and patches, and ensures a uniform deployment approach across the environment. The only difference between the downstream server and upstream server is where the clients are receiving their updates from. Here again, the goal is for clients that have a slow WAN connection back to the main office to be able to use servers close to them.

Configuration 3: Disconnected Hierarchy

With this configuration, there is no ongoing communication between the downstream server and the upstream server. This configuration might be useful on, for example, ships at sea that only receive updates when at port, or perhaps in very secure environments that don't connect directly to the enterprise network. When using a disconnected hierarchy, the approved updates need to be exported from the upstream server, typically through a CD or other removable media. The CD is delivered to the disconnected system and installed on the downstream server.

در زیر مشخصات نویسنده این مقاله را مشاهده می کنید .

Jeremy Moskowitz, MCSE and MVP in Group Policy, runs GPanswers.com, a community forum on Group Policy. He also runs a two-day Group Policy intensive training course. His latest book is Group Policy, Profiles and IntelliMirror, 3rd edition (Sybex, 2005). Contact Jeremy at www.GPanswers.com.

Microsoft TechNet Magazine (Farsi User Guide)

LastUpdate:2006/01/01

Winteacher.com > Part3 > TechNet Magazine > Top 10 Ways to Pump Up IIS Performance


Winteacher.com TechNet - NTFS Permissions Part 2 "Richard Civil" January - February 2006

2003-2006

Winteacher.com > Part3 > TechNet Magazine > NTFS Permissions - Part 2

How IT Works

Richard Civil

مادامی که Security ضروری باشد برای شبکه ... متاسفانه برخی از Administrator ها فکرمی کنند که فقط با داشتن Firewall خوب امنیت ایجاد می شود .

بررسی های مختلف نشان داده که فقط 65 درصد امنیت شبکه را یک Firewall خوب می تواند تامین کند .

سه بخش مهم وجود دارد در امنیت یک شبکه که یک Firewall کمکی به آن نمی تواند بکند و ممکن است که از داشتن Firewall هم مهمتر باشد .

Physical Security

اولین بخش را می توان Physical Security نام برد .

One of the Microsoft 10 Immutable Laws of Security states "If a bad guy has unrestricted physical access to your computer, it’s not your computer anymore." You must ensure that any computer that has sensitive data stored on it is physically secure.

Authentication Method

بخش دوم ما این مورد می باشد که خوب بسیار مهم می باشد .

متاسفانه بسیاری از واحد های کاری دارای Password های بسیار آسان و معمولی می باشند و قوانین حاکم بر آنها منظور Policy های آنها نیز ضعیف می باشد .

پس داشتن Policy های قوی برای Password ها بسیار مهم می باشد اگر بتوان از Password ها سوءاستفاده کرد دیگر نیازی به استفاده از بخش اول نمی باشد.

NTFS Permissions

بخش سوم ما Permissions می باشد .در ابتدا شاید Permission کمی دشوار و سخت بنظر بی آید چون در کنار آن مفاهمی مانند موارد زیر نیز باید درنظر گرفته شود .

file system permissions, share permissions, inherited and direct permissions, effective permissions, ownership, Kerberos, NTLM, Ticket Granting Tickets, Access Tokens, and more

در اینجا سعی می شود بیشتر با این موارد آشنا شد.

Basics of NTFS Permissions

NTFS Permission دارای نوع می باشد Standard Permission و Special Permission.

Standard Permission بر روی یک Folder دارای مواردی همچون Full Control, Modify, Read & Execute, List Folder Contents, Read, and Write می باشد

Special Permission نسبتا زیادتر از نوع Standard می باشد که در جدول موجود در Figure 1 مشاهده می کنید لیست آنها را.

Figure 2: Specifying Where to Apply Permissions

Figure 2: Specifying Where to Apply Permissions

هر دو نوع Standard /Special دارای دو حالت Allow و یا Deny می باشد .

Deny مخالفت می کند با Allow .

If the permissions are inherited, then the Allow and Deny work a bit differently (for more information regarding this topic, see my column in the November-December 2005 issue of TechNet Magazine at How IT works: NTFS Permissions.

So how do you control what objects receive the permissions you assign?

شما می توانید همانند شکل Figure 2 برای هر Folder/File/Subfolder تک تک Permission تعریف کنید البته نیاز به زمان دارد.و یا اینکه برای Users و Groups ها Permission

تعریف کنید .بصورت Default یک Permission به تمامی Subfolder ها و فایلهای درون آنها داده نمی شود یا شما تک تک باید معرفی کنید و با اینکه مانند شکل Figure 2 گزینه

This Folder , Subfolder and files را انتخاب کنید .با این کار بسیار در زمان تعریف Permission صرفه جویی می شود .روش بهتر این می باشد افراد راعضو گروه کنید و سپس از

این روش به آن گروه Permission بدهید برای Folder خاص .اگر در منوی بالا گزینه This folder only را انتخاب کنید Permission جدید فقط بر روی موارد جدید ایجاد شده در شاخه رخ می هد.

اما اگز مانند شکل گزینه را انتخاب کنید به تمامی زیر شاخه ها نیز Permission به ارث می رسد.

در قسمت Apply onto شما مدل های متفاوتی را می توانید انتخاب کنید .

موارد بسیاری مشکل رخ داده که افراد برای یک Share Folder درای Permission های Read/Execute/Write می باشند اما فقط اجازه Read دارند .

این مشکل بسیار راحت حل می شود با مراحل زیر:

  1. Grant the Read & Execute and Write permissions for This folder only (selected in the Apply onto list) to the users you want to have access to the folder.

  2. Grant the Read & Execute permission for the Subfolders and files only to the same users.

  3. Grant the Write permission to the special user Creator Owner.

بااین کار افراد مشخص شده به راحتی می توانند فایل های خود را اضافه کنند و بخوانند ولی فقط سازنده هر فایل می تواند آن را Modify کند

D iscretionary Access Control List (DACL)

در NTFS هر شخص که سازنده هر Object باشد Owner آن می باشد و اختیارات کامل در مورد Object خود دارد.ومی تواند Permission آن را نیز انتخاب کند و تغییر دهد این مدل

را DACL می نامند.

Permission | Description
Full Control | Specifies whether a user has all other permissions for a file or folder.
Traverse Folder/Execute File | For folders, specifies whether a user can move through folders to reach other files or folders. For files, specifies whether a user can run an executable.
List Folder/Read Data | For folders, specifies whether a user can view file names and subfolder names within the folder. For files, specifies whether a user can view data in files.
Read Attributes | Specifies whether a user can view the attributes of a file or folder, such as read-only and hidden.
Read Extended Attributes | Specifies whether a user can view the extended attributes of a file or folder.
Create Files/Write Data | For folders, specifies whether a user can create files within the folder. For files, specifies whether a user can change files or overwrite data.
Create Folders/Append Data | For folders, specifies whether a user can create folders within the folder. For files, specifies whether a user can make changes to the end of the file, but not change, delete, or overwrite existing data.
Write Attributes | Specifies whether a user can change the attributes of a file or folder.
Write Extended Attributes | Specifies whether a user can change the extended attributes of a file or folder.
Delete Subfolders and Files | Specifies whether a user can delete a subfolder or file, even if the Delete permission has not been granted on the subfolder or file.
Delete | Specifies whether a user can delete a file or folder.
Change Permissions | Specifies whether a user can change permissions on a file or folder.
Take Ownership | Specifies whether a user can take ownership of a file or folder.
Figure 1 : NTFS Special Permissions

روش بهتری وجود دارد و آن هم استفاده از Script می باشد .Ownership Script tool یکی از آنها می باشد

You will find instructions for using the File Ownership Script Tool at HOW TO: Use the File Ownership Script Tool (Fileowners.pl) in Windows 2000.

Once you take ownership of the file or folder, the user who created the object cannot change the permissions you set unless, of course, you give them that permission. The next questions are when does the administrator take ownership, and what happens if the user changes the permissions before the administrator takes ownership. There is excellent information at Watching Folder Activity in VB.NET. You will need some programming skills and the Microsoft® .NET Framework installed, as well as Visual Studio® .NET (version 1.0 or later). This site takes you through the steps to create code that can monitor a folder for activity and direct how to respond to that activity. If you combine both of these resources, you can monitor a folder and take ownership automatically as soon as a user creates an item.
Permissions and File Systems

برای مثال اگر شما از Drive D استفاده می کنید برای افراد و Department Files آنها و هر Department تشکیل شده ازافرادی همچون Managers و Workers و Assistance و...

برای شروع سه Global Groups ایجاد کرده برای سه نوع افرادی که در بالا گفته شد .و افراد هر قسمت را به گروه خود اضافه می کنیم .این بسیار بهتر می باشد

که شما Permission را به گروه ها بدهید تا به تک تک افراد .سپس به User Administrator قدرت کامل یعنی Full Control می دهید به Drive D و تمامی Subfolders یعنی تمامی D .

در آخر به گروه های مختلف Permission های خاص هر یک را اضافه کنید همانند Figure 3.

Group | Permissions
Managers | Modify
Workers | Read & Execute, Write
Assistants | Read & Execute
Figure 3 : Group Permissions

برای انجام این کار شما به راحتی می توانید مراحل زیر را انجام دهید .

If permissions have been modified in one of the departmental folders, it’s very easy to restore the permissions you set. To do so, just right-click on the departmental folder and choose Properties. In the properties dialog box, click on the Advanced tab, click the Advanced button, and check Replace permission entries on all child objects with entries shown here that apply to child objects. This will force the departmental folder permissions down the tree and will remove any other permissions. This will even force these permissions on files and folders that have inheritance blocked.

با انتخاب کزینه Replace Permission entries on all child objects with entries shown here apply to child object تمامی Permission ها موجود از بین می روند و Permission جدید شما

جایگزین آنها می شود .

Groups and Permissions

درک صحیح از Groups و استفاده درست از آن در Permission بسیار مهم می باشد برای ایجاد یک Permission خوب و مناسب .

Groups دارای چهار نوع و یا Type می باشد که عبارتند از Local, Domain Local ,Global , universal.

Group Type | Member Scope | Permission Scope
Local | Any domain in the forest | Local machine
Domain Local | Any domain in the forest | Local domain
Global | Local domain | Anywhere in the forest
Universal | Any domain in the forest | Anywhere in the forest

Figure 4 : Group Membership and Permissions

Local Groups در محیط یک Computer فعالیت می کند و در درون یک Member Server و یا یک Workstations قرار دارد .از این گروه فقط می توان برای دادن

Permission به Resource های Local Computer استفاده کرد .اما می تواند Member و یا عضو از هر گروهی در درون Forest داشته باشد .

Domain local Groups در محیط یک Domain فعالیت می کند و برای دادن Permission در این محیط می باشد .و می تواند عضو و یا Member بگیرد از تمامی Domain های یک Forest.

Global Groups می تواند در هرجای یک Forest فعالیت کند و Permission برایش تعریف شود .اما فقط می تواند عضو و یا Member از Local Domain خود بگیرد .

Universal Groups می تواند در هر جای یک Forest فعالیت کند و Permission تعریف کند و می تواند از هر Domain درون Forest عضو و یا Member بگیرد .

در Figure 4 می توانید این چهار نوع را مشاهده کنید .

Microsoft برای Group دو Categories مشخص کرده بنامهای Users Groups / Resource Groups :

Category I - Users Groups

در Categories اول که نام آن Users Groups می باشد دو نوع عمده Global Groups و Universal Groups وحود دارد .

Global Groups درواقع Primary گروه ما می باشد برای User ها یعنی انتخاب اول ما می باشد .در شبکه ما افراد یک Domain را عضو این گروه می کنیم که

می خواهیم این افراد Access داشته باشندبه یک Resource در شبکه .اما زمانی که ما می خواهیم افراد Domain های متفاوتی به یک Resource دسترسی داشته باشند

تک تک Global Groups آن Domain ها را عضو یک Universal Groups می کنیم .

Category II - Resource Groups

Local Groups و Domain Local Groups در این Categories قرار می گیرد .

در اصل شما Permission هر Resource را به Domain Local Groups و یا Local Groups می دهید و در نهایت Global / Universal Groups را به عضویت آن دو درمی آورید یعنی به

دو گروه مربوط به این Categories اضافه می کنید.

برای دادن یک Permission مناسب اول باید Detail را مشخص کرد یعنی نام گروه شما باید مشخص کنند کارآن گروه بصورت واضح باشد .

نام باید مشخص کنند نام Accounts ها و یا عضو آنها و نیز نوع گروه باشد .برای مثال Domain ABC دارای یک Global Groups بنام gg_Accounts_ABC می باشد

در شبکه های بزرگتر پیچیدگی بیشتر می باشد برای این منظور شما باید Permission را به Domain Local Groups بدهید و Global Groups ها را به عضویت

Domain Local Groups درآورید .در اینجا نیز نام گروه بسیار مهم می باشد شما باید نام گروه Domain Local Groups را که ایجاد کرده اید را از دو جزء مهم تشکیل دهید

نام باید نوع گروه و نیز نام Resource که به آن نسبت داده شده را مشخص کند .برای مثال اگر یک Folder بنام Data بر روی یک Server بنام FileSrv1 وجود دارد

و شما فقط Permission - Read به آن گروه داده اید نام گروه می تواند باشد DL_Data_FileSrv1_Read .

نام گروه باید مشخص کننده موارد مهم برای Admin باشد.برای بالا بردن سرعت و کم کردن زمان کار می توانید دیگر افراد که عضو یک Global Groups می باشند را عضو این

گروه که Permission Read دارد کنید تا زمان کمتری برای پیکربندی Permission ها لازم باشد ..

Figure 5 : Effective Permissions for a Particular User

برای مشاهده Property موجود بر روی هر Permission هر فایل و یا Folder می توانید همانند Figure 5 در این قسمت با Select کردن User خاص Permission آن فرد را

بر روی آن Folder/File مشاهده کنید البته فقط می توانید مشاهده کند .برای دیدن این منو مراحل زیر را انجام دهید .

To find the effective permissions for a user to access the property sheet of the file or folder, select the Security tab, click the Advanced button, and then select the Effective Permissions tab. Click the Select button and select the user you want to assess. Click OK and the property sheet will now show you the effective permissions for that user (see Figure 5). You can only read, not change, permissions on the Effective Permissions tab.

Share Permissions

برای دسترسی بصورت Remote دو Permission بنام های Share Permission و NTFS Permission با هم شروع به ارزیابی می کنند که آیا Access وجود دارد یا خیر .

اگر برای یک Share Folder در Share Permission - Full Control و در NTFS Permission - Read باشد دسترسی بصورت Remote به آن فقط دارای Permission Read می باشد .

در واقع می توان گفت کمترین Permission که در هر دو قسمت تعریف شده باشد داده می شود

Sharing Permission | NTFS Permission | Active Permission
Full Control | Read | Only Read
Change | Allow Read-Write | Read-Write
Full Control | Deny Write | Access denied
Full Control | - | Access denied

Figure 6 : Hierarchy of Shared Folders

در Share Permission چیزی بنام ارثبری وجود ندارد و هر Permission مستقل می باشد از دیگر Share Permission ها و مانند NTFS خاصیت ارث بری ندارد .

در مثال اول یک Folder بنام Test folder وجود دارد که در شکل Figure 5 مشاهده می کنید برای آن Permission - Full control در Sharing تعریف شده

زیر شاخه آن نیز دارای Deny Full Control می باشد.

در این حالت در زمان دیدن سیستم شما دو Folder را مشاهده می کنید که به اولی Access دارید ولی به دوم دسترسی ندارید . باید بدانید که Folder Inside Test در داخل Testfolder می باشد

و زیر شاخه آن است ولی هر دو نمایش داده می شود .اگر داخل TestFolder شوید بازهم آن Inside Folder را مشاهده می کنید و باز هم Access ندارید .البته در این حالت برای InsideFolder

هیچ NTFS Permission تعریف نشده.

When I access the computer using a UNC path, I see both TestFolder and InsideTest as top-level shared folders. There is no indication that these are actually nested folders. If I double-click InsideTest, I am denied access, as expected, due to the Deny permission. If I double-click TestFolder and then in the window that opens double-click InsideTest, I have Full Control permission to that folder. I entered the file system through the TestFolder share, so I have the share permission of Full Control throughout that branch of the directory tree (see Figure 7).

In the previous example, the D: drive is being used for departmental files. Each department has managers, workers, and assistants that need specific permissions as well as the administrators who need full control of the entire volume. The administrators group has full control of each drive by default. Inheritance will propagate this to all of the departmental folders, so the NTFS permissions for the administrators group are granted automatically. The root of each drive is also shared as a hidden share (D$ in this case) with administrators having full control. Each departmental folder needs to be shared with department managers getting Change permission, department workers also getting Change permission, and department assistants assigned Read permission.

The first thing I usually do with both share and NTFS permissions is remove the Everyone group. Everyone includes anonymous accounts like Guest and IUSR_computername (the Internet guest account). In Windows NT® and Windows 2000 the Everyone group also includes null sessions. Authenticated Users includes all valid user and computer accounts in the forest, but does not include any guest or anonymous accounts. Most of the time if you want to give permissions to everyone, what you actually mean is Authenticated Users.

Figure 7 : Effective Share Permissions

Permissions and Active Directory
Let’s take a quick look at how the processes of authentication and authorization work in Active Directory®. Windows 2000 and later uses Kerberos, a certificate-based secure protocol, for both of these processes.
TechNet Online Resources

For more information on how NTFS permissions work and details about some handy tools to help you manage NTFS, visit these TechNet Online resources.

How Permissions Work

Not sure of the difference between ACE and ACL? Confused by permissions on shared folders? For details on working with NTFS permissions, read this article.

Planning File Server Security

When protecting your organization's data, it's important to plan ahead. Check out these best practices when designing a security strategy for your file servers.

How Security Descriptors and Access Control Lists Work

Get a detailed overview of how security descriptors and access control lists work in Windows Server 2003, so you can start securing objects individually.

Security Descriptors and Access Control Lists Tools and Settings

There are a number of tools available to help you work with security descriptors and access control lists—some are included with Windows Server 2003 and others can be downloaded as part of the Windows Server 2003 Resource Kit Tools. Here's an overview of some of these apps and what you can do with them.

When a user logs on to a domain, a Ticket-Granting-Ticket (TGT) is created. This ticket contains the security identifiers (SIDs) of the user as well as all groups that the user is a member of, including nested groups. If the user is in 25 global groups which are each in 25 domain local groups, that is a total of 650 SIDs on the TGT. A SID looks something like this: S-1-5-21-3204519953-1226544935-3965933272-1009. The first part of the SID identifies the database to which the account belongs. The last part is the Relative Identifier (RID). The RID of this account is 1009. The RID increments by one for each new account and Active Directory can create literally billions of accounts. The moral of this story is that SIDS can be large and having a TGT containing 650 SIDS will be very large. Most users will have considerably fewer than 650 SIDS on their TGT, but even a small TGT is a fairly substantial object.

The TGT is only part of the story. Every resource a user accesses on a remote computer causes quite a chain of events. Let’s say you try to access \\Computer1 through Explorer. Your computer sends your TGT (with all of the SIDs) to the domain controller with a request to access Computer1. The domain controller verifies the SIDs and puts them on a Session Ticket (ST), also called a Service Ticket, and sends it back to your computer. Your computer sends the ST to Computer1 with the request for access.

Practically speaking, this authentication process means that all of the SIDs hit the network three times for each network access. If you have plenty of bandwidth, this is fine. If you have bandwidth issues, especially when everyone first logs on for the day, consider using local groups instead of domain local groups.

When the ST arrives at the destination, Computer1 extracts the SIDs from the ST and searches the local Security Account Manager (SAM) database and retrieves the SIDs for local groups that the user belongs to. The SIDs of these local groups are added to the Access Token on the computer where they reside. Local groups never hit the wire. The SIDs on the Access Token are measured against the SIDs on the DACL to determine the user’s access level to the requested resource. In the previous example, if I used local groups instead of domain local groups, the tickets would have contained 25 SIDs instead of 650.

Another way to conserve on the number of SIDs on the tickets is to use each domain local group on multiple resources. Unfortunately, security tends to slip when domain local groups are multi-purposed. Say your organization has five administrators and each of these administrators has control of different resources. Administrator Alex creates a domain local group and gives it permission to several resources under her control. The other four administrators do the same. Now this one domain local group has been given access permissions to many resources under different administrators’ control.

Here’s where things come unglued. Some users from a specific department call administrator Alex and complain that they do not have access to one of the resources. Alex solves the problem by adding a global group containing the users in that department to the domain local group that has permissions to the resource. Now those users have access to all of the different resources that each of the administrators have given that domain local group access to. As you can see, it’s just too easy to combine users and groups in ways that affect permissions on many resources unintentionally.

I recommend single-purposing domain local groups (one group for one permission on one resource) unless you have a very organized IT department, or your organization has data that does not require much in the way of security.

Conclusion

Physically securing computers that contain sensitive data and establishing a solid authentication methodology such as smart cards or complex passwords are the first steps toward keeping your network secure. Within your network, you can create a group permissions strategy that works for your organization.

The Microsoft strategy is embodied in the cryptic A-G-DL-P. Accounts go into global groups, which go into domain local groups, which are assigned permissions to resources. This method will work for many organizations. Remember to avoid giving domain local groups permissions for multiple resources, which can circumvent your efforts at more granular control over permissions.

Also remember to carefully apply NTFS and share permissions. Give users the level of access that they need to do their job and no more. Permissions can be inherited through shares, so plan your file system and share strategy accordingly. A little foresight and planning will give you better results further down the road.

در زیر مشخصات نویسنده این مقاله را مشاهده می کنید .

Richard Civil runs Civil Consulting and Training, and is Senior Technical Trainer at New Horizons in Beaverton, OR. A professional trainer since 1992, Richard also holds MCT, MCSE, MCP+I, SCPI, and IC3 certifications. Learn more about Richard at www.rcivil.com.
Microsoft TechNet Magazine (Farsi User Guide)

LastUpdate:2006/01/06

Winteacher.com > Part3 > TechNet Magazine > Top 10 Ways to Pump Up IIS Performance


Winteacher.com TechNet - Get Control of File System Resources with Windows Server 2003 R2 "John Savill" May - June 2006

2003-2006

Winteacher.com > Part3 > TechNet Magazine > Get Control of File System Resources with Windows Server 2003 R2

Windows 2003 Server R2

John Savill

در این بخش به نوضیح ابزار جدید FSRM بر روی Windows server 2003 R2 می پردازیم .

The Cost of Data

استفاده از Data بسیار حجیم و بزرگ نیازمند داشتن فضای بالا بر روی Disk می باشد در نتیجه باید دارای HDD با ظرفیت بالا بود در اینجا نتیجه می گیریم که

داشتن اطلاعات بالا گران می باشد چون نیاز به HardDisk با ظرفیتهای بالا می باشد . زمانی که User ها از ذخیره کردن اطلاعات نامطلوب و یا پرحجم و بی ارزش منع شوند

بصورت خودکار اطلاعات روی شبکه دارای حجم کمتر می شود Microsoft بر روی Windows Server 2003 R2 ابزاری قرار داده تا بتوان با استفاده از آن مدیریت کرد فضای ذخیره اطلاعات

این امر موجب می شود تا بر روی Hard Disk های ارزان نیز که دارای حجم کمتری می باشند نیز مدیریت داشت برای ذخیره شدن اطلاعات .

در این ابزار می توان گزارش گیری کرد از تعداد و نوع فایلها و حجم و ... و نیز می توان Quota تعریف کرد و در آخر می توان Monitoring کرد که چه کسی حق ذخیره چه اطلاعاتی را دارد.

این سه توانایی بسیار کمک می کند به هدف ما برای جلوگیری کردن از پر حجم شدن اطلاعات بی ارزش و ذخیره آنها بر روی Disk.

Reporting

در بخش اول به قسمت Storage Report Management می پردازم در این قسمت می توان گزارش گیری کرد از فضای HardDisk سرورها و ...

Figure 1: FSRM - Storage Report Management

همانند شکل 1 این ابزار از آدرس مشخص شده گزارش می گیرد که در بالا D:\Temp می باشد . این گزارش گیری می تواند از Drive ها باشد و ...

توسط این ابراز می توان مواردی در شکل 2 مشاهده می کنید را مشخص کرد برای گرفتن Report :

در جدول زیر می توانید مواردی را که می توان در گزارش دید مشاهده کنید.

Tabale 1: Windows Server 2003 R2 Storage Reports
Report | Purpose
Duplicate Files | Finds files that share a common size and last modified date. Once identified, this information can be used to reclaim wasted disk space.
File Screening Audit | Scans the screening audit events to find violations of screening policies.
Files by File Group | Finds disk usage by type of file. Can be configured to report on all files or only files of certain types, such as audio and video or e-mail.
Files by Owner | Usage by file owner for all or selected users. Can be configured to report on only certain file name patterns, such as *.mp3.
Large Files | Lists all files above a certain definable size and optionally based on a certain file name pattern.
Least Recently Accessed Files | Lists all files that have not been accessed for a definable number of days, optionally matching a certain file name pattern.
Most Recently Accessed Files | Lists all files that have been accessed within a definable number of days, optionally matching a certain file name pattern.
Quota Usage | Lists all quotas and percent currently used.

Figure 2: FSRM - Storage Report Management - Task Properties

همانند شکل 2 شما می توانید Report خود را با Format هایی مانند HTML, DHTML, XML, CSV, Text ذخیره کنید .

بصورت Default سیستم Report خود را در آدرس SYSTEMDRIVE\StorageReports ذخیره می کند .

در شکل 3 شما می توانید یک نمونه مثال از گزارش را مشاهده کنید .

Figure 3: FSRM - Storage Report Management - Report

برای گزارش گیری می توان از Schedule استفاده کرد این موجب می شود که همیشه از وضعیت فایلها باخبر بود .

می توان Report را بر روی یک Website قرار داد تا بتوان از گزارشها استفاده مفید کرد .

Quotas

استفاده از Quota کمک می کند به جلوگیری کردن از ذخیره شدن اطلاعات بیش از حد معرفی شده برای هر آدرس بر روی سرور .

این تعریف می تواند برای هر User و یا هر Volume باشد .

نکته جالبی که در Quota در FSRM - Quota Management وجود دارد تغییر کار این سرویس از Logical Disk به Physical Disk می باشد .

برای مشخص شدن این نکته مثالی زده می شود اگر یک فایل یا یک Folder که دارای 10MB اطلاعات باشد توسط Compressing فشرده شود در این حالت حجم Physical Disk که این

Folder بعد فشرده سازی پیدا می کند 350KB می شود در اینجا Quota این 350KB را در نظر می گیرد و نه 10MB را و خوب این خود موجب می شود که User ها از Compress کردن

فایلها بیشتر استفاده کنند برای ذخیره اطلاعات بر روی منابع شبکه .

دومین تغییر دراین بخش تعریف Quota برای یک Volume و یا یک Folder می باشد بجای تعریف برای یک User و یا Group .

برای مشخص شدن اینکه بر روی یک Folder و یا Volume چه کسی حق Read/Write دارد باید از NTFS Permission استفاده کرد .

E-mail Address امکان جدید برای ارسال گزارش به افراد از طریق EMAIL یک مورد جدید می باشد در Quota Management می باشد .

Figure 4: Quota Management - Configuring a Quote-Threshold E-Mail Message

در شکل 4 شما می توانید مواردی که می توان برای Email تنظیم کرد تا برای Admin و یا User ارسال شود مشاهده می کنید .

مواردی همچون مشکلات و ..

Event Log این سرویس توانایی ایجاد Log را نیز پیدا کرده ایجاد Warning در Application Event بر روی Event Viewer .

Command توانایی ایجاد و Run کردن Script Command نیز از دیگر توانایی این سرویس می باشد .

Report در آخز نیز این سرویس توانایی ایجاد گزارش از تمامی Quota را دارد . شما می توانید وقتی که User بالای 85 درصد مقدار فضای Quota خود رسید برای User یک

سری Report های مفید را ارسال کنید که نوع و چگونگی ارسال آنها را می توانید از روی Template هایی که موجود می باشد انتخاب کنید .

Figure 5: Quota Management - Configuring a Quote-Templates

در شکل 5 می توانید این Template ها را مشاهده کنید .

برای ایجاد یک Quota شما دو روش را راه برای ایجاد یک Quota دارید یک Create Quota on Path می باشد که برای یک مسیر خاصی این مورد تعریف می شود .

دوم Auto Apply Template می باشد روش دوم یک جور ارث بری می باشد یعنی اینکه Quota بر روی Folder اعمال می شود و بر روی کلیه SubFolder ها نیز که ممکن است وجود

داشته باشد اعمال می شود و نیز اگر New Folder نیز در آن مسیر و یا در SubFolder ها ایجاد شود بر آنها نیز اعمال می شود .

Figure 6: Template and Custom Property

در شکل6 شما می توانید دو نوع را مشاهده کنید .

File Screen

برای دیدن این بخش بر روی File Server Resource Manager FSRM کلیک کنید

Installing

برلی نصب این سرویس همانند شکل 7 می توانید در Control Panel در Add/remove Program > Add Component در بخش زیر این سرویس را پیدا کنید .

Figure 7: Add/remove Program > Add Component

Let's take a look at the four services that make up FSRM:

DataScrn Datascren.sys is a kernel-mode mini-filter file system driver that implements the file screening checks in real time on configured volumes and folders.

Quota Quota.sys is a kernel-mode mini-filter file system driver that implements the quota checks in real time on configured volumes and folders.

SrmSvc Srmsvc.dll is an application-type service that starts automatically on system startup and runs as a standalone process. It is visible as File Server Resource Manager.

SrmReports Srmhost.exe is an application-type service that runs as a standalone process. It can be started manually or when scheduled reports are configured to run. The service is visible as File Server Storage Reports Manager.

The File Server Resource Manager, a Microsoft Management Console (MMC) snap-in, is automatically installed to implement and manage the various facets of the FSRM subsystem. Configuration for FSRM is stored in the System Volume Information\SRM folder for each volume. This configuration is read and processed by the drivers at startup, along with information from the main SrmSvc service once it has started. The configuration is then cached in memory. If the quota or file screen entries change, the SrmSvc service notifies the mini-filter of the new entry set. Likewise, if the quota mini-filter file system driver detects that a folder has been created or deleted, SrmSvc updates any quota entries that may be affected.

Online Resources

  • Managing Disk Quotas in Windows Server 2003 and Windows XP

  • Windows Server 2003 R2 Roadmap

  • Professor Windows—R2 Better than C3-PO

  • Microsoft File Server Resource Manager IT Value Card

You never need to access this system volume information. All configuration is done using the MMC snap-in and the command-line tools. Configuration is backed up by NTBACKUP and other backup utilities that take advantage of the FSRM VSS writer.

Conclusion

The amount of storage space you manage will only continue to grow as your company gathers ever-increasing amounts of data. To cope with this, you need more efficient ways to manage your company's storage infrastructure. FSRM provides new tools that allow you to better understand how storage space is being used throughout your organization, and the capability to better enforce rules to control the use of disk space.

در زیر مشخصات نویسنده این مقاله را مشاهده می کنید .

John Savill is Director of Technical Infrastructure for Geniant. He is a CISSP, a Security and Messaging MCSE on Windows Server 2003, a six-time MVP, and a Krav Maga instructor. He is also the author of Windows Server 2003 Active Directory Design and Implementation (Packt Publishing, 2005).
Microsoft TechNet Magazine (Farsi User Guide)

LastUpdate:2006/06/04

Winteacher.com > Part3 > TechNet Magazine > Get Control of File System Resources with Windows Server 2003 R2


Winteacher.com TechNet - 19 Smart Tips for Securing Active Directory "Sean Deuby" May - June 2006

2003-2006

Winteacher.com > Part3 > TechNet Magazine > 19 Smart Tips for Securing Active Directory

Special Report : Security

Sean Deuby

در این جا Sean سعی کرده تجربه خود را در که در شرکت Intel بدست آورده شرح دهد در مورد امنیت بیشتر در ADS مرحله به مرحله مرور می کنیم :

قبل از انجام این 19 Tips باید در مورد Administrator Groups و Account موارد لازم امنیتی را انجام دهید و نیز در مورد Password آنها و...

1.Document What You Have

اولین مرحله این می باشد که شما باید از Active Directory خود یک Map و یا یک سری Document داشته باشید از Configuration های آن که توسط Admin ایجاد شده .

این کار موجب می شود که شما بدانید در کجاهای AD تغییرات داده اید و در زمان مشکل به کجاها شک کنید برای رفع اشکال و ...

بهترین Document آنهای میباشد که از Forest و Domain آنها شروع شود و به OU ها و Users و Groups و Computer ها برسد البته9مواردی همچون External Trust و

Site Names و Site Link ها ,Subnet Settings و البته Replication و ... نیز نباید فراموش شود و در آخر Policy های هر یک که بسیار مهم می باشد .

دو مورد دیگر وجود دارد یکی List GPOs ها می باشد که بر روی Domain وجود دارد و Configuration های آنها و دوم DNS و Configuration آن می باشد که توسط

دستور DNSCMD می توان آنها را بدست آورد و در مورد اولی شما می توانید اطلاعات بیشتر و کاملتر را در صفحه مربوطه مشاهده کنید برای

دیدن اطلاعات بیشتر در مورد GPOs List بر روی GPMC and Generate Reports For All GPOs کلیک کنید

2. Control Your Administration

کنترل کردن Administration در یک Forest شاید کمتر دیده شود بر روی شبکه ها منظور از این بخش استفاده نکردن از یک Admin برای کل Forest می باشد .

بدلیل اینکه کار یک Admin برای یک Forest بسیار سخت می باشد به همین دلیل باید تعداد Admin ها را اگر امکان هست زیاد شود و محدود شود به هر بخش یا OU .

خوب استفاده کردن از Delegation می توان بسار کمک کند برای هر قسمت تا تعداد کاربران که مدیریت می کنند یک Site را بیشتر از یک نفر شود .

مدیریت OU را می توان از طریق Delegation به Supervisor آن OU داد تا مسولیت تغییرات و Configuration آن بر عهده وی باشد زمانی که تعداد OU شما بیش از 10 شود

یک Admin نمی تواند آنها را درست مدیریت کند در طول مدت کاری .

Figure 1: Delegation on GPMC

برای استفاده درست همانند شکل 1 شما می توانید برای مثال بر روی New - Software...Installation GPO در این بخش یعنی Delegation برای گروه خاصی

که قرار است مدیریت یک یا چند OU و Policy های آنها را برعهده گیرند Permission مانند Edit Setting ,Delete, Modify Security را بدهید . سپس آن افراد که ممکن است

یک User معمولی باشد امکان این را دارد که Policy مدنظر را Edit کند و مدیریت آن را بر عهده گیرد .

3. Limit the Number of Administrators

در داخل یک Forest شما نیاز به این دارید که همه چیز دارای حداقل Administrator Account باشد

وجود یک NT 4 بر روی سرور های که دارای Active Directory هستند مانند Windows 2000,2003 یک مشکل و نقطه ضعف می باشد .

زمانی که کلیه DC بر روی شبکه وجود داشته باشد استفاده از کل Forest توسط Admin یکسان می باشد که این با وجود یک سیستم NT 4 ممکن نمی باشد .

4. Test Group Policy Settings

برای اجرا نهایی یک یا چند Policy بر روی شبکه واقعی بهتر می باشد که در محیط آزمایشگاهی اول درستی Policy ها را Test کرده سپس بر روی Network واقعی اعمال کنید

استفاده از سیستم های مجازی مانند Microsoft Virtual Server 2006 و ...

5. Use Separate Administrative Accounts

استفاده از گروه های از Users ها که دارای قدرتی بیشتر از یک User معمولی می باشند و یا یک Admin واقعی می باشد برای هر OU می تواند کمک کند

به هر حال کمتر بودن تعداد Admin برای شبکه مهم می باشد اما به هر حال هر بخش نیاز به افرادی دارد که یک سری کارهای مدیریتی بر روی دیگر User ها انجام می دهند

پس این افراد داری توانایی بیشتر از یک User معمولی می باشند .برای هر OU می توان این افراد را مشخص کرد و در یک گروه قرار داد

و گروه آنها را نیز باید جزو Account Operator Built-In Group قرار داد .

6. Restrict Elevated Built-in Groups

استفاده از این Policy بسیار مفید می باشد در امنیت Group ها و Active Directory . این Policy هر 5 دقیقه گروه معرفی شده را چک می کند تا Member های آن تغییر نکند

این موجب می شود اگر فردی یک Account را به هر دلیلی توانسته باشد عضو یک گروه کند که البته بدون اطلاع Admin می باشد بعد 5 دقیقه User اضافه شده شناسایی شده

و از آن گروه پاک شود .

Figure 2: Restricted Groups Policy on Domain Controller

همانند شکل Figure 2 در Policy مشخص شده بر روی Domain چه Account هایی عضو گروه Administrators می باشند که مانند شکل دو Account زیر می باشد:

1. Enterprise\Secure%root

2. Enterprise\ROOTUS

اگر به هر دلیلی یک User جدید به این گروه اضافه شود بعد از 5 دقیقه پاک می شود اگر بخواهید همان لحظه این Policy رخ دهد باید دستور GPUpdate /Force را اجرا کرد بر روی DC.

درشکل بالا مشاهده می کنید که دو گروه SCHEMA Admins و ENTERPRISE Admins نمی توانند هیچ عضوی دارا باشند .

7. Use a Dedicated Terminal Server for Administrators

استفاده از Terminal Server برای دسترسی Admin ها به سرور های DC یک روش مفید و دارای امنیت بیشتر می باشد استفاده از Policy های مربوطه نیز می تواند کمک کند

برای مثال چند نفر در یک لحظه به سرور Connect باشند و چه توانایی دارند نیز می تواند کمک زیادی کند به Secure کردن DC ها و نیز موجب می شود که نرم افزار های Malware

بر روی سرور به راحتی نصب نشوند کم شدن درصد RISK دسترسی های غیره قانونی بر روی سرور را نیز موجب می شود چون سرور در جای امن بدور از دسترس قرار می گیرد و

توسط Terminal Service کنترل می شود استفاده از روشهای دیگر مانند Screen Saver + PWD می تواند کمک کند به این امنیت .استفاده از Policy: Log on Locally نیز موجب بالا

رفتن امنیت سرور می شود در زمان استفاده از Terminal Server و در آخر استفاده از LDAP Traffic با کمک Encryption میان Admin Client با Server می تواند کمک بسیار زیادی کند .

8. Disable Guest and Rename Administrator Account

این بخش بصورت کامل در صفحه دیگر شرح داده شده برای دیدن آن بر روی Securing Active Directory Administrative Groups and Accounts کلیک کنید .

9. Limit Access to the Administrator Account

محدود کردن دسترسی به سرور با قدرت یک Administrator می تواند نقش مهمی برای امنیت سرور ایفا کند .Microsoft استفاده از حداکثر دو Admin برای یک Domain را مناسب

می داند و نیز استفاده از PWD با قدرت Strong یا قوی که دارای بیش از 8 کارکتر باشد .

روشی وجود داردی برای دادن یک PWD برای Administrator Account و آن هم به این صورت می باشد که یک DC دارای دو Administrator باشد و هر یک دارای یک

Password باشند که حداقل 8 کارکتر باشد و PWD هر یک با نفر دوم متفاوت باشد . در زمان Logon باید هر دو Administrator باشند و هر یک Pass خود را وارد کند.

در نتیجه Administrator Account دارای 16 کارکتر PWD می باشد .

For a good password generator, take a look at www.winguides.com/security/password.php.

10. Watch the DSRM Password

از DSRM PWD در زمان DSRM Mode برای گرفتن یک Backup , Copy از Active Directory Database استفاده می شود .این PWD بر روی هر DC متفاوت می باشد .

DSRM : Directory Service Restore Mode

این PWD نباید Blank باشد چون با داشتن آن می تواند NTDS.DIT که همان ADS Database می باشد را کپی کرد .Update کردن منظم PWD آن در زمان های منظم می تواند کمک کند

به امنیت شبکه و DC . در Windows 2000 Server این کار با داشتن SP2 توسط دستور Setpwd انجام می شد بصورت Locally , Remote در Win 2003 Server این کار توسط

دستور NTDSUTIL انجام می شود .

Windows 2000 Service Pack 2 introduced the SETPWD command (see the Knowledge Base article "Configure Your Server Wizard sets a blank recovery mode password ") to remotely update the DSRM password. The NTDSUTIL command in Windows 2003 has the ability to change it remotely (see " How To Reset the Directory Services Restore Mode Administrator Account Password in Windows Server 2003"). Create a script to run this operation against your DCs, and run it regularly.

11. Enforce Strong Password Rules

استفاده از یک Password با بیش از 6 کارکتر برای مثال (8 کارکتر) و استفاده از کارکتر های مانند %$#@&^)(*!× و اعداد می تواند یک Strong PWD ایجاد کند .

By now, you all know the benefits of strong passwords, but it’s probably too much to expect your users to use them willingly. To help them along, you really should enforce strong password rules in your domain (see " Enabling Strong Password Functionality in Windows 2000 "). You can help your users by suggesting strategies such as the use of passphrases instead of confusing word/number/character combinations.

12. Protect the Service Account's Password

هر سروری که بر روی خود سرویس دهی می کند از طریق Application های متفاوت یک Application Server می باشد نرم افزارهایی که بر روی سرور

عملیتهایی مانند Backup گیری را انجام می دهند را می توان مثال زد .این Application ها برای کار بر روی DC نیاز به یک یا چند Account دارند تا از طریق آنها به منابع شبکه

دسترسی داشته باشند در اصطلاح Account هایی که برای این منظور ایجاد می شوند را Service Account می نامند .SQL نیز از این Account ها استفاده می کند .

Password هایی که برای Account های این Application ها استفاده می شود معمولا ثابت می باشد و نکته مهم و خطر ناک آنها این می باشد که در ADS معمولا این

Account ها دارای Property : Password Never Expire می باشند . کلا داشتن این Property بر روی ADS حتی برای یک Account هم خطرناک می باشد و Risk حمله به آن

Account بالا می باشد. در شکل زیر توسط ابزار MBSA شما می توانید موارد امنیتی Windows را چک کنید که یکی آز آنها PWD Expire می باشد .

Figure 3: Microsoft Baseline Security Analyzer (MBSA 2) and (Policy : Log on as a Service)

استفاده از Policy مانند Deny Log on locally برای Service Account و نیز معرفی آنها در Policy : Log on as a Service می تواند کمک زیادی به Security سرور کند .

13. Make Sure That Each DC Secure Physically

در یک Forest هر Domain دارای یکسری DC می باشد که هر DC یک Copy از NTDS.DIT را بر روی خود دارد یعنی یک کپی از ADS Database را بر روی خود دارد .

Directory Information Tree یا همان DIT Files کلیه اطلاعات Users and Password های آنها را در خود دارد .اگر یک DC از نظر امنیتی در جای مناسب قرار نگیرد و از

طریق یک سارق این قایل Copy شود و در واقع دزدیده شود و سپس توسط برنامه های Hack این فایل مورد حمله قرار گیرد Hacker می تواند بعد از مدتی کلیه User/PWD های

شبکه را پیدا کند و .... در Windows "Longhorn" Server این مورد در نظر گرفته شده و از RODC استفاده می شود .

RODC : Read Only DC

در این نوع DC فایل DIT وجود دارد مانند DC های قدیمی اما اطلاعات PWD را ندارد در خود به همین دلیل RISK دزیده شدن این فایل وجود ندارد عمل Authenticate توسط یک Full DC

دیگر انجام می شود و RODC فقط یک Password Caching می باشد نه بیشتر و Client ها از طریق Full DC شناسایی می شوند ولی از طریق RODC سرویس دهی می شوند .

14. Minimize Unnecessary Services and Open Ports

در SP1 + Windows 2003 Server شما می توانید توسط SCW Security Configuration Wizards سیستم سرور Secure کنید به سادگی .

DoS Denial of Service یک روش حمله بسیار خطرناک برای از کارانداختن Service های سرور می باشد وبرای ADS دو DoS وجود دارد :

1.flood Active Directory with objects

2.flooding the SYSVOL folder with files

flood Active Directory with objects

برای Crash کردن یک ADS Database می توان با بزرگ کردن حجم فایل NTDS.DIT این حمله را انجام داد.زمانی که حجم فایل بزرگتر از حجم Partition خود شود این DoS رخ می دهد .

برای جلوگیری از این حمله می توان از DSMOD Partition , DSMOD Quota استفاده کرد .

flooding the SYSVOL folder with files

روش دوم برای حمله به DC می تواند حمله به SYSVOL Folder باشد .با لبریز شدن فایلها از Boot Partition یک Attacker می تواند DC را Crash کند با Full شدن Partition.

در اینجا نمی تواند از QUOTA استفاده کرد .

روشی وجود دارد برای ایجاد یک فایل خالی بنام Reverse File .شما باساختن این فایل فضایی که مد نظر دارید برای خود بر روی Disk را اشغال می کنید زمانی که Attack

رخ داد و فضای DISK شما Full شد با پاک کردن این فایل آن فضا به Disk شما اضافه می شود . برای این کار می توانید همانند Figure 4 از دستور زیر استفاده کنید :

Syntax: FSUTIL FILE CREATENEW

Figure 4: FSUTIL Command (Reverse File)

15. Make the DC Time Source Secure

چون Active Directory از Kerberos استفاده می کند و به آن وابسته می باشد تفاوت زمان یا Time بین DC ها بسیار مهم و حساس می باشد.

یک DC در یک Forest در آمریکا نباید Time آن با یک DC دیگر در همان Forest اما در اروپا یکی باشد .

By default, the PDC operations master in the root domain is the reference to which all other DCs in the forest look for accurate time. What time source does this DC look to for accurate time? Is it secure?

16. Audit Important Events

موردی که شاید بیشتر Admin ها آن را نادیده می گیرند آن هم توجه کردن به Event Viewer و استفاده از Auditing می باشد .

در Auditing مواردی همچون Logon Failed که مشخص کننده نفوظ نا موفق به Domain می باشد و یا Object Access , Policy Change , Account Management : Succ/Fail

می تواند کمک بسیاری به Admin بکند درشناسایی Attack ها و...

17. Use IPSec

این مورد واقعا نیازی به شرح ندارد چون همه به قدرت IPSEC و توانایی های آن آشنا می باشند .

Many organizations have dragged their feet on the implementation of IPsec because of the complex rules you must build, but it’s relatively easy to implement for inter-DC communication only. For communications from DCs to clients, there are a number of options to consider. Windows Server 2003 DCs by default have SMB signing enabled, which means they sign all their communications to the client to prevent spoofing. Its policy is listed as "Microsoft network server: Digitally sign communications (always)". Be aware of this change when you upgrade, and don’t disable it if you don’t have to.

18. Do Not Store LAN Manager Hash Values (POLICY)

استفاده از این Policy می تواند کمک بسیاری در امنیت Client ها و در نهایت Network داشته باشد در یک Domain.

LAN Manager Hash به سادگی توسط ابزارهای Hack پیشترفته Crack می شوند البته برخی مواقع زمان بر می باشد اما شدنی است .

با این کار Risk را به صفر می رسانیم برای این مورد از حمله .

Send NTLM v2 response only, refuse LM and NTLM استفاده از این Policy نیز کمک می کند به Secure شدن Client ها.

You should try to rid yourself of LM (Lan Manager) password hashes if possible; many password crackers attack the weak LM hash and then deduce the stronger NTLM hash. The policy you need is "Do Not Store LAN Manager Hash Value on Next Password Change". Also consider enabling "Send NTLM v2 response only, refuse LM and NTLM". Most down-level clients can be configured to use NTLMv2. This may not be possible for Active Directory installations in factory environments or other installations where embedded Windows is used. Test these settings carefully because they can break down-level clients. It’s important to remember that these clients not only include Windows NT 4.0 and Windows Me, but also other Server Message Block (SMB)-enabled network clients like network attached storage (NAS) devices, UNIX clients running Samba, or embedded Windows devices like factory station controllers. The Knowledge Base article "Client, service, and program incompatibilities that may occur when you modify security settings and user rights assignments" lists recommendations for most DC security settings and user rights.

19. Do Not Forget Your Business Practice

Handle emergencies and document procedures for facing situations like compromised passwords, general Active Directory attacks, and Active Directory disaster recovery. Microsoft has done much of this work for you in "Best Practice Guide for Securing Active Directory Installations", and "Best Practices: Active Directory Forest Recovery".

در زیر مشخصات نویسنده این مقاله را مشاهده می کنید .

Sean Deuby is a design engineer with Intel Corporation, where he is the senior member of the identity and directory services team. The author of many articles and presentations on Active Directory and Windows Server, this is his third year as a Directory Services MVP with Microsoft.
Microsoft TechNet Magazine (Farsi User Guide)

LastUpdate:2006/06/03

Winteacher.com > Part3 > TechNet Magazine > 19 Smart Tips for Securing Active Directory


Winteacher.com Technet Master Page

2003-2006

Winteacher.com > Part3 > TechNet Magazine Master Page
Winteacher.com
TechNet Master Page
Send This Page
Add to Favorites

Microsoft TechNet Home

Microsoft TechNet Home

Microsoft.com

Microsoft.com

TechNet Magazine Master Page

November - December
Top 10 Ways to Pump Up IIS Performance
A Hands-On Guide to Hands-Off Updates with WSUS

January - February 2006

NTFS Permissions Part 2

Microsoft Links

Microsoft Technet Home
Download CHM Files

Spring 2005

Spring 2005

.

Dec-Nov 2005

Dec-Nov 2005

Microsoft در این قسمت اخبار جدید بخش TechNet خود و نیز مجله مربوط به این بخش را بصورت Online قرار داده.

این قسمت برای Update کردن اطلاعات Admin ها و Developer ها بسیار مفید می باشد .

برای دیدن هر قسمت بر روی Click here آن کلیک کنید .

NOVEMBER • DECEMBER 2005

Microsoft TechNet Magazine (Web Administration)

Top 10 Ways to Pump Up IIS Performance "Brien M. Posey"

These 10 techniques can help you get better performance out of your IIS Web servers without investing in more bandwidth or expensive new hardware. Click here "Language: Farsi"

Brien M. Posey is a freelance technical writer who has written over 3,000 articles and written or contributed to 27 books over the last 10 years. Previously Brien served as CIO for a hospital chain.

Reach Brien at www.brienposey.com.
Microsoft TechNet Magazine (Patch Management)
A Hands-On Guide to Hands-Off Updates with WSUS "Jeremy Moskowitz"

Learn everything you need to know to install, configure, and start using WSUS to manage updates throughout your organization. Click here "Language: EN"

Jeremy Moskowitz, MCSE and MVP in Group Policy, runs GPanswers.com, a community forum on Group Policy. He also runs a two-day Group Policy intensive training course. His latest book is Group Policy, Profiles and IntelliMirror, 3rd edition (Sybex, 2005). Contact Jeremy at www.GPanswers.com.

JANUARY • FEBRUARY 2006
Microsoft TechNet Magazine (How IT Works)
NTFS Permissions Part 2 "Richard Civil"

NTFS Permissions Part 2. Click here "Language: Farsi"

Richard Civil runs Civil Consulting and Training, and is Senior Technical Trainer at New Horizons in Beaverton, OR. A professional trainer since 1992, Richard also holds MCT, MCSE, MCP+I, SCPI, and IC3 certifications. Learn more about Richard at www.rcivil.com.

Microsoft TechNet Magazine (Farsi User Guide)

LastUpdate:2006/01/05

Winteacher.com > Part3 > TechNet Magazine Master Page


Winteacher.com TechNet - NTFS Permissions Part 2 "Richard Civil" January - February 2006

2003-2006

Winteacher.com > Part3 > TechNet Magazine > NTFS Permissions - Part 2

How IT Works

Richard Civil

مادامی که Security ضروری باشد برای شبکه ... متاسفانه برخی از Administrator ها فکرمی کنند که فقط با داشتن Firewall خوب امنیت ایجاد می شود .

بررسی های مختلف نشان داده که فقط 65 درصد امنیت شبکه را یک Firewall خوب می تواند تامین کند .

سه بخش مهم وجود دارد در امنیت یک شبکه که یک Firewall کمکی به آن نمی تواند بکند و ممکن است که از داشتن Firewall هم مهمتر باشد .

Physical Security

اولین بخش را می توان Physical Security نام برد .

One of the Microsoft 10 Immutable Laws of Security states "If a bad guy has unrestricted physical access to your computer, it’s not your computer anymore." You must ensure that any computer that has sensitive data stored on it is physically secure.

Authentication Method

بخش دوم ما این مورد می باشد که خوب بسیار مهم می باشد .

متاسفانه بسیاری از واحد های کاری دارای Password های بسیار آسان و معمولی می باشند و قوانین حاکم بر آنها منظور Policy های آنها نیز ضعیف می باشد .

پس داشتن Policy های قوی برای Password ها بسیار مهم می باشد اگر بتوان از Password ها سوءاستفاده کرد دیگر نیازی به استفاده از بخش اول نمی باشد.

NTFS Permissions

بخش سوم ما Permissions می باشد .در ابتدا شاید Permission کمی دشوار و سخت بنظر بی آید چون در کنار آن مفاهمی مانند موارد زیر نیز باید درنظر گرفته شود .

file system permissions, share permissions, inherited and direct permissions, effective permissions, ownership, Kerberos, NTLM, Ticket Granting Tickets, Access Tokens, and more

در اینجا سعی می شود بیشتر با این موارد آشنا شد.

Basics of NTFS Permissions

NTFS Permission دارای نوع می باشد Standard Permission و Special Permission.

Standard Permission بر روی یک Folder دارای مواردی همچون Full Control, Modify, Read & Execute, List Folder Contents, Read, and Write می باشد

Special Permission نسبتا زیادتر از نوع Standard می باشد که در جدول موجود در Figure 1 مشاهده می کنید لیست آنها را.

Figure 2: Specifying Where to Apply Permissions

Figure 2: Specifying Where to Apply Permissions

هر دو نوع Standard /Special دارای دو حالت Allow و یا Deny می باشد .

Deny مخالفت می کند با Allow .

If the permissions are inherited, then the Allow and Deny work a bit differently (for more information regarding this topic, see my column in the November-December 2005 issue of TechNet Magazine at How IT works: NTFS Permissions.

So how do you control what objects receive the permissions you assign?

شما می توانید همانند شکل Figure 2 برای هر Folder/File/Subfolder تک تک Permission تعریف کنید البته نیاز به زمان دارد.و یا اینکه برای Users و Groups ها Permission

تعریف کنید .بصورت Default یک Permission به تمامی Subfolder ها و فایلهای درون آنها داده نمی شود یا شما تک تک باید معرفی کنید و با اینکه مانند شکل Figure 2 گزینه

This Folder , Subfolder and files را انتخاب کنید .با این کار بسیار در زمان تعریف Permission صرفه جویی می شود .روش بهتر این می باشد افراد راعضو گروه کنید و سپس از

این روش به آن گروه Permission بدهید برای Folder خاص .اگر در منوی بالا گزینه This folder only را انتخاب کنید Permission جدید فقط بر روی موارد جدید ایجاد شده در شاخه رخ می هد.

اما اگز مانند شکل گزینه را انتخاب کنید به تمامی زیر شاخه ها نیز Permission به ارث می رسد.

در قسمت Apply onto شما مدل های متفاوتی را می توانید انتخاب کنید .

موارد بسیاری مشکل رخ داده که افراد برای یک Share Folder درای Permission های Read/Execute/Write می باشند اما فقط اجازه Read دارند .

این مشکل بسیار راحت حل می شود با مراحل زیر:

  1. Grant the Read & Execute and Write permissions for This folder only (selected in the Apply onto list) to the users you want to have access to the folder.

  2. Grant the Read & Execute permission for the Subfolders and files only to the same users.

  3. Grant the Write permission to the special user Creator Owner.

بااین کار افراد مشخص شده به راحتی می توانند فایل های خود را اضافه کنند و بخوانند ولی فقط سازنده هر فایل می تواند آن را Modify کند

D iscretionary Access Control List (DACL)

در NTFS هر شخص که سازنده هر Object باشد Owner آن می باشد و اختیارات کامل در مورد Object خود دارد.ومی تواند Permission آن را نیز انتخاب کند و تغییر دهد این مدل

را DACL می نامند.

Permission | Description
Full Control | Specifies whether a user has all other permissions for a file or folder.
Traverse Folder/Execute File | For folders, specifies whether a user can move through folders to reach other files or folders. For files, specifies whether a user can run an executable.
List Folder/Read Data | For folders, specifies whether a user can view file names and subfolder names within the folder. For files, specifies whether a user can view data in files.
Read Attributes | Specifies whether a user can view the attributes of a file or folder, such as read-only and hidden.
Read Extended Attributes | Specifies whether a user can view the extended attributes of a file or folder.
Create Files/Write Data | For folders, specifies whether a user can create files within the folder. For files, specifies whether a user can change files or overwrite data.
Create Folders/Append Data | For folders, specifies whether a user can create folders within the folder. For files, specifies whether a user can make changes to the end of the file, but not change, delete, or overwrite existing data.
Write Attributes | Specifies whether a user can change the attributes of a file or folder.
Write Extended Attributes | Specifies whether a user can change the extended attributes of a file or folder.
Delete Subfolders and Files | Specifies whether a user can delete a subfolder or file, even if the Delete permission has not been granted on the subfolder or file.
Delete | Specifies whether a user can delete a file or folder.
Change Permissions | Specifies whether a user can change permissions on a file or folder.
Take Ownership | Specifies whether a user can take ownership of a file or folder.
Figure 1 : NTFS Special Permissions

روش بهتری وجود دارد و آن هم استفاده از Script می باشد .Ownership Script tool یکی از آنها می باشد

You will find instructions for using the File Ownership Script Tool at HOW TO: Use the File Ownership Script Tool (Fileowners.pl) in Windows 2000.

Once you take ownership of the file or folder, the user who created the object cannot change the permissions you set unless, of course, you give them that permission. The next questions are when does the administrator take ownership, and what happens if the user changes the permissions before the administrator takes ownership. There is excellent information at Watching Folder Activity in VB.NET. You will need some programming skills and the Microsoft® .NET Framework installed, as well as Visual Studio® .NET (version 1.0 or later). This site takes you through the steps to create code that can monitor a folder for activity and direct how to respond to that activity. If you combine both of these resources, you can monitor a folder and take ownership automatically as soon as a user creates an item.
Permissions and File Systems

برای مثال اگر شما از Drive D استفاده می کنید برای افراد و Department Files آنها و هر Department تشکیل شده ازافرادی همچون Managers و Workers و Assistance و...

برای شروع سه Global Groups ایجاد کرده برای سه نوع افرادی که در بالا گفته شد .و افراد هر قسمت را به گروه خود اضافه می کنیم .این بسیار بهتر می باشد

که شما Permission را به گروه ها بدهید تا به تک تک افراد .سپس به User Administrator قدرت کامل یعنی Full Control می دهید به Drive D و تمامی Subfolders یعنی تمامی D .

در آخر به گروه های مختلف Permission های خاص هر یک را اضافه کنید همانند Figure 3.

Group | Permissions
Managers | Modify
Workers | Read & Execute, Write
Assistants | Read & Execute
Figure 3 : Group Permissions

برای انجام این کار شما به راحتی می توانید مراحل زیر را انجام دهید .

If permissions have been modified in one of the departmental folders, it’s very easy to restore the permissions you set. To do so, just right-click on the departmental folder and choose Properties. In the properties dialog box, click on the Advanced tab, click the Advanced button, and check Replace permission entries on all child objects with entries shown here that apply to child objects. This will force the departmental folder permissions down the tree and will remove any other permissions. This will even force these permissions on files and folders that have inheritance blocked.

با انتخاب کزینه Replace Permission entries on all child objects with entries shown here apply to child object تمامی Permission ها موجود از بین می روند و Permission جدید شما

جایگزین آنها می شود .

Groups and Permissions

درک صحیح از Groups و استفاده درست از آن در Permission بسیار مهم می باشد برای ایجاد یک Permission خوب و مناسب .

Groups دارای چهار نوع و یا Type می باشد که عبارتند از Local, Domain Local ,Global , universal.

Group Type | Member Scope | Permission Scope
Local | Any domain in the forest | Local machine
Domain Local | Any domain in the forest | Local domain
Global | Local domain | Anywhere in the forest
Universal | Any domain in the forest | Anywhere in the forest

Figure 4 : Group Membership and Permissions

Local Groups در محیط یک Computer فعالیت می کند و در درون یک Member Server و یا یک Workstations قرار دارد .از این گروه فقط می توان برای دادن

Permission به Resource های Local Computer استفاده کرد .اما می تواند Member و یا عضو از هر گروهی در درون Forest داشته باشد .

Domain local Groups در محیط یک Domain فعالیت می کند و برای دادن Permission در این محیط می باشد .و می تواند عضو و یا Member بگیرد از تمامی Domain های یک Forest.

Global Groups می تواند در هرجای یک Forest فعالیت کند و Permission برایش تعریف شود .اما فقط می تواند عضو و یا Member از Local Domain خود بگیرد .

Universal Groups می تواند در هر جای یک Forest فعالیت کند و Permission تعریف کند و می تواند از هر Domain درون Forest عضو و یا Member بگیرد .

در Figure 4 می توانید این چهار نوع را مشاهده کنید .

Microsoft برای Group دو Categories مشخص کرده بنامهای Users Groups / Resource Groups :

Category I - Users Groups

در Categories اول که نام آن Users Groups می باشد دو نوع عمده Global Groups و Universal Groups وحود دارد .

Global Groups درواقع Primary گروه ما می باشد برای User ها یعنی انتخاب اول ما می باشد .در شبکه ما افراد یک Domain را عضو این گروه می کنیم که

می خواهیم این افراد Access داشته باشندبه یک Resource در شبکه .اما زمانی که ما می خواهیم افراد Domain های متفاوتی به یک Resource دسترسی داشته باشند

تک تک Global Groups آن Domain ها را عضو یک Universal Groups می کنیم .

Category II - Resource Groups

Local Groups و Domain Local Groups در این Categories قرار می گیرد .

در اصل شما Permission هر Resource را به Domain Local Groups و یا Local Groups می دهید و در نهایت Global / Universal Groups را به عضویت آن دو درمی آورید یعنی به

دو گروه مربوط به این Categories اضافه می کنید.

برای دادن یک Permission مناسب اول باید Detail را مشخص کرد یعنی نام گروه شما باید مشخص کنند کارآن گروه بصورت واضح باشد .

نام باید مشخص کنند نام Accounts ها و یا عضو آنها و نیز نوع گروه باشد .برای مثال Domain ABC دارای یک Global Groups بنام gg_Accounts_ABC می باشد

در شبکه های بزرگتر پیچیدگی بیشتر می باشد برای این منظور شما باید Permission را به Domain Local Groups بدهید و Global Groups ها را به عضویت

Domain Local Groups درآورید .در اینجا نیز نام گروه بسیار مهم می باشد شما باید نام گروه Domain Local Groups را که ایجاد کرده اید را از دو جزء مهم تشکیل دهید

نام باید نوع گروه و نیز نام Resource که به آن نسبت داده شده را مشخص کند .برای مثال اگر یک Folder بنام Data بر روی یک Server بنام FileSrv1 وجود دارد

و شما فقط Permission - Read به آن گروه داده اید نام گروه می تواند باشد DL_Data_FileSrv1_Read .

نام گروه باید مشخص کننده موارد مهم برای Admin باشد.برای بالا بردن سرعت و کم کردن زمان کار می توانید دیگر افراد که عضو یک Global Groups می باشند را عضو این

گروه که Permission Read دارد کنید تا زمان کمتری برای پیکربندی Permission ها لازم باشد ..

Figure 5 : Effective Permissions for a Particular User

برای مشاهده Property موجود بر روی هر Permission هر فایل و یا Folder می توانید همانند Figure 5 در این قسمت با Select کردن User خاص Permission آن فرد را

بر روی آن Folder/File مشاهده کنید البته فقط می توانید مشاهده کند .برای دیدن این منو مراحل زیر را انجام دهید .

To find the effective permissions for a user to access the property sheet of the file or folder, select the Security tab, click the Advanced button, and then select the Effective Permissions tab. Click the Select button and select the user you want to assess. Click OK and the property sheet will now show you the effective permissions for that user (see Figure 5). You can only read, not change, permissions on the Effective Permissions tab.

Share Permissions

برای دسترسی بصورت Remote دو Permission بنام های Share Permission و NTFS Permission با هم شروع به ارزیابی می کنند که آیا Access وجود دارد یا خیر .

در زیر مشخصات نویسنده این مقاله را مشاهده می کنید .

Richard Civil runs Civil Consulting and Training, and is Senior Technical Trainer at New Horizons in Beaverton, OR. A professional trainer since 1992, Richard also holds MCT, MCSE, MCP+I, SCPI, and IC3 certifications. Learn more about Richard at www.rcivil.com.
Microsoft TechNet Magazine (Farsi User Guide)

LastUpdate:2006/01/06

Winteacher.com > Part3 > TechNet Magazine > Top 10 Ways to Pump Up IIS Performance


Winteacher.com Technet Master Page

2003-2006

Winteacher.com > Part3 > TechNet Magazine Master Page
Winteacher.com
TechNet Master Page
Send This Page
Add to Favorites

Microsoft Technet Home

TechNet Magazine Master Page

Spring 2005
Download CHM File 233kb
November - December
Top 10 Ways to Pump Up IIS Performance
A Hands-On Guide to Hands-Off Updates with WSUS

January - February 2006

NTFS Permissions Part 2

Microsoft Links

Microsoft Technet Home
Download CHM Files
Spring 2005
December - November

Microsoft در این قسمت اخبار جدید بخش TechNet خود و نیز مجله مربوط به این بخش را بصورت Online قرار داده.

این قسمت برای Update کردن اطلاعات Admin ها و Developer ها بسیار مفید می باشد .

برای دیدن هر قسمت بر روی Click here آن کلیک کنید .

NOVEMBER • DECEMBER 2005

Microsoft TechNet Magazine (Web Administration)

Top 10 Ways to Pump Up IIS Performance "Brien M. Posey" November • December 2005

These 10 techniques can help you get better performance out of your IIS Web servers without investing in more bandwidth or expensive new hardware. Click here "Language: Farsi"

Brien M. Posey is a freelance technical writer who has written over 3,000 articles and written or contributed to 27 books over the last 10 years. Previously Brien served as CIO for a hospital chain. Reach Brien at www.brienposey.com.

Microsoft TechNet Magazine (Patch Management)

A Hands-On Guide to Hands-Off Updates with WSUS "Jeremy Moskowitz" November • December 2005

Learn everything you need to know to install, configure, and start using WSUS to manage updates throughout your organization. Click here "Language: EN"

Jeremy Moskowitz, MCSE and MVP in Group Policy, runs GPanswers.com, a community forum on Group Policy. He also runs a two-day Group Policy intensive training course. His latest book is Group Policy, Profiles and IntelliMirror, 3rd edition (Sybex, 2005). Contact Jeremy at www.GPanswers.com.
JANUARY • FEBRUARY 2006

Microsoft TechNet Magazine (How IT Works)

NTFS Permissions Part 2 "Richard Civil" January • February 2006

NTFS Permissions Part 2. Click here "Language: Farsi"

Richard Civil runs Civil Consulting and Training, and is Senior Technical Trainer at New Horizons in Beaverton, OR. A professional trainer since 1992, Richard also holds MCT, MCSE, MCP+I, SCPI, and IC3 certifications. Learn more about Richard at www.rcivil.com.
Microsoft TechNet Magazine (Farsi User Guide)

LastUpdate:2006/01/05

Winteacher.com > Part3 > TechNet Magazine Master Page