系統安全，從管理工具開始

系統安全始終是一個大家關注的熱門話題。在這病毒肆虐、黑客橫行的時代，僅僅安裝防火墻和殺毒軟件，并不意味著從此高枕無憂。在很多時候，我們還得借助其他工具來保障系統的安全。Windows系統自帶的管理工具，也能成為我們保障安全的好幫手。

使用事件查看器查找黑客入侵蹤跡

個人計算機遭到黑客的入侵，導致數據丟失、隱私泄密已經不是新鮮事了。黑客常用的一個招數便是，侵入系統后建立一個后門用戶，并將其提升為系統管理員。

那么，我們怎么才能知道，自己電腦有沒有被建立過非法用戶？有沒有并被惡意登錄過？答案就在管理工具里。在管理工具的事件查看器中，我們能夠查看到自己電腦賬戶變動信息。

Step 1 在Windows XP中啟動組策略編輯器，依次展開“計算機配置”→“Windows設置”→“安全設置”→“本地策略”→“ 審核策略”，然后雙擊右側窗格的“審核賬戶管理”，勾選“成功”和“失敗”審核（如圖1）。

Step 2 如果現在懷疑自己的系統被黑客入侵并建立過非法賬戶，打開控制面板的管理工具中的“事件查看器”，選擇“安全性”。在右側窗格檢查“審核成功”事件，很快就可以發現賬戶的變化。比如，筆者就在這些審核事件中發現創建賬戶hacker事件（如圖2）。通過查看其他事件進一步發現該賬戶在創建2秒后被提升為administrators，并在稍后刪除。由于筆者自己從來沒有創建過該用戶，因此可以判定電腦被黑客入侵了，稍后果然發現系統中有盜號木馬。

使用設備管理器查找隱藏病毒

為了逃脫查殺，很多病毒把自己偽裝為系統驅動服務。由于驅動服務加載的優先級最高，而且硬件服務在安全模式也可以加載，因此，一些驅動型病毒很難查殺?，F在借助管理工具中的“設備管理器”，就可以輕松剿殺它們了。

Step 1 在Windows XP中打開管理工具，依次展開“計算機管理”→“系統工具”→“設備管理器”，打開設備管理器后單擊“查看”→“顯示隱藏的設備”。

Step ２ 展開“非即插即用驅動程序”，這里我們就可以看到所有驅動型軟件的服務程序。比如，筆者殺毒軟件檢測發現本機存在名為“SupeCD”的病毒，但是始終無法刪除。展開上述設備后，在這里發現病毒偽裝的驅動服務“SupeCD”，打開該服務切換到“驅動程序”，現在將其啟動類型設置為“已停用”（如圖3）。單擊“驅動程序詳細信息”，我們就可以看到病毒真身是“c:\\windows\\system32\\SupeCD.sys”。

Step 3 重啟電腦，由于病毒服務被設置為“已停用”，重啟后病毒就不會加載?，F在按驅動文件路徑提示刪除病毒即可。

Vista絕招，用防火墻阻止賬戶連接

在Vista中，系統管理工具里增加了“高級安全Windows防火墻”組件，我們可以用它來更好地保護系統。比如，為了方便遠程控制，很多員工使用Vista的遠程桌面來登錄公司電腦。默認情況下，任何人只要知道賬戶名和密碼，都可以通過IP地址訪問登錄。為了防止公司電腦被非法登錄，最好在不影響方便性的基礎上，用防火墻把遠程桌面保護起來。

Step 1 在控制面板打開“系統和維護”→“管理工具”，然后單擊“高級安全Windows防火墻”，打開防火墻的高級設置并切換到“入站規則”（如圖4）。

Step 2 在右側窗口“入站規則”找到“遠程桌面”雙擊打開，在打開的窗口單擊“常規”標簽，將連接設置為“只允許安全連接”。切換到“用戶和計算機”，我們可以設置指定的用戶才能連接該電腦。比如，銷售部統計專用電腦，我們要設置只有統計員才有權遠程連接。假設統計員賬戶是TJY。在授權用戶下單擊“添加”，把TJY用戶添加到允許列表，這樣只有TJY才能遠程連接到這臺電腦，其他員工即使有該臺電腦賬戶和密碼也無法連接（如圖5）。

公司局域網用戶可以切換到“作用域”，設置允許連接的具體IP地址或者指定IP起始范圍。通過高級安全Windows防火墻，可以精確設置允許連接的類型。