治標治本：企業內網用戶端防毒記

我們該怎麼辦?總是被動的去清理現場嗎?總是為了這些殺毒軟體也查不出毒的討厭傢伙滿車間跑嗎?現在就教你從源頭上下功夫，從一開始就把用戶端的防毒策略做好，讓自己高枕無憂。

一、使用NTFS格式格式化磁碟分割

很多網管為了Ghost方便，喜歡將系統硬碟格式化成FAT格式。其實從Ghost8.0開始便支援NTFS格式分區的備份與恢複了，比較經典的8.3版的Ghost對NTFS格式分區的支援更加完美，因此無需擔心系統備份與恢複問題。

NTFS格式是微軟NT系列系統開始引進的新的分區格式，提供比FAT更好的效能，並且支援許可權管理，這裡也是推薦NTFS格式的最主要原因，因為後面的一些應用是基於NTFS的許可權之上的。

換個角度看，畢竟NTFS是FAT發展多年後的產物，在技術上更新，效能當然也會更好，相信微軟是沒錯的。 因此強烈建議在安裝系統的時候使用NTFS格式格式化系統硬碟，如果系統已經安裝好了，可以使用Convert命令進行轉換(圖1)。

圖1

二、用Proxy 伺服器上網

如果讓內網所有的電腦都是通過交換器、防火牆、路由器等裝置直接上網，危險性則非常大，且用戶端一多，管理起來就麻煩，雖然可以在防火牆、交換器上設定相應的規則，但也不能保證百密無一疏。

因此在內網增加一台Proxy 伺服器無疑是最佳的解決方案，在交換器或路由器等裝置上設定只允許Proxy 伺服器上網，這樣管理起來就方便多了。另外Proxy 伺服器建使用微軟的ISA來做，不僅起到代理的作用還能做軟體防火牆，設定相應的過濾條件也要方便得多。並且管理的時候只需要管理代理程式伺服器這一台電腦，其他用戶端基本上就不用去管了(圖2)。

圖2

三、禁用Guest賬戶

Guest賬戶常常會成為一些後門程式的“溫床”，並且網上也有很多文章介紹如何通過Guest賬戶得到管理員權限的方法，因此打好安全第一仗，禁用Guest賬戶絕對是毫不手軟的事。

依次進入“控制台→使用者賬戶”，單擊“來賓賬戶”，單擊“禁用來賓賬戶”將來賓賬戶禁用(圖3)。

圖3

四、預設賬戶更名

除了禁用來賓賬戶，如果想讓一些想依賴系統預設賬戶的後門程式徹底失去作用，可以將系統預設的管理員賬戶及來賓賬戶改名，從而讓入侵者找不著北。

運行“gpedit.msc”程式開啟組策略編輯器，依次定位到“電腦配置→Windows設定→安全設定→本地策略→安全選項”，在右側找到“賬戶：重新命名系統管理員賬戶”和“賬戶：重新命名來賓賬戶”這兩項，雙擊開啟，將這兩個賬戶分別改成不易猜測的賬戶名稱(圖4)。

圖4