事件管理的目標

 

• 盡可能快速還原一般服務。

• 盡可能降低事件對業務的影響。

• 確保事件與服務要求的處理一致且不漏掉任何內容。

• 直接支援最需要資源的地方。

• 提供資訊以支援要最佳化的程序、要減少事件的數目，以及要執行的管理規劃。

功能： 以 ITIL/COBIT 為基礎的管理程序

安全性原則

 

若要建立有效的安全性原則與控制，您必須判斷電腦系統中的弱點並檢視保護這些弱點的安全性原則及控制項。檢視的範圍應包括缺乏原則的領域，並檢查目前的原則。這些領域其中包括：

• 實體電腦安全性原則，如實體存取控制。

• 網路安全性原則 (例如電子郵件和網際網路原則)。

• 資料安全性原則 (存取控制及完整性控制)。

• 緊急應變及災害復原計劃與測試。

• 電腦安全性認知及訓練。

• 電腦安全性管理及協調原則。

• 採購的軟體遵循要求。

功能： 安全性程序

功能： 身分和存取管理

身分和存取管理是一項核心基礎結構最佳化功能，也是在基礎結構最佳化模型中實作多項功能的基礎。下表列出在身分和存取管理中移至標準化層級的高層級挑戰、適用解決方案，以及優點。

挑戰	解決方案	優點
使用者持續收到驗證提示，無法登入 要管理的使用者識別儲存過多 存取資源缺乏一致性 未獲授權存取機密資訊的風險 無法實作遵循政府法規 (沙賓法案、HIPAA 等) 新進員工必須等待才能存取關鍵系統，導致生產力降低 IT 挑戰 提高 有關密碼重設及存取要求的支援工程師成本 缺乏集中化管理的識別、無法清楚掌握身分識別生命週期 孤立帳戶引發安全性風險 不同系統採用不同的身份識別，沒有中央識別儲存機制	專案 實作用戶端驗證的主要目錄服務 實作具備目錄服務觀念的用戶端	業務效益 透過簡化的登入程序提高使用者生產力 管理較少的身分識別儲存，降低管理成本 進展至實作法規遵循 降低使用者帳戶管理成本 IT 優勢 降低支援工程師的工作量 減少數位身分識別 集中化管理身分識別 提高安全性

功能： 身分和存取管理

Windows Server 2008 R2 中 Windows 安全性稽核的新功能

 

Windows Server® 2008 R2 和 Windows® 7 中有許多稽核增強功能，可增加安全性稽核記錄的詳細資料等級，並簡化稽核原則的部署與管理。這些增強功能包括：

• 全域物件存取稽核。在 Windows Server 2008 R2 和 Windows 7 中，系統管理員可以針對檔案系統或登錄，定義全電腦的系統存取控制清單 (SACL)。指定的 SACL 便可自動套用至該類型的每個單一物件。這對於確認電腦上的所有關鍵檔案、資料夾及登錄設定是否已受到保護，以及識別系統資源何時發生問題來說非常有用。
• 「存取原因」報告。這份存取控制項目 (ACE) 清單可提供權限，以做為要允許或拒絕存取物件的決策基礎。這對於記錄權限 (例如，群組成員資格) 以允許或防止發生特殊可稽核事件，非常有用。
• 進階稽核原則設定。有 53 個新設定可用來替代 [本機原則\稽核原則] 底下的 9 個基本稽核設定，讓系統管理員更具體地將目標鎖定在想要稽核的活動類型，並去除會讓稽核記錄難以管理與辨認的不必要稽核活動。

Windows Server 2008 R2 中 Windows 安全性稽核的新功能

智慧卡的新功能

 

智慧卡的新功能

Windows 7 具有智慧卡相關隨插即用的增強支援，以及美國國家標準與技術局 (National Institute of Standards and Technology，NIST) 的個人識別身分驗證 (PIV) 標準。

這表示 Windows 7 的使用者可以透過 Windows Update 使用來自已發佈驅動程式之廠商的智慧卡，而不需要特殊的中介軟體。這些驅動程式的下載方式與 Windows 中其他裝置的驅動程式相同。

將符合 PIV 標準的智慧卡插入智慧卡讀取裝置時，Windows 會嘗試從 Windows Update 下載驅動程式。如果 Windows Update 沒有適當的驅動程式，則會將 Windows 7 所附符合 PIV 標準的迷你驅動程式用於智慧卡。

誰需要使用智慧卡？

想要增強組織電腦 (特別是遠端使用者所用的可攜式電腦) 之安全性的網路系統管理員，將著重於智慧卡隨插即用 PIV 支援可以達成簡化的部署和使用案例。使用者則著重於以安全的方式使用智慧卡來執行重要的商業工作。

Windows Server 2008 R2 及 Windows 7 智慧卡的新功能

安全性稽核

 

適用於: Windows Server 2008, Windows Server 2008 R2

安全性稽核為功能強大的工具之一，可協助維護系統的安全性。請就整體安全性策略來考量，決定適用於您的環境的稽核等級。稽核功能可以識別針對您網路發動的攻擊 (不論其是否成功)，或識別針對在您的風險評估中認為有價值之資源所發動的攻擊。

安全性稽核

加密檔案系統

 

適用於: Windows Server 2008, Windows Vista

加密檔案系統 (EFS) 是 Windows Server® 2008 作業系統中的一種核心加密技術，可加密儲存在 NTFS 磁碟區上的檔案。

加密檔案系統

AppLocker

 

AppLocker 可用於下列案例：

• 協助防止惡意軟體 (惡意程式碼) 和不支援的應用程式影響環境中的電腦。
• 防止使用者安裝及使用未經授權的應用程式。
• 實作應用程式控制原則，滿足組織的安全性原則或規範需求。

適用於 Windows 7 和 Windows Server 2008 R2 的 AppLocker 說明文件

Windows Server 2008 和 Windows Server 2008 R2 的安全性技術的詳細資訊

 

• 授權管理員
  授權管理員是 Microsoft Management Console (MMC) 嵌入式管理單元，有助於提供資源存取的有效控制。
• Windows BitLocker 磁碟機加密
  BitLocker 可讓您加密所有儲存在 Windows 作業系統磁碟區和已設定資料磁碟區上的資料，還可以使用信賴平台模組 (TPM) 協助確保早期啟動元件的完整性。
• …

資訊安全與防護

BranchCache摘要與資源

 

BranchCache 可降低使用者在內部網路的 HTTP 與 SMB 流量消耗的 WAN 頻寬，以及增進使用者經驗。

BranchCache 使用 HTTPS 與 IPsec 加速傳遞加密的內容，並要求內容伺服器先驗證所有使用者，再授與快取內容的存取權。

BranchCache 不需要分公司添購其他設備，而且能使用群組原則輕鬆地管理。

摘要與資源

BranchCache

 

分公司的使用者利用 WAN 連線到伺服器使用網路應用程式時，經常感到效能不佳。例如，分公司使用者可能需要花費數秒甚至數分鐘，才能開啟總公司伺服器上共用資料夾中的大型檔案。同樣地，嘗試在網頁瀏覽器中觀賞視訊的使用者，也可能需要很長的時間等待視訊載入完成。

BranchCache 經過專門的設計，希望讓分公司使用者能有像是直接連線到總公司的使用經驗。使用 BranchCache，從網頁伺服器或檔案伺服器 (稱為內容伺服器) 下載資料的第一個用戶端，會在分公司網路上快取複本。後續用戶端在經過內容伺服器驗證和授權之後，就可以從分公司內下載本機快取的內容複本。

BranchCache 專門設計用來和現有網路與安全性基礎結構搭配使用，可支援 IPv4、IPv6 以及端對端加密方法，例如 SSL 與 IPsec。BranchCache 可確保提供最新的內容版本，並可讓用戶端在擷取分公司內的內容之前，先透過內容伺服器取得授權。

Windows 7 與 Windows Server 2008 R2 中的 BranchCache 概觀

2008 年「電腦犯罪與安全性研究」報告有百分之四十二的回應者，在前一年失竊筆記型電腦或行動裝置

 

在「電腦安全協會」 2008 年「電腦犯罪與安全性研究」報告中指出，有百分之四十二的回應者，在前一年失竊筆記型電腦或行動裝置。遺失機密企業資料的嚴重後果，包含品牌聲譽損失、訴訟、法規的處分，及可能的刑事訴訟。現在是加密您行動資料的時間，不管是存放在筆記型電腦或卸除式磁碟機，因為未加密資料的風險實在太大，無法讓人忽略。

Windows 7 BitLocker 執行概觀

Windows 7 BitLocker

 

BitLocker 磁碟區加密」(簡稱為 BitLocker) 幫助防禦開啟另一個作業系統或執行軟體駭客工具的竊取者破壞 Windows 7 檔案及系統的保護，或離線檢視存放在保護磁碟上的檔案。Windows 7 BitLocker 與 Windows Vista BitLocker 有許多共有的核心優點：

• 協助防止未授權的使用者在遺失、遭竊或淘汰的電腦上破壞 Windows 檔案及系統的保護。這包含作業系統磁碟區及固定資料磁碟區。
• 初期開機元件的完整性檢查可協助確保系統沒有被篡改，而且加密的磁碟機位於原始的電腦上。
• 在電腦開機或從休眠繼續之前，要求使用者提供啟動 PIN 或包含金鑰處理資料的 USB 快閃磁碟機，以對抗冷開機攻擊。
• 當使用者忘記他們的 PIN 或是遺失存放金鑰處理資料的 USB 快閃磁碟機時，「Active Directory(R) 網域服務」整合可以遠端保護修復金鑰以協助保護現場復原。
• 簡單、有效率的硬碟復原程序，包含將含有作業系統磁碟區的受保護硬碟移動到另一台電腦或更換電腦主機板。

Windows 7 BitLocker 執行概觀

Windows 7 AppLocker 執行概觀

 

AppLocker 是 Windows 7 企業版 及 Windows 7 旗艦版 中提供的新技術。此外，AppLocker 可以在 Windows Server 2008 R2 Standard、Windows Server 2008 R2 Enterprise、Windows Server 2008 R2 Datacenter 及 Itanium 型系統的 Windows Server 2008 R2 中使用。

Windows 7 AppLocker 執行概觀

Windows 7 AppLocker

 

AppLocker 提供的不只是安全性保護，還有操作方面及符合規範的優點，其方法是，讓系統管理員：

• 防止未授權的軟體在您的桌上型電腦環境下執行 (如果該軟體不在允許清單中)
• 防止易受攻擊且未經授權的應用程式在您的桌上型電腦環境下執行，包含惡意軟體
• 禁止使用者執行非必要性消耗網路頻寬，或任何可能影響企業運算環境的應用程式
• 防止使用者執行使他們桌上型電腦環境不穩定且增加支援人員支援成本的應用程式
• 針對有效的桌面設定管理，提供更多選擇
• 允許使用者根據原則執行核准的應用程式和軟體更新，同時保留只有具有系統管理認證的使用者可以安裝或執行應用程式和軟體更新的需求
• 協助確保桌上型電腦環境符合企業原則及業界法規

Windows 7 AppLocker 執行概觀

Windows 7 摘要

 

Windows 7 是專為降低成本與提升 IT 部門生產力所設計，可以提升自動化程度並提供相關工具讓您快速地排除並解決問題。Windows PowerShell 2.0 是內建於 Windows 7 的企業等級指令碼引擎，能夠讓 IT 專業人員自動處理大部分的系統管理工作。IT 專業人員甚至可以自動處理群組原則物件的建立與設定工作，並針對具有複雜群組原則結構的組織簡化其原則定義。

Windows 7 同時讓使用者更有生產力。具體來說，IT 專業人員可以利用 PowerShell 來建立自訂的 Windows 疑難排解套件；此套件是專為解決其特定環境中常見的問題所設計。由於您可以擴充疑難排解功能，因此 IT 專業人員與特定業務應用程式開發人員可以設計出相關解決方案供使用者診斷問題，甚至解決內部應用程式的問題。而且透過 Windows 疑難排解平台解決本身問題的使用者，也不用致電支援中心請求協助。

至於那些仍需要支援中心協助的問題，Windows 7 則可讓 IT 專業人員快速地診斷並解決問題。任何人只要有過重現使用者所描述問題的窘境，都會感謝問題步驟收錄程式的幫忙；此程式可以記錄每一個點選動作的螢幕擷取畫面，讓您清楚知道哪些使用者動作導致該問題。資源監視器與可靠性監視器的改進項目可讓 IT 專業人員更快速地找出導致問題的程序，以及可能導致這些問題的系統變更。系統還原的更新項目可讓使用者或 IT 專業人員在啟動還原點之前，清楚了解將受到影響的應用程式和驅動程式。預設會安裝 Windows 修復環境，以便在危急情況或是無法使用 Windows 7 DVD 時得以順利存取。

Windows 7 也包含重大的「群組原則」增強功能，此工具可讓 IT 部門用來集中管理執行 Windows 的所有電腦。如果您想要透過一個管理更完善、更安全的桌面環境來限制使用者可以執行的應用程式，AppLocker 可讓您建立更彈性的規則，讓您套用至任何應用程式版本 (甚至是尚未發行的版本)。群組原則喜好設定可定義使用者預設值，讓您透過簡單的方式來建立可供使用者更新的初始設定，完全不需要修改部署映像。您也可以使用群組原則來套用 BitLocker 加密，即使是 USB 隨身碟之類的卸除式存放裝置也沒問題。最後，藉由啟用 DirectAccess，可以繼續妥善管理行動電腦、定期接收更新的群組原則設定、與伺服器同步資料檔案與接收軟體更新項目，因為每當電腦連線至網際網路時，這些電腦就會自動連入您的內部網路。

Windows 7 可管理性概觀

DirectAccess

 

對 IT 部門來說，行動電腦是一大挑戰，因為它們必須與內部網路連線才能加以管理。遠離辦公室或是出差一段時間的使用者可能無法在幾週或幾個月內連線至內部網路。如此一來，這些行動電腦將無法下載更新的群組原則設定、重要的更新項目或是反惡意程式定義。

一般而言，遠端使用者可以透過虛擬私人網路 (VPN) 連線到內部網路資源。但是，透過 VPN 來連線對使用者而言會有些麻煩，因為需要執行幾個步驟，並等候幾秒鐘 (甚至是幾分鐘) 才能通過驗證。

Windows 7 與 Windows Server 2008 R2 共同推出 DirectAccess (請參閱圖 17)，這項全新的解決方案可讓使用者在遠端工作時，就像在辦公室一樣方便。DirectAccess 利用 IPv6 與 IPSec 這類的技術優勢，讓遠端電腦自動、順暢地透過網際網路存取內部網路，而無須連接到虛擬私人網路 (VPN)，同時也會提供企業安全與彈性的網路基礎結構。

Windows 7 可管理性概觀

AppLocker、BitLocker

 

Windows 7 內含改良的功能與全新的技術，可協助 IT 專業人員更有效率地符合相關的法規需求：

• AppLocker 可提供彈性的發行者規則，以針對使用者可以執行的應用程式簡化其控制作業。
• 改良的稽核功能讓 IT 專業人員可以使用群組原則，設定可以稽核的檔案與登錄值。
• BitLocker 改進項目提供強制資料加密，包括卸除式存放裝置等。

Windows 7 可管理性概觀

PowerShell 命令以進行自動化或互動式遠端管理

 

在過去，為了管理遠端電腦，您需要透過「遠端桌面」來連接。一旦需要大規模 (或是自動化) 管理時，就會產生許多問題。PowerShell 2.0 推出 PowerShell 遠端處理功能，讓您執行 PowerShell 命令以進行自動化或互動式遠端管理。今日，有效率的系統管理員會透過網路執行大多數的電腦管理工作。有了 Windows 7 和 PowerShell 2.0，您可以透過標準管理通訊協定 WS-Management (WS-MAN) 在遠端電腦上執行 Cmdlet。此通訊協定讓您建立可在一或多部遠端電腦上執行的指令碼，並讓您掌控遠端 PowerShell 工作階段以便直接在該電腦上執行命令。用途包括：

• 在客服人員來電期間建立系統還原點，方便您在必要時將電腦還原至目前狀態
• 變更防火牆規則，以保護電腦不受新發現弱點的攻擊

另一個用於在遠端 Windows 7 電腦上執行 PowerShell 指令碼的選項，就是使用 GPO 中定義的登入、登出、啟動與關機指令碼。舊版 Windows 僅支援針對這些指令碼指定一個命令檔。PowerShell 所提供的彈性與威力，遠較命令檔中的可用命令更高、更強

Windows 7 可管理性概觀

安全需求Windows 7 支援下列功能

 

AppLocker™ 可讓 IT 專業人員更靈活地設定原則以供應用程式及指令碼使用者加以執行或安裝，藉此提供更安全與容易管理的桌面。

稽核功能上的改善讓 IT 專業人員得以使用群組原則，針對檔案與登錄存取設定更完整的稽核機制。

系統管理員可以要求使用者透過群組原則使用 BitLocker To Go™，對卸除式存放裝置進行加密處理。

群組原則喜好設定定義了使用者可變更的預設設定，並針對對應的網路磁碟機、排程工作與其他非群組原則感知的 Windows 元件進行集中式管理。

DirectAccess 能夠平順地讓行動電腦與內部網路連線，以便讓 IT 專業人員在使用者具有網際網路連線能力時管理這些電腦

Windows 7 可管理性概觀