2、限定匿名用户共享访问内容

　　在默认状态下，Windows XP工作站系统会允许匿名用户访问本地系统的不少共享资源，这显然会给本地计算机的安全带来一定的威胁。为了降低系统的安全威胁，我们完全可以限定匿名用户只能访问本地系统指定的共享文件夹，而且在允许匿名用户访问该目标共享文件夹之前，我们还需要对其NTFS权限进行合适设置，确保匿名用户只能对目标共享文件夹有最小的操作权限。例如，假设我们希望匿名用户只能访问本地系统F盘中的“aaa”共享文件夹时，而无权访问其他共享资源时，就可以按照如下操作步骤来设置系统组策略:

　　首先单击系统桌面中的“开始”按钮，在弹出的系统“开始”菜单中选择“运行”项目，打开系统的运行对话框，然后在其中输入系统组策略编辑字符串命令“gpedit.msc”，单击该对话框中的“确定”按钮后，进入到本地计算机的系统组策略编辑窗口;

　　在该编辑窗口的左侧列表窗格中，用鼠标展开“计算机配置”策略分支，在对应该分支选项下面依次用鼠标双击“Windows设置/安全设置/本地策略/安全选项”项目，在“安全选项”项目所对应的右侧显示窗格中，找到“网络访问:可匿名访问的共享”选项并用鼠标右键单击之，从弹出的快捷菜单中执行“属性”命令，打开如图2所示的目标策略属性设置界面;

图2

　　在该设置界面中，先将系统默认允许访问的共享资源全部选中，并按一下键盘上的DEL键将它全部删除干净;之后，根据实际情况，将那些的确需要向匿名用户长期开放的目标共享文件夹“F:\aaa”添加进来，再单击“确定”按钮，那么日后匿名用户只能访问“F:\aaa”共享文件夹中的资源了。当然，在将“F:\aaa”文件夹向匿名用户开放之前，我们必须先将该目标文件夹的NTFS权限设置成“读取”，确保匿名用户对目标共享文件夹拥有最小的访问权限。

　　完成上面的操作后，我们还需要打开“网络访问:可匿名访问的命名管道”策略的属性设置窗口和“网络访问:可远程访问的注册表路径”策略的属性设置窗口，然后依次将这两个窗口中多余的共享资源项目全部删除掉，这么一来匿名用户就只能访问指定的共享文件夹了。