微软新一代服务器操作系统Windows Server 2008的发布开启了一个新的Windows企业应用时代，相信在接下来的几年或许更长的时间内，将会有不计其数的应用会运行于这个平台之上。那么承载着如此重任的服务器操作系统，面对于更注重信息保护和信息安全的企业环境，它是否能够充分应对呢？
显然微软对这款产品的安全性以及相关功能充满了信心，其实这不难理解，因为Windows Server 2008的研发过程正好经历了微软安全大潮的洗礼，在可信赖计算战略的推进下，微软将安全方面提升到一个前所未有的重视程度，深层防护的安全模型、SDL(安全开发生命周期)的方法论，始终贯穿了Windows Server 2008整个产品的设计开发过程。
那么下面我们就从不同的角度来一同领略一下Windows Server 2008在面向企业应用方面都提供了那些安全特性和功能，以及通过它们又能为企业带来怎样的安全体验。
操作系统安全性
无论如何，服务器操作系统本身的健壮和安全性是一切安全的基础，相信没人认为可以在一个满是漏洞的平台上能够构建出一个安全的应用系统。从这个层面上说，Windows Server 2008将会比上一代服务器平台更加优秀，因为它使用了和Windows Vista相同的代码基础（code base），在核心层的结构设计中DEP(数据执行保护)， ASLR（地址空间随机分布）、UAC（用户账户控制）、Windows服务加固等安全技术的引入，在很大程度上减少和降低了常规威胁与攻击方法利用系统薄弱环节的可能性，从而使得它成为有史以来最为强健和安全的Windows核心结构。
从实践的情况来看，自Windows Vista发布以来所暴露出来的安全问题的数量，相信也可以让我们更容易认同这样的观点。当然在发布时已经采用SP1代码基础作为核心的Windows Server 2008，其操作系统的强壮和安全性应该有了更进一步的提高。
以前很多人对于Windows自带的防火墙并不十分看好，认为其功能方面过于简单，不足以满足复杂网络状况的需求，而Windows Server 2008中内置的防火墙将会让大家对此改变看法。仅仅从Windows Firewall with Advanced Security（具有高级安全的Windows防火墙）这个冗长的新名称来看就能它在力图说明自己和以前的版本有着显著的不同。虽然用户依然可以使用和以前相同的界面进行防火墙管理，但是其核心已经有了完全的变化，通过使用高级管理控制台或者组策略，你可以更全面释放出它所蕴含的潜力。
这个新的防火墙是一个同时基于规则和状态的网络访问安全机制，提供了对IPv6的全面支持并在其中整合了状态过滤与IPSec。利用它不仅可以对本地主机的网络访问进行安全保护，更为重要的是还可以通过组策略方便的构建基于域的企业网络隔离解决方案，实现安全的内部网络访问体系。
在服务器中存放着的往往都是企业最为重要的数据，如何能最大程度的保护这些信息资产的安全始终都是重中之重。在Windows Server 2008中，除了可以继续使用增强了的EFS（加密文件系统）对NTFS文件系统中的指定文件进行高强度的保护之外，全新提供的BitLocker全卷加密功能使得企业能够对存储有重要信息的磁盘实现完整的加密保护，在即使遭遇到服务器失窃这样严重的物理安全事件后也能够从容的应对。
更小的安全攻击表面
完成最初安装的Windows Server 2008是一个具有最小结构的操作系统框架，用户可以通过在这个结构之上添加所需的服务器角色和功能来满足应用的需求。通过这种机制只有必须的组件才会被添加到系统之中，尽可能的避免了由于无关的组件、功能、服务和端口等的引入以及安全限制的放宽而为系统带来的额外风险。这种结构从安全角度来讲，很大程度上是减少了服务器所暴露的“安全攻击表面”，将发生安全攻击的可能性缩减到很小的范围，以提高整体的安全性。
尤其是在Windows Server 2008新引入的Server Core部署模式中更是将这种理念发挥到了极致，没有图形化的界面，只能添加用于基础结构服务的9个服务器角色，进一步将基础结构服务器的安全与稳定性提高到了前所未有的高度。
在Windows Server 2008中所包括的服务组件内也都遵循了同样的方式，其中作为Web应用平台的IIS7更是充分体现了这一特征。在IIS7中所具备的功能被拆解成为四十多个可以单独添加的组件，这种细粒度而又灵活的配置方式使得在满足功能要求的前提下，排除了在应用不会使用的部件。
当然在Windows Server 2008中依然提供了新版本的SCW（安全配置向导），它可以通过向导配置的方式来减少服务器安全攻击表面，管理员可以使用这个简单易用的工具进一步的提高服务器的安全性。
安全基础结构服务
对于企业来说，服务器操作系统平台还承担着实现诸多安全基础结构的重任，这些组件通过各种类型的安全服务为企业中的应用提供赖以运行的安全基础设施。相对之前的版本，Windows Server 2008就具备了非常丰富的服务器角色和功能来完成这方面的需求。
对很多具有跨地域分支机构企业的IT部门来说，要让用户和应用能够快速的登录与访问活动目录所提供的服务，同时又要确保位于不同位置缺乏足够物理保护措施的域控制器的安全是一项很棘手的事情，因为域控制器是活动目录资源管理控制的中枢，任何一台域控制器的失守都有可能带来非常严重的后果，但随着Windows Server 2008 RODC（只读域控制器）特性的引入这一难题将迎刃而解。
因为在RODC中只存有活动目录数据的只读副本和少量的凭据缓存，还可以单独进行服务器维护权限的委派，所以利用它可以为分支机构提供快速的活动目录访问的同时，又可以避免由于分散部署的域控制器有可能会给活动目录基础结构带来的安全威胁。
异构平台上的应用系统、跨组织的应用系统、使用不同验证机制的应用系统，如何实现统一安全身份验证和SSO（单点登录），这是很多企业在当前的商务应用整合中所面临的共同挑战。Windows Server 2008将AD FS（活动目录联合身份验证服务）这一组件添加到了服务器角色之中，从而可以为企业的应用提供了可扩展、可伸缩和安全的跨平台身份验证服务。利用它即便用户账户和应用程序分别处于完全不同的组织之中，也可以让基于浏览器的客户端和多个受保护的应用程序之间进行无缝的整合。
AD RMS（活动目录权限管理服务）原来是单独发布的一个Windows Server功能扩展组件，在Windows Server 2008中它也被内置成为一个服务器角色，除了提供更全面的安全机制外，在管理特性方面也有了进一步的增强。通过使用AD RMS和支持该技术的应用系统（Office、SharePoint、Exchange Server以及第三方应用等），企业可以将类似于机密文档和敏感电子邮件等这样一些信息的访问安全进行全程的控制和监视。
无论这种被保护信息以何种途径被存放在何种位置和介质上，也只有被明确授予了权限的用户才可以在有效的期限内去访问和对其执行受限的操作，而且该信息自创建后的所有访问和操作也会被审核机制全程的记录下来。通过AD RMS可以为企业重要信息资产完整生命周期的安全管理提供有效的基础设施服务。
基于证书的安全应用普遍存在于企业的各系统之中，Windows Server 2008的AD CS（活动目录证书服务）服务器角色为企业构建自己的PKI（公钥基础结构）提供了全面的支持。除了继承上一代证书服务的所有功能之外，AD CS新提供了用于监视CA健康状况的工具以及更为安全的证书Web申请组件。另外，Windows Server 2008中内置的CNG（下一代加密算法），也为企业在证书中实现更为灵活和强壮的加密机制提供了可能。
安全的网络访问
NAP（网络访问保护）无疑是Windows Server 2008中最大的亮点之一，这种基于策略的网络访问控制机制，可以让企业有效保护对其网络的访问，将由于非安全的计算机接入网络而引入的病毒传播、入侵攻击等安全威胁的风险降低到最小。启用了NAP的计算机能够对自身的安全“健康”状况进行持续的检测和评估，如果计算机的“健康”不符合预先定义的策略标准，它会自动被从网络中隔离，并且启动健康修复过程，当完成修复使计算机的能够达到策略要求时，又会自动的解除隔离恢复正常的网络资源访问。NAP本身具有开放性的结构，这使得独立的软件开发商可以很容易的基于这个平台开发自己的解决方案，从而能够提供更加丰富的安全实现。
VPN是目前企业中远程访问所使用的主要技术之一，但基于PPTP和L2TP/IPSec的VPN技术在实际部署的过程中有时会因为网络设备和防火墙对这些协议端口的阻止或者对某些特殊协议的不支持而使其难以实现。在Windows Server 2008中除了继续支持这两种已有的VPN协议之外，还提供了一种更易于部署的VPN技术――SSTP（安全套接隧道协议）协议 。这种VPN协议将PPP封装于HTTPS的SSL通道之中，通过基于具有很强防火墙穿透性的HTTPS（TCP443端口）协议实现VPN连接，从而为企业更灵活地部署VPN解决方案提供了可能。
TS（终端服务）网关是Windows Server 2008终端服务所提供的全新安全远程访问特性， 一方面它使用HTTPS封装RDP协议加密保护使用终端服务的远程用户对企业内部计算机的远程访问。另一方面，TS网关可以协助企业实现更有效的安全远程访问解决方案，通过TS网关可以在内部网络集中应用和数据，确保尽可能少的将数据留在公司网络之外，从而更有效保证应用程序及数据的安全，用户不需要拥有对公司网络或计算机的过多访问权限，只需要将他们限制于允许的应用，就可以降低如丢失便携式计算机所造成的意外数据丢失的风险。
安全指南
虽然Windows Server 2008自身提供了许多安全特性，但对于企业的信息应用来讲，拥有具备这些安全特性的服务器系统平台仅仅一个开始，更为重要的是如何在自己的组织中实现和合理的应用这些特性来构建有效的安全解决方案。所幸的是在Windows Server 2008产品正式发布之前，微软就已经发布了最新的Windows Server 2008安全指南。
在该指南中包括了实现安全相关特性的具体方法步骤以及最佳实践，同时还针对操作系统本身的不同角色与组件，提供了非常详尽的安全攻击表面的细节数据，这让用户在应用安全方面可以做到“心中有数”，充分了解可能的安全威胁。指南作为厂商的权威安全指导，为使用Windows Server 2008的企业用户提供了全面和有非常有价值的安全技术参考。
【编辑推荐】
