《微软 Exchange 2000 Server 企业版》(Microsoft Exchange 2000 Server EnterPrise)企业版[ISO]
![《微软 Exchange 2000 Server 企业版》(Microsoft Exchange 2000 Server EnterPrise)企业版[ISO]](/Uploads/2/28/28828.jpg)
电驴资源
| 用户共享的电驴资源列表 | |
|---|---|
| [微软.Exchange.2000.Server.企业版].Exchange2000.iso | 413.19 MB |
| 413.19 MB | |
电驴资源简介
中文名: 微软 Exchange 2000 Server 企业版英文名: Microsoft Exchange 2000 Server EnterPrise资源格式: 光盘镜像版本: 企业版发行时间: 2000年制作发行: 微软
Microsoft地区: 美国简介:
/thumb.jpg)
市场售价(引自中国企业网优惠报价):
Exchange 2000 Server 企业版 ￥89,000
Exchange 2000 Server 标准版 ￥24,807
在现在的商业环境中，企业要想获得成功，必须拥有强大的信息创建、存储和共享基础结构，同时还应拥有可快速和智能地响应这些信息的工具。Exchange 2000 Server使这些问题迎刃而解--它可与Microsoft Windows? 2000无缝集成，其开发过程参照了两年来客户的反馈意见，最终将业界领先的可靠性和伸缩性与无与匹敌的易管理性组合在同一个产品--Exchange 2000 Server里。我们可以自豪地说，Exchange 2000 Server为各种规模的企业提供了下一代的消息和协作。
增强的消息和协作平台
数字经济对无缝的信息交换提出了更高的要求。这一要求使消息系统成为现今企业的任务关键型应用，同时也使建立和维护可靠的消息基础结构成为IT专家们最重要的工作。Exchange 2000可完全利用Windows 2000的强大功能，是第一个可统一管理全部消息、协作、网络功能及网络资源的应用软件。Exchange 2000可以提供更高的可靠性、性能和伸缩性，以满足企业不断变化的需求。
Web存储系统协作和应用
消息以前只是一种通讯方式，与电话、传真、表格、书面文档等用来共享信息的信息载体没有二样。那时的消息只表示电子邮件，现在，数字通讯已成为企业活动的中心，许多大型企业发现，将信息的流动和管理合并到同一个消息平台中可以提供令人难以置信的效率和生产力。Exchange 2000以Microsoft Web存储系统为核心，并将之用作创建、存储、访问和共享企业全部知识的中心点。内建的Web标准协议支持（包括XML和HTTP支持）也使Exchange 2000成为新一代应用的理想平台，这些应用将通过自动完成许多重要的商业事务来改造人们的工作环境。
随时随地的通讯
在一个信息无所不在的时代，仅为桌面系统提供电子邮件和Internet肯定是不够的。如果您的企业想快速而智能地响应不断变化的市场需求，您必须能跨越时间、空间和技术的屏障，为企业的所有知识工作者提供实时的信息访问，而无论他们身处何方。Exchange 2000融入了大量最新的数字技术，这一综合性通讯平台将让企业中的所有员工通过各种设备保持联系。
[/center]附微软关于基于角色保护 Exchange 2000 服务器安全详解[/center]
在上一章中，我们探讨了一些保护 Exchange 2000 环境安全的一般性建议。现在，我们将基于服务器在 IT 环境中承担的角色说明提高 Exchange 2000 服务器安全性的具体方法。
由于 Exchange 2000 是一个在 Windows 2000 环境中运行的应用程序，所以确保 Windows 2000 的安全性是实现 Exchange 2000 安全的基础。《Microsoft Windows 2000 安全操作》给您提供了保护某些服务器角色的建议，而在本章中我们将扩大该指南中提出的安全建议的使用范围，把 Exchange 2000 纳入这一范围。我们还将对 OWA 前端服务器和 Exchange 后端服务器进行专门分析。
注意：本章是对《Microsoft Windows 2000 Server 安全操作》第 3 和第 4 章提出的保护建议的补充。为方便您了解，本书后面的附录 A 和附录 B 分别收录了这两章内容。有关该指南其他各章内容，请参见本章末尾的“更多信息”一节。
测试环境
在对生产环境进行任何更改之前，在测试环境中彻底评估这些对 IT 系统的安全性所做的更改非常重要。您的测试环境应尽可能模仿生产环境。它至少应包括将在生产环境中包括的多个域控制器和每种成员服务器角色。
测试对于以下两点非常重要：在进行更改之后使环境仍然正常工作；确保按照预期提高了安全级别。您应当彻底验证所有更改并在测试环境中执行漏洞评估。
注意：任何人在组织中执行漏洞评估之前，应确保他们已获得执行评估的书面许可。
使用 OWA 前端和后端服务器
在默认情况下，每个 Exchange 2000 服务器都具有 OWA 功能，用户可以利用该功能通过超文本传输协议 (HTTP) 连接到 Exchange 服务器。由于在默认安装中组成 OWA 解决方案的组件安装在 Exchange 服务器上，因此用户可以实现上述目的。但是，在中到大型环境中，更好的办法是通过实施前端/后端服务器解决方案来允许用户访问 OWA。在这种情况下，用户连接到前端服务器，该服务器然后接受请求，在 Active Directory 中验证用户凭据，然后将请求转发给适当的 Exchange 后端服务器。后端服务器可以访问邮箱和公用文件夹。这种方法具有以下优点：
用户无需知道本地 Exchange 服务器的名称就可以访问它。
容纳邮箱的服务器的名称可以隐藏起来。
前端服务器可以达到负载平衡。
安全套接字层 (SSL) 开销可以卸载转移到前端服务器。
可以增加防火墙进一步保护后端服务器。
注意：前端服务器还可以用于 POP3 和 IMAP4 上的连接。但是，在本指南中，我们假定您仅启用 HTTP 和 MAPI 连接。
注意：有关Exchange 中的 OWA 前端/后端服务器环境的详细论述，请参见本章末尾的“更多信息”一节。
保护 Exchange 2000 环境中的服务器角色安全
在本指南中，我们为修改 Exchange 2000 服务器角色的安全性提供了安全模板。您需要将这些模板导入组策略设置中，才可以在 Exchange 中应用它们。
下表定义了服务器角色和用于提高角色安全性的模板。
表 3.1：Exchange 2000 服务器角色 P 服务器角色 说明 安全模板
OWA 服务器 Outlook Web Access 的专用 OWA 前端服务器 Baseline.inf 和 OWA front-end Incremental.inf
Exchange 2000 后端服务器 用于邮箱、公用文件夹访问和路由的服务器 Baseline.inf 和 Exchange back-end Incremental.inf
除上述指定的模板以外，您还需要在域控制器的基准组策略中应用一个附加的安全模板。由于《Microsoft Windows 2000 Server 安全操作》中定义的设置并没有假定 Exchange 是环境的一个组成部分，因此需要进行改动以便适应具有 Exchange 2000 这一情况。
为帮助您修改域控制器设置以使它们支持 Exchange 操作，我们提供了一个模板 Exchange DC Incremental.inf。该模板应该被导入到域控制器组织单位 (OU) 的组策略对象 (GPO) 中。实际上只有一个设置需要更改，下表说明了该安全选项。
表 3.2：支持 Exchange 2000 的域控制器安全选项
选项 Windows 2000 Server
安全操作 Exchange 2000 Server 安全操作
对匿名连接的附加限制 没有显式匿名连接就无法访问 无，依赖默认权限
如果无法记录安全审核则立即关闭系统 启用 禁用
帐户登录事件审核 成功和失败 失败
登录事件审核 成功和失败 失败
由于 Outlook 2000 和 Outlook 2002 客户端为获得信息，需要匿名与全局目录服务器联系，因此必须对匿名限制设置进行更改。利用《Microsoft Windows 2000 Server 安全操作》中定义的设置，Outlook 用户无法发送内部邮件，而且必须使用外部地址。
注意：有关该问题的详细信息，请参阅知识库文章Q309622：“XADM: Clients Cannot Browse the Global Address List After You Apply the Q299687 Windows 2000 Security Hotfix”（XADM：在应用 Q299687 中介绍的 Windows 2000 安全热修补程序后，客户程序无法浏览全球通讯簿）。
由于 Exchange 2000 生成的成功登录事件数量巨大，所以还需要修改其他设置。如果为登录事件启用成功审核，那么安全日志将会很快被填满。
注意：有关该问题的详细信息，请参阅知识库文章 Q316685：“Active Directory-Integrated Domain Name Is Not Displayed in DNS Snap-in with Event ID 4000 and 4013 Messages”（在包含事件 ID 4000 和 4013 消息的 DNS 管理单元中没有显示集成 Active Directory 的域名）。
支持 Exchange 2000 服务器角色的 Active Directory 结构
《Microsoft Windows 2000 Server 安全操作》推荐一个 OU 结构，您可以通过该结构轻松采用提供的安全模板。该指南推荐的 OU 结构还很容易进行扩展，可以轻松包括此处定义的两个新的服务器角色。由于 Exchange 2000 是一个应用程序，因此我们在应用服务器 OU 下创建一个 Exchange 服务器 OU，然后在 Exchange 服务器 OU 下为这些服务器角色添加更多的 OU。
下图显示为了包含两个新的服务器角色，而推荐使用的 OU 结构：
图1 包含添加的 Exchange 服务器和应用服务器 OU 的 OU 结构
导入安全模板
下面说明的安全模板包含在本指南附带的 ExSecurityOps.exe 文件中。在导入安全模板前，您需要对该文件进行解压缩。如果您使用的是 Windows 2000 Service Pack 2，那么还必须确保您应用了在以下知识库文章中详细说明的热修补程序：
Q295444：SCE Cannot Alter a Service s SACL Entry in the Registry（SCE 不能修改服务在注册表中的 SACL 项）。
Q272560：Race Condition May Lead to Loss of Group Policy Changes（竞争状态可以导致组策略更改丢失）
注意：您需要与 Microsoft 产品支持服务 (PSS) 联系才能获得上述知识库文章论述的热修补程序。有关如何与 PSS 联系的详细信息，可以访问站点：http://support.microsoft.com。
警告：本指南中的安全模板旨在提高您的环境安全。通过安装本指南附带的模板，您很有可能会失去环境中的某些功能。这可能包括导致任务关键的应用程序失败。因此，一定要在将这些模板部署到生产环境之前彻底进行测试，并针对您的环境相应地更改它们。在应用新的安全设置之前，请备份每个域控制器和服务器。确保备份中包括系统状态，这是由于系统状态中包括注册表数据，而且在域控制器上系统状态还包含 Active Directory 中的所有对象。
注意：《Microsoft Windows 2000 安全操作》中论述的域控制器基准策略和成员服务器基准策略仅用于设置 NTLMv2 的 LAN 管理器身份验证级别。如果要保证 Outlook 客户端与 Exchange 服务器和域控制器成功通信，还必须对它们进行配置以便它们仅使用 NTLMv2。
通过执行以下步骤，将本指南附带的安全模板导入到本章建议的 OU 结构中。
若要创建域控制器组策略对象并导入安全模板，请执行以下步骤：
在“Active Directory 用户和计算机”中，右键单击“域控制器”，然后单击“属性”。
在“组策略”选项卡上，单击“新建”以添加新的组策略对象。
键入“Exchange DC Policy”，然后按 Enter 键。
单击向上按钮，直到“Exchange DC Policy”显示在列表顶部。
单击“编辑”。
展开“Windows 设置”，右键单击“安全设置”，然后选择“导入策略”。
注意：如果“导入策略”未出现在菜单上，请关闭“组策略”窗口，然后重复第 4 步和第 5 步。
在“策略导入来源”对话框中，浏览“C: SecurityOps Templates”，然后双击 Exchange DC Incremental.inf。
关闭“组策略”，然后单击“确定”。
强制在域控制器之间进行复制，以便所有的域控制器都具有策略。
在“事件日志”中验证策略是否已成功下载，并验证服务器能否与域中的其他域控制器成功进行通讯。
一次重新启动一个域控制器以确保它能够成功地重新启动。
若要创建 Exchange 服务器组策略对象并导入安全模板，请执行以下步骤：
在“Active Directory 用户和计算机”中，依次展开“成员服务器”、“应用服务器”和“Exchange 服务器”，右键单击“OWA 前端服务器”，然后选择“属性”。
在“组策略”选项卡上，单击“新建”以添加新的组策略对象。
键入“OWA Policy”，然后按 Enter 键。
单击“编辑”。
展开“Windows 设置”，右键单击“安全设置”，然后选择“导入策略”。
注意：如果“导入策略”未出现在菜单上，请关闭“组策略”窗口，然后重复第 4 步和第 5 步。
在“策略导入来源”对话框中，浏览“C: SecurityOps Templates”，然后双击 OWA Front-end Incremental.inf。
关闭“组策略”，然后单击“确定”。
对于“后端服务器 OU”，用 Exchange Back-end Incremental.inf 重复第 1 步到第 7 步。
强制在域控制器之间进行复制，以便所有的域控制器都具有策略。
将每个角色的服务器移到适当的 OU 中。
在服务器上，利用 secedit /refreshpolicy machine_policy /enforce 命令下载该策略。
在“事件日志”中验证策略是否已成功下载，并验证服务器能否与域控制器和域中的其他服务器进行通讯。在该 OU 中成功测试一个服务器之后，将其余服务器移到该 OU 中，然后应用安全性。
注意：有关验证组策略是否下载成功的详细信息，请参见附录A：《Microsoft Windows 2000 Server 安全操作》的“第 3 章：运用 Windows 2000 组策略管理安全”。
重新启动每个服务器以确保它们能成功地重新启动。
Exchange 服务器策略
在 Windows 2000 中可以定义大量的安全设置，包括审核、安全选项、注册表设置、文件权限和服务。我们在《Microsoft Windows 2000 Server 安全操作》中推荐了许多设置，并且这些设置在 Exchange 2000 中不需要进行更改就可使用。虽然我们进行一些文件权限更改，但是应用附加设置的主要方面是服务。
由于 Exchange 服务器驻留在成员服务器 OU 下的 OU 中，因此这些服务器继承在成员服务器基准策略中定义的设置。Exchange 策略以两种方式修改设置。首先，基本 Windows 2000 功能不需要的一些服务是 Exchange 2000 成功操作所必需的。其次，虽然 Exchange 2000 引入许多附加服务，但是 Exchange 服务器执行它们特定的角色并不需要所有的服务。
注意：虽然在 Exchange 增量策略中没有明确提到，但必须注意到的是 Windows 2000 成员服务器基准策略禁用网络新闻传输协议 (NNTP)。该服务是安装 Exchange 所需要的，但 Exchange 操作并不需要它，除非您需要新闻组功能。
Exchange 后端服务器策略
Exchange 后端服务器策略定义两个方面的设置 - 服务和文件访问控制列表。
Exchange 后端服务器服务策略
下表说明了在 Exchange 2000 后端策略中指定的服务：
服务名称 启动模式 理由
Microsoft Exchange IMAP4 禁用 服务器没有配置 IMAP4
Microsoft Exchange 信息存储 自动 访问邮箱和公用文件夹存储所需要
Microsoft Exchange POP3 禁用 服务器没有配置 POP3
Microsoft 搜索 禁用 核心功能不需要
Microsoft Exchange 事件服务 禁用 仅向后兼容性需要
Microsoft Exchange 站点复制服务 禁用 仅向后兼容性需要
Microsoft Exchange 管理 自动 运行邮件跟踪所需要
Windows 管理规范 自动 Microsoft Exchange 管理需要
Microsoft Exchange MTA 堆栈 禁用 仅向后兼容性需要或者在有 X.400 连接器时需要
Microsoft Exchange 系统助理 自动 Exchange 维护和其他任务需要
Microsoft Exchange 路由引擎 自动 协调 Exchange 服务器之间的邮件传输需要
IPSEC 策略代理 自动 实施服务器的 IPSec 策略需要
RPC 定位器 自动 与域控制器和客户端通信需要
IIS 管理服务 自动 Exchange 路由引擎需要
NTLM 安全支持提供程序 自动 系统助理依赖该服务
SMTP 自动 Exchange 传输需要
万维网发布服务 自动 与 OWA 前端服务器通信需要
注意：Exchange 系统助理依靠以下服务来启动和运行系统：
事件日志
NTLM 安全支持提供程序
RPC
RPC 定位器
服务器
工作站
禁用的关键服务
出于本指南的需要，我们禁用了不属于 Exchange 2000 核心功能基本要求的所有服务。在某些情况下，您需要重新启用服务，以便为您提供环境需要的功能。以下是被后端服务器增量策略禁用的关键服务的说明。
事件服务
Exchange 服务器事件服务最先在 Exchange Server 5.5 中推出，它支持公用文件夹或个人邮箱中的文件夹事件触发的服务器端脚本。Exchange 2000 提供的 Exchange 事件服务向后兼容 Exchange 5.5 事件脚本。专门为 Exchange 2000 编写的新应用程序应该使用本机的 Web 存储系统事件而不是 Exchange 事件服务，这在 MSDN 提供的 Exchange 2000 软件开发工具包中有说明。请参见“更多信息”一节以了解更多信息。
Microsoft 搜索
信息存储过程创建和管理常用关键字字段的索引，以便快速查找和搜索保存在存储区的文档。Outlook 用户使用索引能够更容易地搜索文档。利用全文索引，可以在客户端搜索前创建索引，因此支持更快速的搜索。文本附件可以包含在全文索引中。
Microsoft 搜索服务提供索引服务。必须运行信息存储服务和搜索服务才可以创建、更新或删除索引。
Microsoft Exchange 站点复制服务
当 Exchange 2000 属于已有的 Exchange 5.5 站点时，该服务负责将 Exchange 5.x 站点和配置信息复制到 Active Directory 的配置命名分区。
Microsoft Exchange MTA 堆栈
这是一个附加组件，用于连接 Exchange 2000 Server 与外部系统。邮件传输代理负责将邮件通过 X.400 和网关连接器传送到外部环境。该服务在 Program Files Exchsrvr Mtadata 目录中的信息存储服务之外维护自己特定的邮件队列。
Exchange 后端服务器文件访问控制列表策略
Exchange 后端服务器策略用于修改几个目录中的访问控制列表 (ACL)。下表说明已定义的设置。
目录 旧 ACL 新 ACL 是否应用于子目录？
%systremdrive% Inetpub mailroot 所有人：完全访问 域管理员：完全访问
本地系统：完全访问 是
%systremdrive% Inetpub nntpfile 所有人：完全访问 域管理员：完全访问
本地系统：完全访问 是
%systremdrive% Inetpub nntpfile root 所有人：完全访问 所有人：完全访问 是
注意：由于 NNTP 并不在服务器上运行，因此在 nntpfile 目录及其子目录中定义的设置并没有严格要求。但是，我们之所以定义该设置是因为它增加对文件系统的限制，并且准备在您以后决定启用 NNTP 时投入使用。
OWA 前端服务器策略
OWA 前端服务器策略定义两个方面的设置 - 服务和文件访问控制列表。
OWA 前端服务器服务策略
由于该服务器的角色仅支持基于 Web 的电子邮件，因此可以禁用默认配置安装的许多 Exchange 服务。下表说明在 OWA 前端服务器策略中配置的服务。
表 3.5：在 OWA 前端服务器策略中配置的服务 服务名称 启动模式 理由
Microsoft Exchange IMAP4 禁用 OWA 服务器没有配置 IMAP4
Microsoft Exchange 信息存储 禁用 由于没有邮箱存储或公用文件夹存储因此不需要
Microsoft Exchange POP3 禁用 OWA 服务器没有配置 POP3
Microsoft 搜索 禁用 没有要搜索的存储
Microsoft Exchange 事件 禁用 仅向后兼容性需要
Microsoft Exchange 站点复制服务 禁用 仅向后兼容性需要
Microsoft Exchange 管理 禁用 邮件跟踪需要
Microsoft Exchange MTA 禁用 仅向后兼容性需要或者在有 X.400 连接器时需要
Microsoft Exchange 路由引擎 自动 提供 Exchange 路由功能
IPSEC 策略代理 自动 在 OWA 服务器上实施 IPSec 过滤需要
RPC 定位器 自动 与域控制器通信需要，并且系统助理启动时需要
IIS 管理服务 自动 MSExchange 路由引擎需要
万维网发布服务 自动 客户端与 OWA 前端服务器通信需要
2.
在 OWA 前端服务器策略中禁用的关键服务
利用后端配置时，您需要重新启用一些服务，为您提供环境需要的功能。以下是对 OWA 前端服务器增量策略禁用的关键服务的说明。
Microsoft Exchange POP3 和 Microsoft Exchange IMAP4
在第 2 章中已经提到过，您应该确定是否在环境中需要 Exchange 的全部功能。在许多情况下，由于您没有 POP3 或 IMAP4 客户程序，所以您可以通过组策略确保禁用这些服务。在禁用前，您还应该确认没有任何自定义程序运行在需要该功能的环境中。
系统助理
在前端服务器上，系统助理只有在您希望更改服务器的配置时才需要。因此，我们在模板中禁用系统助理。这意味着要对使用 OWA 前端服务器策略的服务器进行任何更改（包括使该服务器成为 OWA 前端服务器），都首先需要临时启动系统助理和相关服务。
若要更改应用 OWA 前端服务器组策略的服务器配置，请执行以下操作：
启动“服务”管理工具。
右键单击“NTLM 安全支持提供程序”并选择“属性”。
在“启动类型”下拉列表框中选择“自动”。
单击“应用”。
单击“启动”。
单击“确定”。
在“系统助理”中重复第 2 步到第 6 步。
完成需要的任何配置更改。
启动“服务”管理工具。
右键单击“系统助理”并选择“属性”。
在“启动类型”下拉列表框中选择“禁用”。
单击“应用”。
单击“停止”。
单击“确定”。
对“NTLM 安全支持提供程序”重复第 2 步到第 6 步。
信息存储
由于没有向该服务器发送过邮件，所以不需要信息存储服务。由于没有信息存储服务，所以在所有 Exchange 2000 服务器上一般都可以找到的 M: 映射驱动器将被删除。这是意料之中的，因为 Exchange 可安装文件系统没有要映射的对象。
Microsoft Exchange 管理
该服务首先作为 Exchange 2000 Server Service Pack 2 的组成部分推出。您可以利用它通过用户界面指定在访问目录时 Exchange 2000 将使用哪一个域控制器或全局目录服务器。邮件跟踪也需要该服务。您可以禁用该服务，而不会影响 Exchange 的核心功能。但是，您可能需要使用邮件跟踪作为审核 Exchange 功能的一部分。在这种情况下，OWA 前端服务器用于访问邮件而不是传送邮件，所以您会发现在 OWA 前端服务器上并不需要运行 Microsoft Exchange 管理服务。
SMTP 服务
OWA 前端服务器仅用作 OWA 服务器，在这种情况下，它并不需要 SMTP。如果您将前端服务器配置为网关或配置为 IMAP4 或 POP3 的前端服务器，用以接收 SMTP 邮件，那么您就需要启用 SMTP 服务。如果该服务器还将用作 SMTP 网关，那么还需要信息存储和系统助理服务。
OWA 前端服务器文件访问控制列表策略
该策略定义文件访问控制列表的方法与后端服务器策略的定义方法完全相同。有关详细信息，请参阅本章前面的“Exchange 后端服务器文件访问控制列表策略”一节。
在安全性提高的环境中安装和更新 Exchange
如果您已经采取了本章目前为止说明的步骤，那么将已有的 Exchange 服务器转移到适当的 OU 中就会提高环境的安全水平。为最大程度地提高安全性，新的服务器必须在安装 Exchange 之前移到适当的 OU 中。不过，虽然环境将允许运行 Exchange 核心服务，但在默认情况下，它不允许安装 Exchange，也不允许将 Exchange 升级为将来的服务软件包。若要在锁定的服务器上安装 Exchange 或 Exchange Service Pack（Exchange 服务软件包），请执行以下步骤。
注意：在已经保护起来的服务器上安装 Exchange 2000 时，您会收到“没有找到数字签名”的错误消息。这是服务器安全性得到提高的结果，您可以绕过去。
若要在锁定的服务器上安装 Exchange 或 Exchange Service Pack，请执行以下步骤：
启动“服务”管理工具。
右键单击“分布式事务处理协调器”并选择“属性”。
在“启动类型”下拉列表框中选择“自动”。
单击“应用”。
单击“启动”。
单击“确定”。
对“网络新闻传输协议 (NNTP)”和“Windows 安装程序”重复第 2 步到第 6 步。
注意：如果您在 OWA 前端 OU 中的服务器上执行这些步骤，则需要对“Windows 管理规范”重复第 2 步到第 6 步。
安装 Exchange 2000 或最新的 Exchange 2000 Service Pack。
注意：安装 Exchange 2000 时，在安装结束前会出现一个对话框，指明由于Microsoft 搜索服务没有启动因此出现了一个非致命的安装错误。这是在安装已保护的服务器时必然出现的情况，可以放心地将其忽略。
启动“服务”管理工具。
右键单击“分布式事务处理协调器”并选择“属性”。
在“启动类型”下拉列表框中选择“禁用”。
单击“应用”。
单击“停止”。
单击“确定”。
对“网络新闻传输协议 (NNTP)”和“Windows 安装程序”重复第 2 步到第 6 步。
注意：如果您在 OWA 前端 OU 中的服务器上执行这些步骤，则需要对“Windows 管理规范”重复第 9 步到第 14 步。
注意：OWA 前端服务器和 Exchange 后端服务器的增量策略都启用 NTLMv2。这允许 Exchange 服务器与受保护的域控制器进行通信。如果您在安装 Exchange 前没有把服务器放置在适当的 OU 中，那么服务器将无法与域控制器联系。
其他安全方法
除组策略模板提供增强的安全性外，在 Exchange 2000 服务器上还可以实施其他的安全措施。本节讲述这些方法措施。
IIS 锁定工具
在 Exchange 2000 服务器上应用安全模板后，您还需要在 IIS，尤其是在 OWA 前端服务器上应用其他的安全控制。若要自动执行对 IIS 的许多更改，可以使用 IIS 锁定工具。IIS 锁定工具指定加强 IIS 所需要的设置，但它仍然允许将 Exchange 2000 作为后端服务器或 OWA 前端服务器运行。
注意：IIS 锁定工具可以从以下站点获得：http://www.microsoft.com/technet/security/tools/tools/locktool.asp
IIS 锁定工具有两种模式：适合大多数基本 Web 服务器的快速模式和管理员可以用来挑选服务器支持的技术的高级模式。该工具提供了撤销操作功能，从而使最近执行的锁定操作所起的作用能够被撤销。
IIS 锁定工具还应用 URLScan 来筛选向 IIS 服务器传入的所有请求，并且只允许那些符合特定规则集的请求通过。这极大地提高了服务器的安全性，有助于确保服务器只响应有效请求。您可以使用 URLScan 并根据长度、字符集、内容以及其他因素来过滤请求。您还可以自定义所提供的默认规则集，以便满足特定服务器的需要。
若要锁定 Exchange 2000 OWA 前端服务器，请执行以下步骤：
在服务器上安装并启动 IISLockd.exe。
单击“下一步”。
阅读许可协议，选择“我同意”然后单击“下一步”。
依次选择服务器模板“Exchange 2000 (OWA, PF Management, IM, SMTP, NNTP)”和“查看模板”复选框，然后单击“下一步”。
在“Internet 服务”对话框中，显示四项服务（Web 服务 (HTTP)、FTP、SMTP 和 NNTP）。如果某项服务的复选框呈灰色，那么表明该项服务没有安装或者已经被禁用。确保只启用“Web 服务”，然后单击“下一步”以继续进行。
注意：如果在通过组策略对象应用 OWA 前端安全模板后执行 IIS 锁定工具，那么 Web 服务 (HTTP) 应是唯一显示启用的服务，而其他服务都被禁用。
您可以使用“脚本映射”对话框来禁用对特定 ISAPI 应用程序的支持，方法是删除它们的关联脚本映射。下表说明在 Exchange 2000 模板内应用的默认设置。只有 Active Server Pages 将被启用。所有其他的脚本映射都被禁用。单击“下一步”。
表 3.6：Exchange 2000 模板中用于 IIS 锁定的默认脚本映射设置
类型 项目 状态
Active Server Pages .asp 启用
索引服务器 Web 接口 .htw、ide、idq 禁用
服务器端包括 .stm、.shtm 和 .shtml 禁用
Internet 数据连接器 .idc 禁用
HTR 脚本撰写 .htr 禁用
Internet 打印 .printer 禁用
注意：如果您禁用对 .htr 脚本映射的支持，那么 OWA 更改密码功能将不起作用。默认情况下，IIS 锁定工具禁用该 OWA 功能。
您可以使用“附加安全性”对话框中的选项来删除默认的 IIS 安装创建的默认虚拟目录，然后在指定目录和所有 system32 可执行文件上应用文件访问控制列表。单击“下一步”以继续进行。 下表显示将要删除的虚拟目录。
表 3.7：IIS 锁定工具删除的虚拟目录
名称 虚拟目录 默认位置
IIS 示例 IISSamples c: inetpub iissamples
IISHelp IISHelp c: winnt help iishelp
MSADC MSADC c: program files common files system msadc
脚本 Scripts c: inetpub scripts
IISAdmin IISAdmin c: winnt system32 inetsrv iisadmin
为限制对文件系统的访问，IIS 锁定工具将在 OWA 服务器上新建两个本地组，名称分别为“Web 匿名用户”和“Web 应用程序”。它将在适当的组中放置匿名用户或匿名应用程序的帐户。一般情况下，IUSR_ 将放置在 Web 匿名用户组，而 IWAM_ 放在 Web 应用程序组。IIS 锁定工具然后将设置权限，拒绝这些组对以下特定目录的写访问：
C: inetpub wwwroot
C: Program Files Exchsrvr ExchWeb
并且还拒绝执行对 c: winnt system32 文件夹中的所有系统实用程序（比如，cmd.exe）的访问。注意，基准模板的组策略将对系统目录中的可执行文件应用特定的访问控制条目，这些访问控制条目只允许具有管理员完全控制权限的用户访问文件，并且不允许定义其他的用户或组。这些设置在重新应用组策略时将替代 IIS 锁定设置。
现在提示您安装 URLScan。默认情况下，它已经被选中要进行安装。单击“下一步”。
审查要执行的任务，然后单击“下一步”。
由于安全性提高的原因，会出现“安装未知软件程序包”对话框，单击“是”。
IIS 锁定工具将生成一个详细记录所做更改的报表，并报告是否有错误。您将在报表中看到错误，IIS 锁定工具将 ACL 写入某些 NTFS 目录失败。这些目录是已经作为 OWA 服务器配置组成部分而被删除的邮箱和公用文件夹。单击“下一步”。
单击“完成”。
注意：若要在 Exchange 2000 后端服务器上运行 IIS 锁定工具，请重复上述步骤并在第 5 步中确保启用 HTTP 和 SMTP。
修改 OWA 前端服务器的 IIS 锁定和 URLScan 设置
您需要为环境修改默认的 IIS 锁定和 URLScan 设置。URLScan 设置保存在位于 System32 Inetsrv Urlscan 目录下的 URLScan.ini 文件中。如果您遇到有关 OWA 的任何问题并且 UrlScan 已经启用，请检查 System32 Inetsrv Urlscan 中的 Urlscan.log 文件，查看被拒绝请求的列表。
注意：有关 IIS 锁定和 URLScan 疑难解答和配置的信息，请参阅知识库文章 Q309677：“XADM: Known Issues and Fine Tuning When You Use the IIS Lockdown Wizard in an Exchange 2000 Environment”（XADM：在 Exchange 2000 环境中使用 IIS 锁定向导时的已知问题和调整方法）。
更改 OWA 中的密码支持
默认情况下，IIS 锁定工具禁用 .htr 文件。当禁用该文件类型时，OWA 更改密码功能将不起作用。如果禁用 .htr 文件，那么您还应当隐藏 OWA 中的“更改密码”按钮，避免给用户带来混乱，从而避免用户为此打电话寻求帮助。
注意：有关禁用 OWA 中的“更改密码”按钮的信息，请参阅知识库文章 Q297121：“XWEB: How to Hide the Change Password Button on the Outlook Web Access Options Page”（XWEB：如何隐藏 Outlook Web Access 选项页上的“更改密码”按钮）。
阻挡电子邮件
URLScan.ini 文件的 [DenyUrlSequences] 部分列出了明确阻止的字符，这可能会影响对 OWA 的访问。包含以下任何一个字符序列的电子邮件主题或邮件文件夹名称都将被阻止：
? ..
? ./
?
? %
?
注意：URLScan.ini 文件中的“..”将阻止主题行以句点字符结尾的电子邮件。
取消安装邮箱存储并删除公用文件夹存储
由于OWA 前端服务器的作用是把请求转发给后端服务器，所以在 OWA 前端服务器上并不需要安装 Exchange Server 邮箱或公用文件夹。Exchange 后端服务器将对它们进行管理。因此您可以取消安装和删除这些存储。
若要取消安装并删除邮箱和公用文件夹数据库，请执行以下操作：
启动“服务”管理工具。
右键单击“NTLM 安全支持提供程序”并选择“属性”。
在“启动类型”下拉列表框中选择“自动”。
单击“应用”。
单击“启动”。
单击“确定”。
在“系统助理”中重复第 2 步到第 6 步。
在 OWA 前端服务器上启动“Exchange 系统管理器”。
依次展开“服务器”、“OWA 前端服务器”和“First Storage Group”（第一个存储组）。
如果已经安装了邮箱，则右键单击“邮箱存储”，选择“Dismount Store”（卸除存储），然后单击“是”以卸除邮箱存储。
右键单击“邮箱存储”并选择“属性”。
选择“数据库”选项卡，单击“Do not mount this store at start-up”（不要在启动时安装此存储）复选框，然后单击“确定”。
如果已经安装了公用文件夹，则右键单击“公用文件夹存储”，选择“卸除存储”，然后单击“是”以卸除公用文件夹存储。
右键单击“公用文件夹存储”并选择“删除”。
依次单击“是”和“确定”，选择一个后端服务器，然后单击“确定”。
单击“是”以删除公用文件夹存储，然后单击“确定”关闭消息。
重新启动 OWA 服务器。
注意：您不需要重新禁用 NTLM 安全支持提供程序和系统助理，因为在服务器重新启动时就自动恢复禁用了。
注意：如果要在前端服务器上运行 SMTP，则需要安装专用存储区。
注意：一旦卸除邮箱存储和公用文件夹存储，则在所有 Exchange 2000 服务器上一般都可以看到的 M: 映射驱动器将被删除。这是意料之中的，因为 Exchange 可安装文件系统没有要映射的对象。
您需要注意系统日志中的事件错误（事件 ID 101），该错误指明特定虚拟目录的路径无效。这些虚拟目录（即“public、Exchange 和 Exadmin”）将在 Internet 服务管理器的控制台上显示“停止”状态。在 IIS 服务器上安装 Exchange Server 并重新启动服务器后将会生成这些错误。在重新启动后，IIS (W3SVC) 服务将在 Exchange 信息存储服务启动前启动。信息存储服务负责创建将分配这三个虚拟目录的映射虚拟驱动器 (M:)，由于在 IIS 启动时该映射驱动器尚未创建，因此 IIS 将生成错误消息。由于在通过组策略应用安全性时禁用信息存储服务，因此将永远不会安装映射虚拟驱动器，因此这些错误会继续在事件日志中出现。但是，它们完全没有危害。
注意：有关事件日志 ID 101 的详细信息，请参阅知识库文章 Q259373：“XADM: W3SVC Logs Event ID 101 in the System Event Log”（XADM：系统事件日志中的 W3SVC Logs Event ID 101）。
更改 SMTP 标题
您暴露给攻击者的信息越少，那么您的系统就越不容易遭到攻击。攻击者试图获得有关正在运行的 Exchange 版本信息的一个方法是使用 Telnet 来连接 SMTP 服务。在默认情况下，当您连接 Exchange 服务器上的 SMTP 服务时，将显示以下标题：
220 hostname . domain .com Microsoft ESMTP MAIL Service, Version: 5.0.2195.1600 ready at current date and time。
您应该考虑在所有的 Exchange 后端服务器上都更改该标题，以便标题不显示具体的版本信息。您最好添加一条禁止未经授权擅自使用 SMTP 服务的法律声明。
若要修改 Windows 2000 SMTP 标题，请执行以下步骤：
使用元数据库编辑工具（比如 MetaEdit），查找：
Lm Smtpsvc virtual server number。
依次单击“编辑”、“新建”和“字符串”。
验证 ID 框中的项目是“其他”，然后在 ID 框的右边键入“36907 (decimal)”。
在“数据”框中，输入您要显示的标题。
完成后重新启动 SMTP 虚拟服务器或 SMTP 服务。
若要确认标题已经更改，可使用 Telnet 连接虚拟服务器的端口 25（默认设置）。“ESMTP MAIL Service, Version: 5.0.2195.1600”标题将不再显示。但是还会显示完全限定域名（因为它已经输入 SMTP 服务属性中）以及日期和时间。
Exchange 域服务器的组锁定
作为默认安装的一部分，需要为目录林中的每个域创建 Exchange 域服务器组。该组包含特定域中的每个 Exchange 服务器的计算机帐户。在默认情况下，Exchange 域服务器组被授予访问林中所有 Exchange 公用文件夹和邮箱存储的权限。您可以通过运行 EDSLock 脚本限制只有托管存储的本地服务器才可以访问邮箱存储。
注意：有关 EDSLock 脚本的详细信息，请参阅知识库文章 Q313807：“XADM: Enhancing the Security of Exchange 2000 for the Exchange Domain Servers Group”（XADM：为 Exchange 域服务器组增强 Exchange 2000 的安全性）。
Exchange 群集因素
在群集中使用 Exchange 2000 不在本指南的讨论范围内。然而，很显然，您需要对这里说明的安全设置做某些更改，才能在群集环境中使用 Exchange 2000。这些更改包括：
由于 Windows 2000 群集不支持 NTLMv2，因此在群集服务器和域控制器上启用 NTLM，请参阅知识库文章 Q272129：“Cluster Service Does Not Start on Joining Node in Windows 2000”（群集服务无法在 Windows 2000 中的“连接”节点上启动）。
在 Exchange 后端服务器的安全模板中修改 NTLM 安全支持提供程序 (NTLMSSP) 的设置。NTLMSSP 必须设置为 0：
MACHINE System CurrentControlSet Control LSA MSV1_0 NtlmMinServerSec =4,0
在 Exchange 后端服务器的安全模板中启用群集服务。
由于群集不支持 IPSec，所以不要在 OWA 前端/后端通信中应用 IPSec，请参阅知识库文章 Q306677：“IPSec Is Not Designed for Failover”（IPSec 不可用于故障转移）。
总结
提高 Exchange 服务器的安全性是企业安全保护的重要组成部分。如果您遵循本章和前一章的建议，并着手加强 Windows 2000 环境的安全保护，那么就会极大地减少您的 Exchange 环境被攻击的风险。
Microsoft地区: 美国简介:
市场售价(引自中国企业网优惠报价):
Exchange 2000 Server 企业版 ￥89,000
Exchange 2000 Server 标准版 ￥24,807
在现在的商业环境中，企业要想获得成功，必须拥有强大的信息创建、存储和共享基础结构，同时还应拥有可快速和智能地响应这些信息的工具。Exchange 2000 Server使这些问题迎刃而解--它可与Microsoft Windows? 2000无缝集成，其开发过程参照了两年来客户的反馈意见，最终将业界领先的可靠性和伸缩性与无与匹敌的易管理性组合在同一个产品--Exchange 2000 Server里。我们可以自豪地说，Exchange 2000 Server为各种规模的企业提供了下一代的消息和协作。
增强的消息和协作平台
数字经济对无缝的信息交换提出了更高的要求。这一要求使消息系统成为现今企业的任务关键型应用，同时也使建立和维护可靠的消息基础结构成为IT专家们最重要的工作。Exchange 2000可完全利用Windows 2000的强大功能，是第一个可统一管理全部消息、协作、网络功能及网络资源的应用软件。Exchange 2000可以提供更高的可靠性、性能和伸缩性，以满足企业不断变化的需求。
Web存储系统协作和应用
消息以前只是一种通讯方式，与电话、传真、表格、书面文档等用来共享信息的信息载体没有二样。那时的消息只表示电子邮件，现在，数字通讯已成为企业活动的中心，许多大型企业发现，将信息的流动和管理合并到同一个消息平台中可以提供令人难以置信的效率和生产力。Exchange 2000以Microsoft Web存储系统为核心，并将之用作创建、存储、访问和共享企业全部知识的中心点。内建的Web标准协议支持（包括XML和HTTP支持）也使Exchange 2000成为新一代应用的理想平台，这些应用将通过自动完成许多重要的商业事务来改造人们的工作环境。
随时随地的通讯
在一个信息无所不在的时代，仅为桌面系统提供电子邮件和Internet肯定是不够的。如果您的企业想快速而智能地响应不断变化的市场需求，您必须能跨越时间、空间和技术的屏障，为企业的所有知识工作者提供实时的信息访问，而无论他们身处何方。Exchange 2000融入了大量最新的数字技术，这一综合性通讯平台将让企业中的所有员工通过各种设备保持联系。
[/center]附微软关于基于角色保护 Exchange 2000 服务器安全详解[/center]
在上一章中，我们探讨了一些保护 Exchange 2000 环境安全的一般性建议。现在，我们将基于服务器在 IT 环境中承担的角色说明提高 Exchange 2000 服务器安全性的具体方法。
由于 Exchange 2000 是一个在 Windows 2000 环境中运行的应用程序，所以确保 Windows 2000 的安全性是实现 Exchange 2000 安全的基础。《Microsoft Windows 2000 安全操作》给您提供了保护某些服务器角色的建议，而在本章中我们将扩大该指南中提出的安全建议的使用范围，把 Exchange 2000 纳入这一范围。我们还将对 OWA 前端服务器和 Exchange 后端服务器进行专门分析。
注意：本章是对《Microsoft Windows 2000 Server 安全操作》第 3 和第 4 章提出的保护建议的补充。为方便您了解，本书后面的附录 A 和附录 B 分别收录了这两章内容。有关该指南其他各章内容，请参见本章末尾的“更多信息”一节。
测试环境
在对生产环境进行任何更改之前，在测试环境中彻底评估这些对 IT 系统的安全性所做的更改非常重要。您的测试环境应尽可能模仿生产环境。它至少应包括将在生产环境中包括的多个域控制器和每种成员服务器角色。
测试对于以下两点非常重要：在进行更改之后使环境仍然正常工作；确保按照预期提高了安全级别。您应当彻底验证所有更改并在测试环境中执行漏洞评估。
注意：任何人在组织中执行漏洞评估之前，应确保他们已获得执行评估的书面许可。
使用 OWA 前端和后端服务器
在默认情况下，每个 Exchange 2000 服务器都具有 OWA 功能，用户可以利用该功能通过超文本传输协议 (HTTP) 连接到 Exchange 服务器。由于在默认安装中组成 OWA 解决方案的组件安装在 Exchange 服务器上，因此用户可以实现上述目的。但是，在中到大型环境中，更好的办法是通过实施前端/后端服务器解决方案来允许用户访问 OWA。在这种情况下，用户连接到前端服务器，该服务器然后接受请求，在 Active Directory 中验证用户凭据，然后将请求转发给适当的 Exchange 后端服务器。后端服务器可以访问邮箱和公用文件夹。这种方法具有以下优点：
用户无需知道本地 Exchange 服务器的名称就可以访问它。
容纳邮箱的服务器的名称可以隐藏起来。
前端服务器可以达到负载平衡。
安全套接字层 (SSL) 开销可以卸载转移到前端服务器。
可以增加防火墙进一步保护后端服务器。
注意：前端服务器还可以用于 POP3 和 IMAP4 上的连接。但是，在本指南中，我们假定您仅启用 HTTP 和 MAPI 连接。
注意：有关Exchange 中的 OWA 前端/后端服务器环境的详细论述，请参见本章末尾的“更多信息”一节。
保护 Exchange 2000 环境中的服务器角色安全
在本指南中，我们为修改 Exchange 2000 服务器角色的安全性提供了安全模板。您需要将这些模板导入组策略设置中，才可以在 Exchange 中应用它们。
下表定义了服务器角色和用于提高角色安全性的模板。
表 3.1：Exchange 2000 服务器角色 P 服务器角色 说明 安全模板
OWA 服务器 Outlook Web Access 的专用 OWA 前端服务器 Baseline.inf 和 OWA front-end Incremental.inf
Exchange 2000 后端服务器 用于邮箱、公用文件夹访问和路由的服务器 Baseline.inf 和 Exchange back-end Incremental.inf
除上述指定的模板以外，您还需要在域控制器的基准组策略中应用一个附加的安全模板。由于《Microsoft Windows 2000 Server 安全操作》中定义的设置并没有假定 Exchange 是环境的一个组成部分，因此需要进行改动以便适应具有 Exchange 2000 这一情况。
为帮助您修改域控制器设置以使它们支持 Exchange 操作，我们提供了一个模板 Exchange DC Incremental.inf。该模板应该被导入到域控制器组织单位 (OU) 的组策略对象 (GPO) 中。实际上只有一个设置需要更改，下表说明了该安全选项。
表 3.2：支持 Exchange 2000 的域控制器安全选项
选项 Windows 2000 Server
安全操作 Exchange 2000 Server 安全操作
对匿名连接的附加限制 没有显式匿名连接就无法访问 无，依赖默认权限
如果无法记录安全审核则立即关闭系统 启用 禁用
帐户登录事件审核 成功和失败 失败
登录事件审核 成功和失败 失败
由于 Outlook 2000 和 Outlook 2002 客户端为获得信息，需要匿名与全局目录服务器联系，因此必须对匿名限制设置进行更改。利用《Microsoft Windows 2000 Server 安全操作》中定义的设置，Outlook 用户无法发送内部邮件，而且必须使用外部地址。
注意：有关该问题的详细信息，请参阅知识库文章Q309622：“XADM: Clients Cannot Browse the Global Address List After You Apply the Q299687 Windows 2000 Security Hotfix”（XADM：在应用 Q299687 中介绍的 Windows 2000 安全热修补程序后，客户程序无法浏览全球通讯簿）。
由于 Exchange 2000 生成的成功登录事件数量巨大，所以还需要修改其他设置。如果为登录事件启用成功审核，那么安全日志将会很快被填满。
注意：有关该问题的详细信息，请参阅知识库文章 Q316685：“Active Directory-Integrated Domain Name Is Not Displayed in DNS Snap-in with Event ID 4000 and 4013 Messages”（在包含事件 ID 4000 和 4013 消息的 DNS 管理单元中没有显示集成 Active Directory 的域名）。
支持 Exchange 2000 服务器角色的 Active Directory 结构
《Microsoft Windows 2000 Server 安全操作》推荐一个 OU 结构，您可以通过该结构轻松采用提供的安全模板。该指南推荐的 OU 结构还很容易进行扩展，可以轻松包括此处定义的两个新的服务器角色。由于 Exchange 2000 是一个应用程序，因此我们在应用服务器 OU 下创建一个 Exchange 服务器 OU，然后在 Exchange 服务器 OU 下为这些服务器角色添加更多的 OU。
下图显示为了包含两个新的服务器角色，而推荐使用的 OU 结构：
图1 包含添加的 Exchange 服务器和应用服务器 OU 的 OU 结构
导入安全模板
下面说明的安全模板包含在本指南附带的 ExSecurityOps.exe 文件中。在导入安全模板前，您需要对该文件进行解压缩。如果您使用的是 Windows 2000 Service Pack 2，那么还必须确保您应用了在以下知识库文章中详细说明的热修补程序：
Q295444：SCE Cannot Alter a Service s SACL Entry in the Registry（SCE 不能修改服务在注册表中的 SACL 项）。
Q272560：Race Condition May Lead to Loss of Group Policy Changes（竞争状态可以导致组策略更改丢失）
注意：您需要与 Microsoft 产品支持服务 (PSS) 联系才能获得上述知识库文章论述的热修补程序。有关如何与 PSS 联系的详细信息，可以访问站点：http://support.microsoft.com。
警告：本指南中的安全模板旨在提高您的环境安全。通过安装本指南附带的模板，您很有可能会失去环境中的某些功能。这可能包括导致任务关键的应用程序失败。因此，一定要在将这些模板部署到生产环境之前彻底进行测试，并针对您的环境相应地更改它们。在应用新的安全设置之前，请备份每个域控制器和服务器。确保备份中包括系统状态，这是由于系统状态中包括注册表数据，而且在域控制器上系统状态还包含 Active Directory 中的所有对象。
注意：《Microsoft Windows 2000 安全操作》中论述的域控制器基准策略和成员服务器基准策略仅用于设置 NTLMv2 的 LAN 管理器身份验证级别。如果要保证 Outlook 客户端与 Exchange 服务器和域控制器成功通信，还必须对它们进行配置以便它们仅使用 NTLMv2。
通过执行以下步骤，将本指南附带的安全模板导入到本章建议的 OU 结构中。
若要创建域控制器组策略对象并导入安全模板，请执行以下步骤：
在“Active Directory 用户和计算机”中，右键单击“域控制器”，然后单击“属性”。
在“组策略”选项卡上，单击“新建”以添加新的组策略对象。
键入“Exchange DC Policy”，然后按 Enter 键。
单击向上按钮，直到“Exchange DC Policy”显示在列表顶部。
单击“编辑”。
展开“Windows 设置”，右键单击“安全设置”，然后选择“导入策略”。
注意：如果“导入策略”未出现在菜单上，请关闭“组策略”窗口，然后重复第 4 步和第 5 步。
在“策略导入来源”对话框中，浏览“C: SecurityOps Templates”，然后双击 Exchange DC Incremental.inf。
关闭“组策略”，然后单击“确定”。
强制在域控制器之间进行复制，以便所有的域控制器都具有策略。
在“事件日志”中验证策略是否已成功下载，并验证服务器能否与域中的其他域控制器成功进行通讯。
一次重新启动一个域控制器以确保它能够成功地重新启动。
若要创建 Exchange 服务器组策略对象并导入安全模板，请执行以下步骤：
在“Active Directory 用户和计算机”中，依次展开“成员服务器”、“应用服务器”和“Exchange 服务器”，右键单击“OWA 前端服务器”，然后选择“属性”。
在“组策略”选项卡上，单击“新建”以添加新的组策略对象。
键入“OWA Policy”，然后按 Enter 键。
单击“编辑”。
展开“Windows 设置”，右键单击“安全设置”，然后选择“导入策略”。
注意：如果“导入策略”未出现在菜单上，请关闭“组策略”窗口，然后重复第 4 步和第 5 步。
在“策略导入来源”对话框中，浏览“C: SecurityOps Templates”，然后双击 OWA Front-end Incremental.inf。
关闭“组策略”，然后单击“确定”。
对于“后端服务器 OU”，用 Exchange Back-end Incremental.inf 重复第 1 步到第 7 步。
强制在域控制器之间进行复制，以便所有的域控制器都具有策略。
将每个角色的服务器移到适当的 OU 中。
在服务器上，利用 secedit /refreshpolicy machine_policy /enforce 命令下载该策略。
在“事件日志”中验证策略是否已成功下载，并验证服务器能否与域控制器和域中的其他服务器进行通讯。在该 OU 中成功测试一个服务器之后，将其余服务器移到该 OU 中，然后应用安全性。
注意：有关验证组策略是否下载成功的详细信息，请参见附录A：《Microsoft Windows 2000 Server 安全操作》的“第 3 章：运用 Windows 2000 组策略管理安全”。
重新启动每个服务器以确保它们能成功地重新启动。
Exchange 服务器策略
在 Windows 2000 中可以定义大量的安全设置，包括审核、安全选项、注册表设置、文件权限和服务。我们在《Microsoft Windows 2000 Server 安全操作》中推荐了许多设置，并且这些设置在 Exchange 2000 中不需要进行更改就可使用。虽然我们进行一些文件权限更改，但是应用附加设置的主要方面是服务。
由于 Exchange 服务器驻留在成员服务器 OU 下的 OU 中，因此这些服务器继承在成员服务器基准策略中定义的设置。Exchange 策略以两种方式修改设置。首先，基本 Windows 2000 功能不需要的一些服务是 Exchange 2000 成功操作所必需的。其次，虽然 Exchange 2000 引入许多附加服务，但是 Exchange 服务器执行它们特定的角色并不需要所有的服务。
注意：虽然在 Exchange 增量策略中没有明确提到，但必须注意到的是 Windows 2000 成员服务器基准策略禁用网络新闻传输协议 (NNTP)。该服务是安装 Exchange 所需要的，但 Exchange 操作并不需要它，除非您需要新闻组功能。
Exchange 后端服务器策略
Exchange 后端服务器策略定义两个方面的设置 - 服务和文件访问控制列表。
Exchange 后端服务器服务策略
下表说明了在 Exchange 2000 后端策略中指定的服务：
服务名称 启动模式 理由
Microsoft Exchange IMAP4 禁用 服务器没有配置 IMAP4
Microsoft Exchange 信息存储 自动 访问邮箱和公用文件夹存储所需要
Microsoft Exchange POP3 禁用 服务器没有配置 POP3
Microsoft 搜索 禁用 核心功能不需要
Microsoft Exchange 事件服务 禁用 仅向后兼容性需要
Microsoft Exchange 站点复制服务 禁用 仅向后兼容性需要
Microsoft Exchange 管理 自动 运行邮件跟踪所需要
Windows 管理规范 自动 Microsoft Exchange 管理需要
Microsoft Exchange MTA 堆栈 禁用 仅向后兼容性需要或者在有 X.400 连接器时需要
Microsoft Exchange 系统助理 自动 Exchange 维护和其他任务需要
Microsoft Exchange 路由引擎 自动 协调 Exchange 服务器之间的邮件传输需要
IPSEC 策略代理 自动 实施服务器的 IPSec 策略需要
RPC 定位器 自动 与域控制器和客户端通信需要
IIS 管理服务 自动 Exchange 路由引擎需要
NTLM 安全支持提供程序 自动 系统助理依赖该服务
SMTP 自动 Exchange 传输需要
万维网发布服务 自动 与 OWA 前端服务器通信需要
注意：Exchange 系统助理依靠以下服务来启动和运行系统：
事件日志
NTLM 安全支持提供程序
RPC
RPC 定位器
服务器
工作站
禁用的关键服务
出于本指南的需要，我们禁用了不属于 Exchange 2000 核心功能基本要求的所有服务。在某些情况下，您需要重新启用服务，以便为您提供环境需要的功能。以下是被后端服务器增量策略禁用的关键服务的说明。
事件服务
Exchange 服务器事件服务最先在 Exchange Server 5.5 中推出，它支持公用文件夹或个人邮箱中的文件夹事件触发的服务器端脚本。Exchange 2000 提供的 Exchange 事件服务向后兼容 Exchange 5.5 事件脚本。专门为 Exchange 2000 编写的新应用程序应该使用本机的 Web 存储系统事件而不是 Exchange 事件服务，这在 MSDN 提供的 Exchange 2000 软件开发工具包中有说明。请参见“更多信息”一节以了解更多信息。
Microsoft 搜索
信息存储过程创建和管理常用关键字字段的索引，以便快速查找和搜索保存在存储区的文档。Outlook 用户使用索引能够更容易地搜索文档。利用全文索引，可以在客户端搜索前创建索引，因此支持更快速的搜索。文本附件可以包含在全文索引中。
Microsoft 搜索服务提供索引服务。必须运行信息存储服务和搜索服务才可以创建、更新或删除索引。
Microsoft Exchange 站点复制服务
当 Exchange 2000 属于已有的 Exchange 5.5 站点时，该服务负责将 Exchange 5.x 站点和配置信息复制到 Active Directory 的配置命名分区。
Microsoft Exchange MTA 堆栈
这是一个附加组件，用于连接 Exchange 2000 Server 与外部系统。邮件传输代理负责将邮件通过 X.400 和网关连接器传送到外部环境。该服务在 Program Files Exchsrvr Mtadata 目录中的信息存储服务之外维护自己特定的邮件队列。
Exchange 后端服务器文件访问控制列表策略
Exchange 后端服务器策略用于修改几个目录中的访问控制列表 (ACL)。下表说明已定义的设置。
目录 旧 ACL 新 ACL 是否应用于子目录？
%systremdrive% Inetpub mailroot 所有人：完全访问 域管理员：完全访问
本地系统：完全访问 是
%systremdrive% Inetpub nntpfile 所有人：完全访问 域管理员：完全访问
本地系统：完全访问 是
%systremdrive% Inetpub nntpfile root 所有人：完全访问 所有人：完全访问 是
注意：由于 NNTP 并不在服务器上运行，因此在 nntpfile 目录及其子目录中定义的设置并没有严格要求。但是，我们之所以定义该设置是因为它增加对文件系统的限制，并且准备在您以后决定启用 NNTP 时投入使用。
OWA 前端服务器策略
OWA 前端服务器策略定义两个方面的设置 - 服务和文件访问控制列表。
OWA 前端服务器服务策略
由于该服务器的角色仅支持基于 Web 的电子邮件，因此可以禁用默认配置安装的许多 Exchange 服务。下表说明在 OWA 前端服务器策略中配置的服务。
表 3.5：在 OWA 前端服务器策略中配置的服务 服务名称 启动模式 理由
Microsoft Exchange IMAP4 禁用 OWA 服务器没有配置 IMAP4
Microsoft Exchange 信息存储 禁用 由于没有邮箱存储或公用文件夹存储因此不需要
Microsoft Exchange POP3 禁用 OWA 服务器没有配置 POP3
Microsoft 搜索 禁用 没有要搜索的存储
Microsoft Exchange 事件 禁用 仅向后兼容性需要
Microsoft Exchange 站点复制服务 禁用 仅向后兼容性需要
Microsoft Exchange 管理 禁用 邮件跟踪需要
Microsoft Exchange MTA 禁用 仅向后兼容性需要或者在有 X.400 连接器时需要
Microsoft Exchange 路由引擎 自动 提供 Exchange 路由功能
IPSEC 策略代理 自动 在 OWA 服务器上实施 IPSec 过滤需要
RPC 定位器 自动 与域控制器通信需要，并且系统助理启动时需要
IIS 管理服务 自动 MSExchange 路由引擎需要
万维网发布服务 自动 客户端与 OWA 前端服务器通信需要
2.
在 OWA 前端服务器策略中禁用的关键服务
利用后端配置时，您需要重新启用一些服务，为您提供环境需要的功能。以下是对 OWA 前端服务器增量策略禁用的关键服务的说明。
Microsoft Exchange POP3 和 Microsoft Exchange IMAP4
在第 2 章中已经提到过，您应该确定是否在环境中需要 Exchange 的全部功能。在许多情况下，由于您没有 POP3 或 IMAP4 客户程序，所以您可以通过组策略确保禁用这些服务。在禁用前，您还应该确认没有任何自定义程序运行在需要该功能的环境中。
系统助理
在前端服务器上，系统助理只有在您希望更改服务器的配置时才需要。因此，我们在模板中禁用系统助理。这意味着要对使用 OWA 前端服务器策略的服务器进行任何更改（包括使该服务器成为 OWA 前端服务器），都首先需要临时启动系统助理和相关服务。
若要更改应用 OWA 前端服务器组策略的服务器配置，请执行以下操作：
启动“服务”管理工具。
右键单击“NTLM 安全支持提供程序”并选择“属性”。
在“启动类型”下拉列表框中选择“自动”。
单击“应用”。
单击“启动”。
单击“确定”。
在“系统助理”中重复第 2 步到第 6 步。
完成需要的任何配置更改。
启动“服务”管理工具。
右键单击“系统助理”并选择“属性”。
在“启动类型”下拉列表框中选择“禁用”。
单击“应用”。
单击“停止”。
单击“确定”。
对“NTLM 安全支持提供程序”重复第 2 步到第 6 步。
信息存储
由于没有向该服务器发送过邮件，所以不需要信息存储服务。由于没有信息存储服务，所以在所有 Exchange 2000 服务器上一般都可以找到的 M: 映射驱动器将被删除。这是意料之中的，因为 Exchange 可安装文件系统没有要映射的对象。
Microsoft Exchange 管理
该服务首先作为 Exchange 2000 Server Service Pack 2 的组成部分推出。您可以利用它通过用户界面指定在访问目录时 Exchange 2000 将使用哪一个域控制器或全局目录服务器。邮件跟踪也需要该服务。您可以禁用该服务，而不会影响 Exchange 的核心功能。但是，您可能需要使用邮件跟踪作为审核 Exchange 功能的一部分。在这种情况下，OWA 前端服务器用于访问邮件而不是传送邮件，所以您会发现在 OWA 前端服务器上并不需要运行 Microsoft Exchange 管理服务。
SMTP 服务
OWA 前端服务器仅用作 OWA 服务器，在这种情况下，它并不需要 SMTP。如果您将前端服务器配置为网关或配置为 IMAP4 或 POP3 的前端服务器，用以接收 SMTP 邮件，那么您就需要启用 SMTP 服务。如果该服务器还将用作 SMTP 网关，那么还需要信息存储和系统助理服务。
OWA 前端服务器文件访问控制列表策略
该策略定义文件访问控制列表的方法与后端服务器策略的定义方法完全相同。有关详细信息，请参阅本章前面的“Exchange 后端服务器文件访问控制列表策略”一节。
在安全性提高的环境中安装和更新 Exchange
如果您已经采取了本章目前为止说明的步骤，那么将已有的 Exchange 服务器转移到适当的 OU 中就会提高环境的安全水平。为最大程度地提高安全性，新的服务器必须在安装 Exchange 之前移到适当的 OU 中。不过，虽然环境将允许运行 Exchange 核心服务，但在默认情况下，它不允许安装 Exchange，也不允许将 Exchange 升级为将来的服务软件包。若要在锁定的服务器上安装 Exchange 或 Exchange Service Pack（Exchange 服务软件包），请执行以下步骤。
注意：在已经保护起来的服务器上安装 Exchange 2000 时，您会收到“没有找到数字签名”的错误消息。这是服务器安全性得到提高的结果，您可以绕过去。
若要在锁定的服务器上安装 Exchange 或 Exchange Service Pack，请执行以下步骤：
启动“服务”管理工具。
右键单击“分布式事务处理协调器”并选择“属性”。
在“启动类型”下拉列表框中选择“自动”。
单击“应用”。
单击“启动”。
单击“确定”。
对“网络新闻传输协议 (NNTP)”和“Windows 安装程序”重复第 2 步到第 6 步。
注意：如果您在 OWA 前端 OU 中的服务器上执行这些步骤，则需要对“Windows 管理规范”重复第 2 步到第 6 步。
安装 Exchange 2000 或最新的 Exchange 2000 Service Pack。
注意：安装 Exchange 2000 时，在安装结束前会出现一个对话框，指明由于Microsoft 搜索服务没有启动因此出现了一个非致命的安装错误。这是在安装已保护的服务器时必然出现的情况，可以放心地将其忽略。
启动“服务”管理工具。
右键单击“分布式事务处理协调器”并选择“属性”。
在“启动类型”下拉列表框中选择“禁用”。
单击“应用”。
单击“停止”。
单击“确定”。
对“网络新闻传输协议 (NNTP)”和“Windows 安装程序”重复第 2 步到第 6 步。
注意：如果您在 OWA 前端 OU 中的服务器上执行这些步骤，则需要对“Windows 管理规范”重复第 9 步到第 14 步。
注意：OWA 前端服务器和 Exchange 后端服务器的增量策略都启用 NTLMv2。这允许 Exchange 服务器与受保护的域控制器进行通信。如果您在安装 Exchange 前没有把服务器放置在适当的 OU 中，那么服务器将无法与域控制器联系。
其他安全方法
除组策略模板提供增强的安全性外，在 Exchange 2000 服务器上还可以实施其他的安全措施。本节讲述这些方法措施。
IIS 锁定工具
在 Exchange 2000 服务器上应用安全模板后，您还需要在 IIS，尤其是在 OWA 前端服务器上应用其他的安全控制。若要自动执行对 IIS 的许多更改，可以使用 IIS 锁定工具。IIS 锁定工具指定加强 IIS 所需要的设置，但它仍然允许将 Exchange 2000 作为后端服务器或 OWA 前端服务器运行。
注意：IIS 锁定工具可以从以下站点获得：http://www.microsoft.com/technet/security/tools/tools/locktool.asp
IIS 锁定工具有两种模式：适合大多数基本 Web 服务器的快速模式和管理员可以用来挑选服务器支持的技术的高级模式。该工具提供了撤销操作功能，从而使最近执行的锁定操作所起的作用能够被撤销。
IIS 锁定工具还应用 URLScan 来筛选向 IIS 服务器传入的所有请求，并且只允许那些符合特定规则集的请求通过。这极大地提高了服务器的安全性，有助于确保服务器只响应有效请求。您可以使用 URLScan 并根据长度、字符集、内容以及其他因素来过滤请求。您还可以自定义所提供的默认规则集，以便满足特定服务器的需要。
若要锁定 Exchange 2000 OWA 前端服务器，请执行以下步骤：
在服务器上安装并启动 IISLockd.exe。
单击“下一步”。
阅读许可协议，选择“我同意”然后单击“下一步”。
依次选择服务器模板“Exchange 2000 (OWA, PF Management, IM, SMTP, NNTP)”和“查看模板”复选框，然后单击“下一步”。
在“Internet 服务”对话框中，显示四项服务（Web 服务 (HTTP)、FTP、SMTP 和 NNTP）。如果某项服务的复选框呈灰色，那么表明该项服务没有安装或者已经被禁用。确保只启用“Web 服务”，然后单击“下一步”以继续进行。
注意：如果在通过组策略对象应用 OWA 前端安全模板后执行 IIS 锁定工具，那么 Web 服务 (HTTP) 应是唯一显示启用的服务，而其他服务都被禁用。
您可以使用“脚本映射”对话框来禁用对特定 ISAPI 应用程序的支持，方法是删除它们的关联脚本映射。下表说明在 Exchange 2000 模板内应用的默认设置。只有 Active Server Pages 将被启用。所有其他的脚本映射都被禁用。单击“下一步”。
表 3.6：Exchange 2000 模板中用于 IIS 锁定的默认脚本映射设置
类型 项目 状态
Active Server Pages .asp 启用
索引服务器 Web 接口 .htw、ide、idq 禁用
服务器端包括 .stm、.shtm 和 .shtml 禁用
Internet 数据连接器 .idc 禁用
HTR 脚本撰写 .htr 禁用
Internet 打印 .printer 禁用
注意：如果您禁用对 .htr 脚本映射的支持，那么 OWA 更改密码功能将不起作用。默认情况下，IIS 锁定工具禁用该 OWA 功能。
您可以使用“附加安全性”对话框中的选项来删除默认的 IIS 安装创建的默认虚拟目录，然后在指定目录和所有 system32 可执行文件上应用文件访问控制列表。单击“下一步”以继续进行。 下表显示将要删除的虚拟目录。
表 3.7：IIS 锁定工具删除的虚拟目录
名称 虚拟目录 默认位置
IIS 示例 IISSamples c: inetpub iissamples
IISHelp IISHelp c: winnt help iishelp
MSADC MSADC c: program files common files system msadc
脚本 Scripts c: inetpub scripts
IISAdmin IISAdmin c: winnt system32 inetsrv iisadmin
为限制对文件系统的访问，IIS 锁定工具将在 OWA 服务器上新建两个本地组，名称分别为“Web 匿名用户”和“Web 应用程序”。它将在适当的组中放置匿名用户或匿名应用程序的帐户。一般情况下，IUSR_ 将放置在 Web 匿名用户组，而 IWAM_ 放在 Web 应用程序组。IIS 锁定工具然后将设置权限，拒绝这些组对以下特定目录的写访问：
C: inetpub wwwroot
C: Program Files Exchsrvr ExchWeb
并且还拒绝执行对 c: winnt system32 文件夹中的所有系统实用程序（比如，cmd.exe）的访问。注意，基准模板的组策略将对系统目录中的可执行文件应用特定的访问控制条目，这些访问控制条目只允许具有管理员完全控制权限的用户访问文件，并且不允许定义其他的用户或组。这些设置在重新应用组策略时将替代 IIS 锁定设置。
现在提示您安装 URLScan。默认情况下，它已经被选中要进行安装。单击“下一步”。
审查要执行的任务，然后单击“下一步”。
由于安全性提高的原因，会出现“安装未知软件程序包”对话框，单击“是”。
IIS 锁定工具将生成一个详细记录所做更改的报表，并报告是否有错误。您将在报表中看到错误，IIS 锁定工具将 ACL 写入某些 NTFS 目录失败。这些目录是已经作为 OWA 服务器配置组成部分而被删除的邮箱和公用文件夹。单击“下一步”。
单击“完成”。
注意：若要在 Exchange 2000 后端服务器上运行 IIS 锁定工具，请重复上述步骤并在第 5 步中确保启用 HTTP 和 SMTP。
修改 OWA 前端服务器的 IIS 锁定和 URLScan 设置
您需要为环境修改默认的 IIS 锁定和 URLScan 设置。URLScan 设置保存在位于 System32 Inetsrv Urlscan 目录下的 URLScan.ini 文件中。如果您遇到有关 OWA 的任何问题并且 UrlScan 已经启用，请检查 System32 Inetsrv Urlscan 中的 Urlscan.log 文件，查看被拒绝请求的列表。
注意：有关 IIS 锁定和 URLScan 疑难解答和配置的信息，请参阅知识库文章 Q309677：“XADM: Known Issues and Fine Tuning When You Use the IIS Lockdown Wizard in an Exchange 2000 Environment”（XADM：在 Exchange 2000 环境中使用 IIS 锁定向导时的已知问题和调整方法）。
更改 OWA 中的密码支持
默认情况下，IIS 锁定工具禁用 .htr 文件。当禁用该文件类型时，OWA 更改密码功能将不起作用。如果禁用 .htr 文件，那么您还应当隐藏 OWA 中的“更改密码”按钮，避免给用户带来混乱，从而避免用户为此打电话寻求帮助。
注意：有关禁用 OWA 中的“更改密码”按钮的信息，请参阅知识库文章 Q297121：“XWEB: How to Hide the Change Password Button on the Outlook Web Access Options Page”（XWEB：如何隐藏 Outlook Web Access 选项页上的“更改密码”按钮）。
阻挡电子邮件
URLScan.ini 文件的 [DenyUrlSequences] 部分列出了明确阻止的字符，这可能会影响对 OWA 的访问。包含以下任何一个字符序列的电子邮件主题或邮件文件夹名称都将被阻止：
? ..
? ./
?
? %
?
注意：URLScan.ini 文件中的“..”将阻止主题行以句点字符结尾的电子邮件。
取消安装邮箱存储并删除公用文件夹存储
由于OWA 前端服务器的作用是把请求转发给后端服务器，所以在 OWA 前端服务器上并不需要安装 Exchange Server 邮箱或公用文件夹。Exchange 后端服务器将对它们进行管理。因此您可以取消安装和删除这些存储。
若要取消安装并删除邮箱和公用文件夹数据库，请执行以下操作：
启动“服务”管理工具。
右键单击“NTLM 安全支持提供程序”并选择“属性”。
在“启动类型”下拉列表框中选择“自动”。
单击“应用”。
单击“启动”。
单击“确定”。
在“系统助理”中重复第 2 步到第 6 步。
在 OWA 前端服务器上启动“Exchange 系统管理器”。
依次展开“服务器”、“OWA 前端服务器”和“First Storage Group”（第一个存储组）。
如果已经安装了邮箱，则右键单击“邮箱存储”，选择“Dismount Store”（卸除存储），然后单击“是”以卸除邮箱存储。
右键单击“邮箱存储”并选择“属性”。
选择“数据库”选项卡，单击“Do not mount this store at start-up”（不要在启动时安装此存储）复选框，然后单击“确定”。
如果已经安装了公用文件夹，则右键单击“公用文件夹存储”，选择“卸除存储”，然后单击“是”以卸除公用文件夹存储。
右键单击“公用文件夹存储”并选择“删除”。
依次单击“是”和“确定”，选择一个后端服务器，然后单击“确定”。
单击“是”以删除公用文件夹存储，然后单击“确定”关闭消息。
重新启动 OWA 服务器。
注意：您不需要重新禁用 NTLM 安全支持提供程序和系统助理，因为在服务器重新启动时就自动恢复禁用了。
注意：如果要在前端服务器上运行 SMTP，则需要安装专用存储区。
注意：一旦卸除邮箱存储和公用文件夹存储，则在所有 Exchange 2000 服务器上一般都可以看到的 M: 映射驱动器将被删除。这是意料之中的，因为 Exchange 可安装文件系统没有要映射的对象。
您需要注意系统日志中的事件错误（事件 ID 101），该错误指明特定虚拟目录的路径无效。这些虚拟目录（即“public、Exchange 和 Exadmin”）将在 Internet 服务管理器的控制台上显示“停止”状态。在 IIS 服务器上安装 Exchange Server 并重新启动服务器后将会生成这些错误。在重新启动后，IIS (W3SVC) 服务将在 Exchange 信息存储服务启动前启动。信息存储服务负责创建将分配这三个虚拟目录的映射虚拟驱动器 (M:)，由于在 IIS 启动时该映射驱动器尚未创建，因此 IIS 将生成错误消息。由于在通过组策略应用安全性时禁用信息存储服务，因此将永远不会安装映射虚拟驱动器，因此这些错误会继续在事件日志中出现。但是，它们完全没有危害。
注意：有关事件日志 ID 101 的详细信息，请参阅知识库文章 Q259373：“XADM: W3SVC Logs Event ID 101 in the System Event Log”（XADM：系统事件日志中的 W3SVC Logs Event ID 101）。
更改 SMTP 标题
您暴露给攻击者的信息越少，那么您的系统就越不容易遭到攻击。攻击者试图获得有关正在运行的 Exchange 版本信息的一个方法是使用 Telnet 来连接 SMTP 服务。在默认情况下，当您连接 Exchange 服务器上的 SMTP 服务时，将显示以下标题：
220 hostname . domain .com Microsoft ESMTP MAIL Service, Version: 5.0.2195.1600 ready at current date and time。
您应该考虑在所有的 Exchange 后端服务器上都更改该标题，以便标题不显示具体的版本信息。您最好添加一条禁止未经授权擅自使用 SMTP 服务的法律声明。
若要修改 Windows 2000 SMTP 标题，请执行以下步骤：
使用元数据库编辑工具（比如 MetaEdit），查找：
Lm Smtpsvc virtual server number。
依次单击“编辑”、“新建”和“字符串”。
验证 ID 框中的项目是“其他”，然后在 ID 框的右边键入“36907 (decimal)”。
在“数据”框中，输入您要显示的标题。
完成后重新启动 SMTP 虚拟服务器或 SMTP 服务。
若要确认标题已经更改，可使用 Telnet 连接虚拟服务器的端口 25（默认设置）。“ESMTP MAIL Service, Version: 5.0.2195.1600”标题将不再显示。但是还会显示完全限定域名（因为它已经输入 SMTP 服务属性中）以及日期和时间。
Exchange 域服务器的组锁定
作为默认安装的一部分，需要为目录林中的每个域创建 Exchange 域服务器组。该组包含特定域中的每个 Exchange 服务器的计算机帐户。在默认情况下，Exchange 域服务器组被授予访问林中所有 Exchange 公用文件夹和邮箱存储的权限。您可以通过运行 EDSLock 脚本限制只有托管存储的本地服务器才可以访问邮箱存储。
注意：有关 EDSLock 脚本的详细信息，请参阅知识库文章 Q313807：“XADM: Enhancing the Security of Exchange 2000 for the Exchange Domain Servers Group”（XADM：为 Exchange 域服务器组增强 Exchange 2000 的安全性）。
Exchange 群集因素
在群集中使用 Exchange 2000 不在本指南的讨论范围内。然而，很显然，您需要对这里说明的安全设置做某些更改，才能在群集环境中使用 Exchange 2000。这些更改包括：
由于 Windows 2000 群集不支持 NTLMv2，因此在群集服务器和域控制器上启用 NTLM，请参阅知识库文章 Q272129：“Cluster Service Does Not Start on Joining Node in Windows 2000”（群集服务无法在 Windows 2000 中的“连接”节点上启动）。
在 Exchange 后端服务器的安全模板中修改 NTLM 安全支持提供程序 (NTLMSSP) 的设置。NTLMSSP 必须设置为 0：
MACHINE System CurrentControlSet Control LSA MSV1_0 NtlmMinServerSec =4,0
在 Exchange 后端服务器的安全模板中启用群集服务。
由于群集不支持 IPSec，所以不要在 OWA 前端/后端通信中应用 IPSec，请参阅知识库文章 Q306677：“IPSec Is Not Designed for Failover”（IPSec 不可用于故障转移）。
总结
提高 Exchange 服务器的安全性是企业安全保护的重要组成部分。如果您遵循本章和前一章的建议，并着手加强 Windows 2000 环境的安全保护，那么就会极大地减少您的 Exchange 环境被攻击的风险。