概述
大众保险公司向北美和欧洲的客户提供财产和人寿保险。公司总部在纽约,公司的 3 个子公司分别在西雅图,伦敦和马德里。
计划改革
大众保险公司将和一家国际资产管理公司 CompanyA 合资。CompanyA 的网络有一个单一的Windows 2000 Active Directory域,CompanyA不打算把他们的服务器升级成Windows Server2003。
两家公司的合作都在 Internet 上进行。两家公司的用户将访问名为 Customer Data 的共享文件夹,这个文件夹将位于大众保险公司内部网上的一台 Windows Server 2003 计算机上。位于马德里分公司的所有客户机将被升级成 Windows XP 专业版。
目录服务
大众保险公司现在的 Active Directory 森林结构图如下所示:
大众保险公司网络有一个单一的 Windows Server 2003 Active Directory 森林,这个森林有 3 个域分别是: insurance.com,na.insurance.com 和 euro.insurance.com。
网络架构
公司目前网络架构如下图所示:
一台Windows Server 2003 Web 服务器位于纽约办公室的网络设备防护网上,所有位于北美的客户机运行 Windows XP 专业版,每个办公室都有一台域控制器,域控制器还作为文件和打印服务器工作。
问题描述
必须考虑以下业务问题:
使所有客户机都打上最新的安全补丁是困难的。未授权用户已经修改了一些服务器的注册表信息,但是未授权用户不能对公司服务器注册表信息进行修改。每位用户有权访问资源,但是由于访问资源而产生的管理费用必须降低。
首席信息官( CIO )的意见
在过去的几年,我们注重来自外部网威胁的预防工作。现在我们意识到还需要对内部网威胁进行预防。近来,机密客户信息被发布到公共区,另外我们怀疑未授权用户试图删除一些文件。因此,我们需要检查哪些用户定期的访问了公司资源。为了避免开销增加,我们必须使用现有的基础结构安全特性来解决我们的安全需求。
业务需求
必须考虑以下业务需求:
使用最小量的 WAN 带宽安装安全补丁。每个办公室的信息技术(IT)部门在这些安全补丁部署到客户机之前对他们进行测试。
书面安全策略
公司书面安全策略包括以下几个要求:
所有客户信息必须保持机密,所有客户信息的访问必须进行跟踪。市场信息和服务提供资料可以公开获得。保险公司只对未授权用户修改市场信息的事件进行跟踪。
管理员能够访问 Microsoft SQL Server 2000 数据库和共享文件夹中的公司财务信息。保险公司和资产管理公司之间的电子邮件信息必须加密。
授权用户将会自动注册证书服务来访问公司资源,所有更新到 Web 服务器上的信息必须需要受到保护以避免被拦截。所有远程服务器的管理必须在加密通道中处理。远程管理桌面不能用来连接网络设备防护网上的服务器。
你需要设计一个访问控制策略来满足业务和安全需求。你的解决方案必须最小化森林范围内的复制工作,你该怎么做?()
- A、为每个部门和每个区域创建一个全局组,把用户添加到各自部门的组中,作为组成员;把部门全局组放到区域全局组中;把区域全局组分配给他们各自域中的文件打印资源,之后使用区域全局组给文件打印资源分配权限。
- B、为每个部门创建一个全局组,并添加各自的用户作为组成员。为文件和打印资源创建一个域本地组,添加全局组到各自的域本地组中,之后使用域本地组给文件和打印资源分配权限。
- C、在每台服务器上创建一个本地组,并添加授权用户作为组成员;把文件和打印资源的合理权限分配给本地组。
- D、为每个区域创建一个通用组,并添加授权用户作为成员;把通用组分配到文件和打印资源中;之后使用通用组分配权限。
![](/editor/images/201705/qrcode_for_gh_573e2a458573_258.jpg)
微信扫一扫手机做题