對Windows XP進(jìn)行保護(hù)是一項挑戰(zhàn)，也是一個復(fù)雜的過程，無法在一個上網(wǎng)的工作站完成最初安裝后立刻就做好。在教育環(huán)境和公司環(huán)境下，對Windows XP進(jìn)行保護(hù)的過程比較類似，但是起因有些時候卻并不相同。對絕大多數(shù)的企業(yè)環(huán)境來說，要保護(hù)一臺工作的主要理由一般是為了防止對系統(tǒng)未經(jīng)授權(quán)的訪問——這包括了對數(shù)據(jù)的保護(hù)，以及禁止“非官方”的軟件安裝。在某些情況下，由于缺乏相關(guān)的經(jīng)驗或者合適的人員，某些公司甚至根本不對工作站進(jìn)行任何保護(hù)。他們僅僅依賴于Windows XP操作系統(tǒng)自帶的那些“普通”安全防護(hù)措施。
在K-12的環(huán)境中，有一些額外的起因。簡單的說，教育環(huán)境，特別是K-12，指的是操作系統(tǒng)加上所有本地軟件的總體集合。而網(wǎng)絡(luò)管理員工作中的很大一部分是用于防止意外或故意的篡改。至于工作站上的數(shù)據(jù)安全，對人們來說則是一個很罕見的概念，因為所有的數(shù)據(jù)幾乎都不是存儲在K-12環(huán)境本地中的。同樣，為了維護(hù)操作的穩(wěn)固性，也是一個關(guān)鍵性的因素。在K-12環(huán)境中，新手終端用戶一般是那些老師，而熟練終端用戶一般是那些學(xué)生。正確的防護(hù)措施可以為所有組群的終端用戶提供益處。對老師而言，它提供了一個堅固可靠的接口以及相關(guān)功能。而對學(xué)生而言，它提供了一個受到控制的環(huán)境，無法對之進(jìn)行任何篡改。
在K12環(huán)境中保護(hù)Windows XP——過程
在K12環(huán)境中保護(hù)Windows XP的過程相當(dāng)復(fù)雜。網(wǎng)絡(luò)管理員必須從網(wǎng)絡(luò)管理員、技術(shù)人員、行政管理人員，教師，以及學(xué)生的不同角度來考慮客戶端操作系統(tǒng)。在操作系統(tǒng)中的防護(hù)必須有效、可靠，其保護(hù)的軟件除了一開始就安裝上去的那些，還需要包括后來安裝的部分。要做到這些，必須使用：ACLs（許可）
通過使用Windows XP的“存取控制列表（ACL）”部件，網(wǎng)絡(luò)管理員可以對工作站上的每一個驅(qū)動器，文件夾，以及文件進(jìn)行保護(hù)。僅有必要的權(quán)限才會被給予，而必要時也可以去除相關(guān)的權(quán)限。默認(rèn)情況下，大部分操作系統(tǒng)以及相關(guān)軟件對終端用戶來說是開放的。使用ACL，對管理員和系統(tǒng)來說，操作系統(tǒng)所創(chuàng)建的所有文件夾和文件必須被設(shè)置為“完全控制”權(quán)限，而對用戶則應(yīng)當(dāng)設(shè)置為“讀取和執(zhí)行”。這些權(quán)限必須被繼承到所有的子目錄和文件上（包括Program Files文件夾，以及系統(tǒng)根驅(qū)動器上的Windows文件夾）。唯一需要保留一定層次寫權(quán)限的文件夾是：
C:\Temp （未必存在）
C:\Documents and Settings\All Users
C:\Documents and Settings\Default User
C:\WINDOWS\Debug
C:\WINDOWS\Prefetch
C:\WINDOWS\Temp
C:\WINDOWS\system32\MsDtc
C:\WINDOWS\system32\spool
上文的過程需要為了用戶本地組，將全部ACL替換為“讀取和執(zhí)行”權(quán)限（不過，上面所列出的這些目錄除外）
注:在C:\Program Files中的程序顯然需要寫權(quán)限，這樣才能保證它們的正常運(yùn)行。
本地用戶組
一個ACL僅可以被實施于一個用戶或者一個用戶組上。通常來說，使用本地組來創(chuàng)建權(quán)限總是最好的（你應(yīng)當(dāng)很少有機(jī)會使用實際的用戶帳戶）。通過使用本地組來設(shè)置權(quán)限，對許多網(wǎng)絡(luò)管理員來說是一個標(biāo)準(zhǔn)操作，也是微軟所推薦的做法。之所以不推薦使用全局組，因為一旦當(dāng)工作站同域控制器失去聯(lián)絡(luò)時，它的效力就會消失了。
混合
你應(yīng)當(dāng)僅僅在絕對必要時才使用遠(yuǎn)程管理（Terminal服務(wù)）。同樣，你也應(yīng)當(dāng)將其設(shè)置為僅有網(wǎng)絡(luò)管理員才具有存取權(quán)限。你最好應(yīng)當(dāng)禁止一切無必要的系統(tǒng)服務(wù)。這可能是一個復(fù)雜的任務(wù)，因為你必須仔細(xì)進(jìn)行，并執(zhí)行正確的測試。最后，任何非必要的軟件應(yīng)當(dāng)被從工作站中清除掉。這同樣也包括Windows操作系統(tǒng)本身可以移除的軟件部分。
在K12環(huán)境中保護(hù)Windows XP——排除疑難以及監(jiān)控
審核工具與記錄（Windows XP內(nèi)置）
正確的使用，審核以及記錄，在進(jìn)行排除疑難雜癥時分外有用，也可以用于確認(rèn)操作系統(tǒng)上的防護(hù)設(shè)置是否正確。
FileMon（文件監(jiān)控）與RegMon（注冊表監(jiān)控）
Windows XP中內(nèi)置的審核工具功能強(qiáng)大，能提供很高的價值。而Sysinternals（現(xiàn)在由微軟收購）提供的一套工具，則是這些內(nèi)置工具的絕佳補(bǔ)充。這些工具中的兩個是FileMon和RegMon，用于監(jiān)控文件系統(tǒng)以及注冊表活動的實時圖形工具。通常情況下，它們所能輕易提供的信息，常常是操作系統(tǒng)的審核工具所無法單獨(dú)提供的。在測試一個新建/修改后的Windows XP工作站的安裝時，這些工具分外有用。傳統(tǒng)軟件，或者那些有本地數(shù)據(jù)存儲的軟件，通常會和上文那些推薦的安全設(shè)置產(chǎn)生沖突。那么這些工具就可以幫助系統(tǒng)管理員迅速的發(fā)現(xiàn)和解決問題。
在K12環(huán)境中保護(hù)Windows XP——結(jié)果
在K12環(huán)境中對Windows XP進(jìn)行保護(hù)絕不是一個輕松的任務(wù)。網(wǎng)絡(luò)管理員必須考慮整體的方方方面，以及各種特殊需求。你必須對使用本地組設(shè)置正確的權(quán)限，并關(guān)閉任何不必要的軟件或功能。你必須使用內(nèi)置的或者第三方的工具，對所有的修改進(jìn)行測試。其結(jié)果就是你獲得了一臺安全可靠，不會被惡意篡改的Windows XP工作站。
