紧张的预算和严格的规定经常会成为Windows服务器管理员们的不安因素。然而来自企业网络安全评估的压力似乎更大，通常让管理员和IT经理难以应对。

这种情况通常有两种解决方法：使用企业内部Windows安全工具，或者雇佣其他公司来解决。两种方法都可行，说不上对错，但有些特定情况还是需要独立的第三方来执行。

在独立顾问这一行工作了十多年，由于经常遇到这些情况，因此我慢慢找到了比较合理的解决方法。首先，任何信息安全项目的第一步就是找到所有存在的弱点。市场上有很多很棒的免费开源工具以及低成本的商用工具可以用来执行合理的安全漏洞评估，帮助用户发现并纠正问题。

下列Linux和Windows安全工具可以用于查明服务器和相关网络系统上的弱点。

Kali Linux

Kali Linux是基于Debian的Linux发行版，用于高级渗透测试、数字取证和漏洞扫描。这是一款免费的开源工具。还有一些商业工具，例如GFI LANGuard和NeXpose Community Edition。

NetScantools基础版

NetScantools基础版是一个提供了各种基本网络和安全相关功能的工具包。NetScantools专业版本的漏洞扫描功能很强大，涉及的范围从开放端口到DNS漏洞，再到电子邮件安全问题等等。

TamoSoft Essential NetTools

与NetScanTools Pro类似，TamoSoft Essential NetTools也是用来检查网络配置和安全问题的工具包，并且是免费的。

Wireshark

Wireshark是一个免费的开源网络分析器，能够捕获Windows服务器上往来的数据包。CommView和CommView for WiFi虽然是商业的网络分析工具，但成本低，并且让有线和无线网络的分析过程变得更加简单。

Burp Proxy

Burp Proxy是一款用于评估IIS网站和Web应用程序漏洞的低成本工具。

微软基准安全分析器（Microsoft Baseline Security Analyzer，MBSA）

微软基线安全分析器是一个免费工具，安装在Windows服务器上，用于发现弱密码、丢失的补丁和其他安全配置错误。

Metasploit Framework

Metasploit Framework是一款免费的开源安全工具，利用Windows系统上的特殊脆弱性来确定该漏洞的严重程度，例如是否无需登录就能获得远程系统上的命令提示符。

创建用例

如果要测试自己的系统，需要符合诸如美国国家标准与技术研究院（NIST）Special Publication 800-115、支付卡行业渗透测试指南和开源安全测试方法（OSSTMM）等行业规定。

使用这些指南，可以向管理部门、审计和监管机构演示自己已经使用了常见的Windows安全工具，并通过可靠的方法拥有了行业最佳实践。如果对此不熟悉，那么你可以多阅读各种安全评估相关书籍，或者雇佣别人来完成这项工作。

定期评估

这项工作并不应该受预算分配的影响。这些安全评估通常是有法律规定的，或者是业务合作伙伴或客户所要求执行的合同内容。重要的是，要开始着手去做，并且定期、年年做，例如每季度或每半年一次。人们犯的最大一个错误是，只进行基本的漏洞扫描，却不深入挖掘。这可能导致在最初的评估中无法发现严重错误，从而误以为环境是安全的。

在安全方面，管理员必须做到主动出击。必须采取措施建立一个完善的渗透测试方法，来弥补漏洞。黑客都在努力提升自己的技能，Windows管理员也必须做同样的事情，否则你的数据中心会成为另一个受害者。