Windows Server 2003 安全配置实战
windows server2003是目前最为成熟的网络服务器平台，安全性相对于windows 2000有大大的提高，但是2003默认的安全配置不一定适合我们的需要，所以，我们要根据实际情况来对win2003进行全面安全配置。说实话，安全配置是一项比较有难度的网络技术，权限配置的太严格，好多程序又运行不起，权限配置的太松，又很容易被黑客入侵，做为网络管理员，真的很头痛，因此，我结合这几年的网络安全管理经验，总结出以下一些方法来提高我们服务器的安全性。
第一招：正确划分文件系统格式，选择稳定的操作系统安装盘
为了提高安全性，服务器的文件系统格式一定要划分成ntfs（新技术文件系统）格式，它比fat16、fat32的安全性、空间利用率都大大的提高，我们可以通过它来配置文件的安全性，磁盘配额、eps文件加密等。如果你已经分成fat32的格式了，可以用convert 盘符 /fs：ntfs /v 来把fat32转换成ntfs格式。正确安装windows 2003 server，可以直接网上升级，我们安装时尽量只安装我们必须要用的组件，安装完后打上最新的补丁，到网上升级到最新版本！保证操作系统本身无漏洞。
第二招：正确设置磁盘的安全性，具体如下（虚拟机的安全设置，我们以asp程序为例子）重点：
1、系统盘权限设置
c:分区部分：
c:\
administrators 全部（该文件夹，子文件夹及文件）
creator owner 全部（只有子文件来及文件）
system 全部（该文件夹，子文件夹及文件）
iis_wpg 创建文件/写入数据（只有该文件夹）
iis_wpg（该文件夹，子文件夹及文件）
遍历文件夹/运行文件
列出文件夹/读取数据
读取属性
创建文件夹/附加数据
读取权限
c:\documents and settings
administrators 全部（该文件夹，子文件夹及文件）
power users （该文件夹，子文件夹及文件）
读取和运行
列出文件夹目录
读取
system全部（该文件夹，子文件夹及文件）
c:\program files
administrators 全部（该文件夹，子文件夹及文件）
creator owner全部（只有子文件来及文件）
iis_wpg （该文件夹，子文件夹及文件）
读取和运行
列出文件夹目录
读取
power users（该文件夹，子文件夹及文件）
修改权限
system全部（该文件夹，子文件夹及文件）
terminal server user （该文件夹，子文件夹及文件）
修改权限
2、网站及虚拟机权限设置（比如网站在e盘）
说明：我们假设网站全部在e盘wwwsite目录下，并且为每一个虚拟机创建了一个guest用户，用户名为vhost1...vhostn并且创建了一个webuser组，把所有的vhost用户全部加入这个webuser组里面方便管理。
e:\
administrators全部（该文件夹，子文件夹及文件）
e:\wwwsite
administrators全部（该文件夹，子文件夹及文件）
system全部（该文件夹，子文件夹及文件）
service全部（该文件夹，子文件夹及文件）
e:\wwwsite\vhost1
administrators全部（该文件夹，子文件夹及文件）
system全部（该文件夹，子文件夹及文件）
vhost1全部（该文件夹，子文件夹及文件）
3、数据备份盘
数据备份盘最好只指定一个特定的用户对它有完全操作的权限。比如f盘为数据备份盘，我们只指定一个管理员对它有完全操作的权限。
4、其它地方的权限设置
请找到c盘的这些文件，把安全性设置只有特定的管理员有完全操作权限。
下列这些文件只允许administrators访问
net.exe
net1.exet
cmd.exe
tftp.exe
netstat.exe
regedit.exe
at.exe
attrib.exe
cacls.exe
format.com
5.删除c:\inetpub目录，删除iis不必要的映射，建立陷阱帐号，更改描述。
第三招：禁用不必要的服务，提高安全性和系统效率。
computer browser 维护网络上计算机的最新列表以及提供这个列表
task scheduler 允许程序在指定时间运行
routing and remote access 在局域网以及广域网环境中为企业提供路由服务
removable storage 管理可移动媒体、驱动程序和库
remote registry service 允许远程注册表操作
print spooler 将文件加载到内存中以便以后打印。要用打印机的朋友不能禁用这项
ipsec policy agent 管理ip安全策略以及启动isakmp/oakleyike）和ip安全驱动程序
distributed link tracking client 当文件在网络域的ntfs卷中移动时发送通知
com+ event system 提供事件的自动发布到订阅com组件
alerter 通知选定的用户和计算机管理警报
error reporting service 收集、存储和向 microsoft 报告异常应用程序
messenger 传输客户端和服务器之间的 net send 和 警报器服务消息
telnet 允许远程用户登录到此计算机并运行程序
$page_devide$
第四招:修改注册表，让系统更强壮。
1、隐藏重要文件/目录可以修改注册表实现完全隐藏：hkey_local_machine\software\microsoft\windows\ current-version\explorer\advanced\folder\hi-dden\showall”，鼠标右击 “checkedvalue”，选择修改，把数值由1改为0
2、启动系统自带的internet连接防火墙，在设置服务选项中勾选web服务器；
3、防止syn洪水攻击：
hkey_local_machine\system\currentcontrolset\services\tcpip\parameters
新建dword值，名为synattackprotect，值为2
enablepmtudiscovery reg_dword 0
nonamereleaseondemand reg_dword 1
enabledeadgwdetect reg_dword 0
keepalivetime reg_dword 300，000
performrouterdiscovery reg_dword 0
enableicmpredirects reg_dword 0
4. 禁止响应icmp路由通告报文：
hkey_local_machine\system\currentcontrolset\services\tcpip\parameters\interfaces\interface
新建dword值，名为performrouterdiscovery 值为0
5. 防止icmp重定向报文的攻击：
hkey_local_machine\system\currentcontrolset\services\tcpip\parameters
将enableicmpredirects 值设为0
6. 不支持igmp协议：
hkey_local_machine\system\currentcontrolset\services\tcpip\parameters
新建dword值，名为igmplevel 值为0
7.修改终端服务端口：
运行regedit，找到[hkey_local_machine \ system \ currentcontrolset \ control \ terminal server \ wds \ rdpwd \ tds \ tcp]，看到右边的portnumber了吗？在十进制状态下改成你想要的端口号吧，比如7126之类的，只要不与其它冲突即可。
第二处hkey_local_machine \ system \ currentcontrolset \ control \ terminal server \ winstations \ rdp-tcp，方法同上，记得改的端口号和上面改的一样就行了。
8、禁止ipc空连接：
cracker可以利用net use命令建立空连接，进而入侵，还有net view，nbtstat这些都是基于空连接的，禁止空连接就好了。打开注册表，找到local_machine\system\currentcontrolset\control\lsa-restrictanonymous 把这个值改成”1”即可。
9、更改ttl值：
cracker可以根据ping回的ttl值来大致判断你的操作系统，如：
ttl=107（winnt）;
ttl=108（win2000）;
ttl=127或128（win9x）;
ttl=240或241（linux）;
ttl=252（solaris）;
ttl=240（irix）;
实际上你可以自己更改的：
hkey_local_machine\system\currentcontrolset\services\tcpip\parameters：defaultttl reg_dword 0-0xff（0-255 十进制，默认值128）改成一个莫名其妙的数字如258，起码让那些小菜鸟晕上半天，就此放弃入侵你也不一定哦。
10. 删除默认共享：
有人问过我一开机就共享所有盘，改回来以后，重启又变成了共享是怎么回事，这是2k为管理而设置的默认共享，必须通过修改注册表的方式取消它：hkey_local_machine\system\currentcontrolset\services\lanmanserver\parameters：autoshareserver类型是reg_dword把值改为0即可
11. 禁止建立空连接：
默认情况下，任何用户通过通过空连接连上服务器，进而枚举出帐号，猜测密码。我们可以通过修改注册表来禁止建立空连接：
local_machine\system\currentcontrolset\control\lsa-restrictanonymous 的值改成”1”即可。
第五招：其它安全手段。
1.禁用tcp/ip上的netbios
网上邻居-属性-本地连接-属性-internet协议（tcp/ip）属性-高级-wins面板-netbios设置-禁用tcp/ip上的netbios。这样cracker就无法用nbtstat命令来读取你的netbios信息和网卡mac地址了。
2. 账户安全
首先禁止一切账户，除了你自己，呵呵。然后把administrator改名。我呢就顺手又建了个administrator账户，不过是什么权限都没有的那种，然后打开记事本，一阵乱敲，复制，粘贴到“密码”里去，呵呵，来破密码吧~！破完了才发现是个低级账户，看你崩溃不？
创建2个管理员用帐号
虽然这点看上去和上面这点有些矛盾，但事实上是服从上面的规则的。 创建一个一般权限帐号用来收信以及处理一些*常事物，另一个拥有administrators 权限的帐户只在需要的时候使用。可以让管理员使用 “ runas” 命令来执行一些需要特权才能作的一些工作，以方便管理
3.更改c:\windows\help\iishelp\common\404b.htm内容改为<meta http-equiv=refresh content="0;url=/;">这样，出错了自动转到首页。
4. 安全日志
我遇到过这样的情况，一台主机被别人入侵了，系统管理员请我去追查凶手，我登录进去一看：安全日志是空的，倒，请记住：win2000的默认安装是不开任何安全审核的！那么请你到本地安全策略->审核策略中打开相应的审核，推荐的审核是：
账户管理 成功 失败
登录事件 成功 失败
对象访问 失败
策略更改 成功 失败
特权使用 失败
系统事件 成功 失败
目录服务访问 失败
账户登录事件 成功 失败
审核项目少的缺点是万一你想看发现没有记录那就一点都没辙；审核项目太多不仅会占用系统资源而且会导致你根本没空去看，这样就失去了审核的意义
5. 运行防毒软件
我见过的win2000/nt服务器从来没有见到有安装了防毒软件的，其实这一点非常重要。一些好的杀毒软件不仅能杀掉一些著名的病毒，还能查杀大量木马和后门程序。这样的话，“黑客”们使用的那些有名的木马就毫无用武之地了。不要忘了经常升级病毒库，我们推荐mcafree杀毒软件+blackice防火墙
6.sqlserver数据库服务器安全和serv-u ftp服务器安全配置，更改默认端口，和管理密码
7.设置ip筛选、用blackice禁止木马常用端口
一般禁用以下端口：
135 138 139 443 445 4000 4899 7626
8.本地安全策略和组策略的设置，如果你在设置本地安全策略时设置错了，可以这样恢复成它的默认值
打开 %systemroot%\security文件夹，创建一个 "oldsecurity"子目录，将%systemroot%\security下所有的.log文件移到这个新建的子文件夹中
在%systemroot%\security\database\下找到"secedit.sdb"安全数据库并将其改名，如改为"secedit.old"
启动"安全配置和分析"mmc管理单元:"开始"->"运行"->"mmc"，启动管理控制台，"添加/删除管理单元"，将"安全配置和分析"管理单元添加上
右击"安全配置和分析"->"打开数据库"，浏览"c:\winnt\security\database"文件夹，输入文件名"secedit.sdb"，单击"打开"
当系统提示输入一个模板时，选择"setup security.inf"，单击"打开"，如果系统提示"拒绝访问数据库"，不管他，你会发现在"c:\winnt\security\database"子文件夹中重新生成了新的安全数据库，在"c:\winnt\security"子文件夹下重新生成了log文件，安全数据库重建成功。 |
上一篇： 十个步骤打造安全的个人Web服务器下一篇： Discuz X模板代码解析--header（头部文件）
|
