登录 | 注册 | 关于 |

4Fang四方软件、四方财务软件、四方在线软件、SaaS

简单实用的就是最好的!
产品和服务下载中心有口皆碑成功案例论坛帮助开发合作联系其他
 
 
Windows Server 2003 安全配置

darknight @ 2009-4-10 17:26:00

windows server2003
是目前最为成熟的网络服务器平台,安全性相对于windows 2000

第一招:正确划分文件系统格式,选择稳定的安装盘
操作系统

为了提高安全性,服务器的文件系统格式一定要划分成NTFS(新技术文件系统)格式,它比FAT16FAT32的安全性、空间利用率都大大的提高,我们可以通过它来配置文件的安全性,磁盘配额、EPS文件加密等。如果你已经分成FAT32的格式了,可以用CONVERT 盘符 /FSNTFS   /V 来把FAT32转换成NTFS格式。正确安装windows 2003 server,在网安联盟http://cqhk.14023.com/Soft/yyrj/bigsoft/200504/502.asp>windows 2003的企业可升级版,这个一个完全破解了的版本,可以直接网上升级,我们安装时尽量只安装我们必须要用的组件,安装完后打上最新的补丁,到网上升级到最新版本!保证操作系统本身无漏洞。
ASP

第二招:正确设置磁盘的安全性,具体如下(虚拟机的安全设置,我们以asp程序为例子)重点:

1
、系统盘权限设置

C:
分区部分:

c:\

administrators
全部(该文件夹,子文件夹及文件)

CREATOR OWNER  
全部(只有子文件来及文件)

system
全部(该文件夹,子文件夹及文件)

IIS_WPG
创建文件/写入数据(只有该文件夹)

IIS_WPG(
该文件夹,子文件夹及文件)

遍历文件夹/运行文件

列出文件夹/读取数据

读取属性

创建文件夹/附加数据

读取权限



c:\Documents and Settings

administrators
全部(该文件夹,子文件夹及文件)

Power Users (
该文件夹,子文件夹及文件)

读取和运行

列出文件夹目录

读取

SYSTEM
全部(该文件夹,子文件夹及文件)



C:\Program Files

administrators
全部(该文件夹,子文件夹及文件)

CREATOR OWNER
全部(只有子文件来及文件)

IIS_WPG (
该文件夹,子文件夹及文件)

读取和运行

列出文件夹目录

读取

Power Users(
该文件夹,子文件夹及文件)

修改权限

SYSTEM
全部(该文件夹,子文件夹及文件)

TERMINAL SERVER USER (
该文件夹,子文件夹及文件)

修改权限



2
、网站及虚拟机权限设置(比如网站在E)
说明:我们假设网站全部在Ewwwsite目录下,并且为每一个虚拟机创建了一个guest用户,用户名为vhost1...vhostn并且创建了一个webuser组,把所有的vhost用户全部加入这个webuser组里面方便管理

E:\

Administrators
全部(该文件夹,子文件夹及文件)

E:\wwwsite



Administrators
全部(该文件夹,子文件夹及文件)

system
全部(该文件夹,子文件夹及文件)

service
全部(该文件夹,子文件夹及文件)



E:\wwwsite\vhost1

Administrators
全部(该文件夹,子文件夹及文件)

system
全部(该文件夹,子文件夹及文件)

vhost1
全部(该文件夹,子文件夹及文件)



3
、数据备份盘

数据备份盘最好只指定一个特定的用户对它有完全操作的权限

比如F盘为数据备份盘,我们只指定一个管理员对它有完全操作的权限



4
、其它地方的权限设置

请找到c盘的这些文件,把安全性设置只有特定的管理员有完全操作权限

下列这些文件只允许administrators访问

net.exe

net1.exet

cmd.exe

tftp.exe

netstat.exe

regedit.exe

at.exe

attrib.exe

cacls.exe

format.com

5.
删除c:\inetpub目录,删除iis不必要的映射,建立陷阱帐号,更改描述

第三招:禁用不必要的服务,提高安全性和系统效率

Computer Browser
维护网络上计算机的最新列表以及提供这个列表

  Task scheduler 允许程序在指定时间运行

  Routing and Remote 在局域网以及广域网环境中为企业提供路由服务" target=_blank>
Access

  Removable storage 管理可移动媒体、驱动程序和库

  Remote Registry Service 允许远程操作
注册表

  Print Spooler 将文件加载到内存中以便以后打印。要用打印机的朋友不能禁用这项

  IPSEC Policy Agent 管理IP安全策略以及启动ISAKMP/OakleyIKE)IP安全驱动程序

  Distributed Link Tracking Client 当文件在网络域的NTFS卷中移动时发送通知

  Com+ Event System 提供事件的自动发布到订阅COM组件

Alerter
通知选定的用户和计算机管理警报

Error Reporting Service
收集、存储和向 Microsoft 报告异常应用程序

   Messenger
传输客户端和服务器之间的 NET SEND 警报器服务消息

Telnet
允许远程用户登录到此计算机并运行程序

第四招:修改注册表,让系统更强壮

1
、隐藏重要文件/目录可以修改注册表实现完全隐藏:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ Current-Version\E,鼠标右击 “CheckedValue”,选择修改,把数值由1改为0
XPlorer\Advanced\Folder\Hi-dden\SHOWALL”
有大大的提高,但是2003默认的安全配置不一定适合我们的需要,所以,我们要根据实际情况来对win2003进行全面安全配置。说实话,安全配置是一项比较有难度的网络技术,权限配置的太严格,好多程序又运行不起,权限配置的太松,又很容易被黑客入侵,做为网络管理员,真的很头痛,因此,我结合这几年的网络安全管理经验,总结出以下一些方法来提高我们服务器的安全性。
2、启动系统自带的Internet连接_blank">防火墙

  3、防止SYN洪水攻击

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

新建D值,名为SynAttackProtect,值为
Word2

EnablePMTUDiscovery REG_DWORD 0

NoNameReleaseOnDemand REG_DWORD 1

EnableDeadGWDetect REG_DWORD 0

KeepAliveTime REG_DWORD 300,000

PerformRouterDiscovery REG_DWORD 0

EnableICMPRedirects REG_DWORD 0

  4. 禁止响应ICMP路由通告报文

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface

  新建DWORD值,名为PerformRouterDiscovery 值为0

  5. 防止ICMP重定向报文的攻击

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

  将EnableICMPRedirects 值设为0

  6. 不支持IGMP协议

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

新建DWORD值,名为IGMPLevel 值为0

7.
修改终端服务端口

运行regedit,找到[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Terminal Server \ Wds \ rdpwd \ Tds \ tcp],看到右边的PortNumber了吗?在十进制状态下改成你想要的端口号吧,比如7126之类的,只要不与其它冲突即可。

  2、第二处HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Terminal Server \ WinStations \ RDP-Tcp,方法同上,记得改的端口号和上面改的一样就行了。

8
、禁止IPC空连接:

   cracker
可以利用net use命令建立空连接,进而入侵,还有net viewnbtstat这些都是基于空连接的,禁止空连接就好了。打开注册表,找到Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous 把这个值改成”1”即可。

9
、更改TTL

    cracker
可以根据ping回的TTL值来大致判断你的操作系统,如:

TTL=107(WINNT);

TTL=108(win2000);

TTL=127
128(win9x);

TTL=240
241(实际上你可以自己更改的:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\ParametersDefaultTTL REG_DWORD 0-0xff(0-255 十进制,默认值128)改成一个莫名其妙的数字如258,起码让那些小菜鸟晕上半天,就此放弃入侵你也不一定哦
10.
删除默认共享
   
有人问过我一开机就共享所有盘,改回来以后,重启又变成了共享是怎么回事,这是2K为管理而设置的默认共享,必须通过修改注册表的方式取消它:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\ParametersAutoShareServer类型是REG_DWORD把值改为0即可

11.
禁止建立空连接

默认情况下,任何用户通过通过空连接连上服务器,进而枚举出帐号,猜测密码。我们可以通过修改注册表来禁止建立空连接:

Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous
的值改成”1”即可。

第五招:其它安全手段

1.
禁用TCP/IP上的NetBIOS
   
网上邻居-属性-本地连接-属性-Internet协议(TCP/IP)属性-高级-WINS面板-NetBIOS设置-禁用TCP/IP上的NetBIOS。这样cracker就无法用nbtstat命令来读取你的NetBIOS信息和网卡MAC地址了。

2.
账户安全
   
首先禁止一切账户,除了你自己,呵呵。然后把Administrator改名。我呢就顺手又建了个Administrator账户,不过是什么权限都没有的那种,然后打开记事本,一阵乱敲,复制,粘贴到密码里去,呵呵,来破密码吧~!破完了才发现是个低级账户,看你崩溃不?

创建2个管理员用帐号

虽然这点看上去和上面这点有些矛盾,但事实上是服从上面的规则的。创建一个一般权限帐号用来收信以及处理一些*常事物,另一个拥有Administrators 权限的帐户只在需要的时候使用。可以让管理员使用 “ RunAS” 命令来执行一些需要特权才能作的一些工作,以方便管理

3.
更改C:\WINDOWS\Help\iisHelp\common\404b.htm内容改为 这样,出错了自动转到首页

4.
安全日志

      
我遇到过这样的情况,一台主机被别人入侵了,系统管理员请我去追查凶手,我登录进去一看:安全日志是空的,倒,请记住:Win2000的默认安装是不开任何安全审核的!那么请你到本地安全策略->审核策略中打开相应的审核,推荐的审核是:

账户管理成功失败

登录事件成功失败

对象访问失败

策略更改成功失败

特权使用失败

系统事件成功失败

目录服务访问失败

账户登录事件成功失败

审核项目少的缺点是万一你想看发现没有记录那就一点都没辙;审核项目太多不仅会占用系统资源而且会导致你根本没空去看,这样就失去了审核的意义

5.
运行防毒软件

我见过的Win2000/Nt服务器从来没有见到有安装了防毒软件的,其实这一点非常重要。一些好的杀毒软件不仅能杀掉一些著名的病毒,还能查杀大量木马和后门程序。这样的话,黑客们使用的那些有名的木马就毫无用武之地了。不要忘了经常升级病毒库,我们推荐mcafree杀毒软件+blackice_blank">防火墙

6.sqlserver
服务器安全和serv-u ftp服务器安全配置,更改默认端口,和管理密码

7.
设置ip筛选、用blackice禁止木马常用端口

一般禁用以下端口

135 138 139 443 445 4000 4899 7626

8.
本地安全策略和组策略的设置,如果你在设置本地安全策略时设置错了,可以这样恢复成它的默认值.

打开 %SystemRoot%\Security文件夹,创建一个 "OldSecurity"子目录,%SystemRoot%\Security下所有的.log文件移到这个新建的子文件夹中.



%SystemRoot%\Security\database\下找到"Secedit.sdb"安全并将其改名,如改为
Linux);

TTL=252(solaris);

TTL=240(Irix);

数据库数据库"Secedit.old".

,在设置服务选项中勾选Web服务器。
启动"安全配置和分析"MMC管理单元:"开始"->"运行"->"MMC",启动管理控制台,"添加/删除管理单元","安全配置和分析"管理单元添加上.



右击"安全配置和分析"->"打开数据库".



当系统提示输入一个模板时,选择"Setup Security.inf",单击"打开".



如果系统提示"拒绝访问不管他
",
数据库.



你会发现在"C:\WINNT\security\Database"子文件夹中重新生成了新的安全"C:\WINNT\security"子文件夹下重新生成了log文件.安全重建成功.
",
数据库,数据库
浏览"C:\WINNT\security\Database"文件夹,输入文件名"secedit.sdb",单击"打开
 
 
 
 
 
远程终端服务的配置:
1、修改终端服务配置
开始 -〉控制面板 -〉管理工具 -〉终端服务配置
左边选择连接后双击右边的RDP-Tcp,打开属性设置对话框
选择会话标签,选中第一个替代用户设置,修改结束已断开的会话的时间,此处我修改为“10分钟,这样当断开连接10分钟内没有再次连接的话,系统就会自动结束这个会话
2、修改组策略
这个级别要高于终端服务配置,在这个里面修改后,上面的终端服务配置那几个修改内容就会变灰,无法修改了。
开始 -〉运行 -gpedit.msc 左面计算机配置-〉管理模板-windows组件-〉终端服务
右面双击限制连接数量打开设置对话框,选择已启用,在结束已断开的会话中选择时间。
 
 
配置WEB服务器的LOG
合理配置IIS的LOG非常重要:
1. LOG的存放位置尽量不要在系统盘,否则会由于疏于维护而导致系统盘被占满,从而使得系统频频死机,速度变慢
2.  不要什么东西都进行LOG,只LOG有价值的文件,节省磁盘空间。也有利于LOG分析
 
 
IIS防止假死
Internet 信息服务(IIS)管理器->应用程序池->DefaultAppPool->右击属性
一、回收
1、回收工作进程(分钟):选中,值为1740
2、回收工作进程(请求数目):不选(原先设置为35000)
3、在下列时间回收工作进程:不填
4、消耗太多内存时回收工作进程:全不选。(2、3、4项可能避免了在访问量高的时候强制回收进程可能引发的服务器响应问题,导致iis假死不响应)
二、性能
只选中空闲超时20分钟。其他都不选。WEB园最大工作进程数为1(默认)。注意web园这里一定要保持默认,如果填写其他超过1的数字就会导致一些网站程序的后台程序打不开或者刷新不停。

原来的请求队列限制为4000,现在无限制。
三、运行状况
前两项都起用,是原来的默认设置。启动时间限制90秒,关闭时间限制180秒。

启动快速失败保护的钩去掉!
为了避免真的遇到很多错误时没有提示,可以不关闭,只是把快速保护的保护范围加大些,例如失败数50次时间段5分钟 则关闭对应的程序。

“关闭时间限制180秒”是必须的,因为进程关闭的时间,原来为90秒限制,是默认值,如果进程关闭时间超过90秒,则认为超时,从而出现:进程关闭时间超过了限制日志,所以,适当延长这个时间,可以避免这种错误!
回复3:
谢谢先,我先回收工作进程(分钟):不选看看,这样就不回收了~~~回收进程我设置过几个数,还有在下列时间回收工作进程:我设置夜晚12点左右
我先试下不选回收进程,同样试下你的测试,谢谢
回复4:
不回收测试一段时间,无发现在问题,但设置同littlelam(竹子岌)还是出现假死,我好作过回收的其它测试,但还是不行!事件如下:
为应用程序池 'AppPool #1' 提供服务的进程关闭时间超过了限制。进程 ID 是 '1376'。
如出现上面信息就就假死了
回复5:
一般上我手动回收下进程就可以,但老是每天回收一次很不爽