欧美bbbwbbbw肥妇,免费乱码人妻系列日韩,一级黄片

Windows 2003 服務(wù)器安全設(shè)置圖文教程

 更新時(shí)間:2013年05月17日 23:10:26   投稿:mdxy-dxy  
下面我來給大家分享一篇Windows 2003 服務(wù)器安全設(shè)置圖文教程,有需要了解的同學(xué)可參考,主要介紹了一些網(wǎng)絡(luò)優(yōu)化與安全方面的設(shè)置

一、系統(tǒng)的安裝

1、按照Windows2003安裝光盤的提示安裝,默認(rèn)情況下2003沒有把IIS6.0安裝在系統(tǒng)里面。
2、IIS6.0的安裝
開始菜單—>控制面板—>添加或刪除程序—>添加/刪除Windows組件
應(yīng)用程序 ———ASP.NET(可選)
|——啟用網(wǎng)絡(luò) COM+ 訪問(必選)
|——Internet 信息服務(wù)(IIS)———Internet 信息服務(wù)管理器(必選)
|——公用文件(必選)
|——萬維網(wǎng)服務(wù)———Active Server pages(必選)
|——Internet 數(shù)據(jù)連接器(可選)
|——WebDAV 發(fā)布(可選)
|——萬維網(wǎng)服務(wù)(必選)
|——在服務(wù)器端的包含文件(可選)


然后點(diǎn)擊確定—>下一步安裝。

3、系統(tǒng)補(bǔ)丁的更新(建議使用360或者服務(wù)器安全狗進(jìn)行補(bǔ)丁更新,windows自帶的容易出現(xiàn)問題)
點(diǎn)擊開始菜單—>所有程序—>Windows Update
按照提示進(jìn)行補(bǔ)丁的安裝。
4、備份系統(tǒng)
用GHOST備份系統(tǒng)(軟件下載http://www.dbjr.com.cn/softs/54.html這個(gè)是綠色軟件,很方便,如果不能使用可以使用http://www.dbjr.com.cn/softs/8860.html)。
5、安裝常用的軟件
例如:殺毒軟件mcafee、解壓縮軟件winrar等;安裝之后用GHOST再次備份系統(tǒng)。

服務(wù)器上更多的實(shí)用軟件可以到s.jb51.net下載。

二、系統(tǒng)權(quán)限的設(shè)置

1、磁盤權(quán)限
系統(tǒng)盤及所有磁盤只給 Administrators 組和 SYSTEM 的完全控制權(quán)限
系統(tǒng)盤\Documents and Settings 目錄只給 Administrators 組和 SYSTEM 的完全控制權(quán)限
系統(tǒng)盤\Documents and Settings\All Users 目錄只給 Administrators 組和 SYSTEM
的完全控制權(quán)限
系統(tǒng)盤\Inetpub 目錄及下面所有目錄、文件只給 Administrators 組和 SYSTEM 的完全控制權(quán)限
系統(tǒng)盤\Windows\System32\cacls.exe、cmd.exe、net.exe、net1.exe 文件只給
Administrators 組和 SYSTEM 的完全控制權(quán)限
2、本地安全策略設(shè)置
開始菜單—>管理工具—>本地安全策略
A、本地策略——>審核策略
審核策略更改 成功 失敗
審核登錄事件 成功 失敗
審核對(duì)象訪問 失敗
審核過程跟蹤 無審核
審核目錄服務(wù)訪問 失敗
審核特權(quán)使用 失敗
審核系統(tǒng)事件 成功 失敗
審核賬戶登錄事件 成功 失敗
審核賬戶管理 成功 失敗
B、本地策略——>用戶權(quán)限分配
關(guān)閉系統(tǒng):只有Administrators組、其它全部刪除。
通過終端服務(wù)拒絕登陸:加入Guests、User組
通過終端服務(wù)允許登陸:只加入Administrators組,其他全部刪除
C、本地策略——>安全選項(xiàng)
交互式登陸:不顯示上次的用戶名 啟用
網(wǎng)絡(luò)訪問:不允許SAM帳戶和共享的匿名枚舉 啟用
網(wǎng)絡(luò)訪問:不允許為網(wǎng)絡(luò)身份驗(yàn)證儲(chǔ)存憑證 啟用
網(wǎng)絡(luò)訪問:可匿名訪問的共享 全部刪除
網(wǎng)絡(luò)訪問:可匿名訪問的命 全部刪除
網(wǎng)絡(luò)訪問:可遠(yuǎn)程訪問的注冊(cè)表路徑 全部刪除
網(wǎng)絡(luò)訪問:可遠(yuǎn)程訪問的注冊(cè)表路徑和子路徑 全部刪除
帳戶:重命名來賓帳戶 重命名一個(gè)帳戶
帳戶:重命名系統(tǒng)管理員帳戶 重命名一個(gè)帳戶
3、禁用不必要的服務(wù)
開始菜單—>管理工具—>服務(wù)
Print Spooler
Remote Registry
TCP/IP NetBIOS Helper
Server
以上是在Windows Server 2003 系統(tǒng)上面默認(rèn)啟動(dòng)的服務(wù)中禁用的,默認(rèn)禁用的服務(wù)如沒特別需要的話不要啟動(dòng)。
4、啟用防火墻
桌面—>網(wǎng)上鄰居—>(右鍵)屬性—>本地連接—>(右鍵)屬性—>高級(jí)—>(選中)Internet 連接防火墻—>設(shè)置
把服務(wù)器上面要用到的服務(wù)端口選中
例如:一臺(tái)WEB服務(wù)器,要提供WEB(80)、FTP(21)服務(wù)及遠(yuǎn)程桌面管理(3389)
在“FTP 服務(wù)器”、“WEB服務(wù)器(HTTP)”、“遠(yuǎn)程桌面”前面打上對(duì)號(hào)
如果你要提供服務(wù)的端口不在里面,你也可以點(diǎn)擊“添加”銨鈕來添加,具體參數(shù)可以參照系統(tǒng)里面原有的參數(shù)。
然后點(diǎn)擊確定。注意:如果是遠(yuǎn)程管理這臺(tái)服務(wù)器,請(qǐng)先確定遠(yuǎn)程管理的端口是否選中或添加。


Win2003 Server的安全性較之Win2K確實(shí)有了很大的提高,但是用Win2003
Server作為服務(wù)器是否就真的安全了?如何才能打造一個(gè)安全的個(gè)人Web服務(wù)器?下面給大家一些建議:

一、Windows Server2003的安裝
1、安裝系統(tǒng)最少兩需要個(gè)分區(qū),分區(qū)格式都采用NTFS格式
2、在斷開網(wǎng)絡(luò)的情況安裝好2003系統(tǒng)
3、安裝IIS,僅安裝必要的 IIS 組件(禁用不需要的如FTP 和 SMTP
服務(wù))。默認(rèn)情況下,IIS服務(wù)沒有安裝,在添加/刪除Win組件中選擇“應(yīng)用程序服務(wù)器”,然后點(diǎn)擊“詳細(xì)信息”,雙擊Internet信息服務(wù)(iis),勾選以下選項(xiàng):
Internet 信息服務(wù)管理器;
公用文件;
后臺(tái)智能傳輸服務(wù) (BITS) 服務(wù)器擴(kuò)展;
萬維網(wǎng)服務(wù)。
如果你使用 FrontPage 擴(kuò)展的 Web 站點(diǎn)再勾選:FrontPage 2002 Server Extensions
4、安裝MSSQL及其它所需要的軟件然后進(jìn)行Update。
5、使用Microsoft 提供的 MBSA(Microsoft Baseline Security Analyzer)
工具分析計(jì)算機(jī)的安全配置,并標(biāo)識(shí)缺少的修補(bǔ)程序和更新。下載地址:見頁(yè)末的鏈接

二、設(shè)置和管理賬戶

1、系統(tǒng)管理員賬戶最好少建,更改默認(rèn)的管理員帳戶名(Administrator)和描述,密碼最好采用數(shù)字加大小寫字母加數(shù)字的上檔鍵組合,長(zhǎng)度最好不少于14位。
2、新建一個(gè)名為Administrator的陷阱帳號(hào),為其設(shè)置最小的權(quán)限,然后隨便輸入組合的最好不低于20位的密碼
3、將Guest賬戶禁用并更改名稱和描述,然后輸入一個(gè)復(fù)雜的密碼,當(dāng)然現(xiàn)在也有一個(gè)DelGuest的工具,也許你也可以利用它來刪除Guest賬戶,但我沒有試過。
4、在運(yùn)行中輸入gpedit.msc回車,打開組策略編輯器,選擇計(jì)算機(jī)配置-Windows設(shè)置-安全設(shè)置-賬戶策略-賬戶鎖定策略,將賬戶設(shè)為“三次登陸無效”,“鎖定時(shí)間為30分鐘”,“復(fù)位鎖定計(jì)數(shù)設(shè)為30分鐘”。
5、在安全設(shè)置-本地策略-安全選項(xiàng)中將“不顯示上次的用戶名”設(shè)為啟用
6、在安全設(shè)置-本地策略-用戶權(quán)利分配中將“從網(wǎng)絡(luò)訪問此計(jì)算機(jī)”中只保留Internet來賓賬戶、啟動(dòng)IIS進(jìn)程賬戶。如果你使用了Asp.net還要保留Aspnet賬戶。
7、創(chuàng)建一個(gè)User賬戶,運(yùn)行系統(tǒng),如果要運(yùn)行特權(quán)命令使用Runas命令。

三、網(wǎng)絡(luò)服務(wù)安全管理

1、禁止C$、D$、ADMIN$一類的缺省共享
打開注冊(cè)表,HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters,在右邊的窗口中新建Dword值,名稱設(shè)為AutoShareServer值設(shè)為0
2、 解除NetBios與TCP/IP協(xié)議的綁定
右擊網(wǎng)上鄰居-屬性-右擊本地連接-屬性-雙擊Internet協(xié)議-高級(jí)-Wins-禁用TCP/IP上的NETBIOS
3、關(guān)閉不需要的服務(wù),以下為建議選項(xiàng)
Computer Browser:維護(hù)網(wǎng)絡(luò)計(jì)算機(jī)更新,禁用
Distributed File System: 局域網(wǎng)管理共享文件,不需要禁用
Distributed linktracking client:用于局域網(wǎng)更新連接信息,不需要禁用
Error reporting service:禁止發(fā)送錯(cuò)誤報(bào)告
Microsoft Serch:提供快速的單詞搜索,不需要可禁用
NTLMSecuritysupportprovide:telnet服務(wù)和Microsoft Serch用的,不需要禁用
PrintSpooler:如果沒有打印機(jī)可禁用
Remote Registry:禁止遠(yuǎn)程修改注冊(cè)表
Remote Desktop Help Session Manager:禁止遠(yuǎn)程協(xié)助
四、打開相應(yīng)的審核策略
在運(yùn)行中輸入gpedit.msc回車,打開組策略編輯器,選擇計(jì)算機(jī)配置-Windows設(shè)置-安全設(shè)置-審核策略在創(chuàng)建審核項(xiàng)目時(shí)需要注意的是如果審核的項(xiàng)目太多,生成的事件也就越多,那么要想發(fā)現(xiàn)嚴(yán)重的事件也越難當(dāng)然如果審核的太少也會(huì)影響你發(fā)現(xiàn)嚴(yán)重的事件,所以你需要根據(jù)情況在這二者之間做出選擇。
推薦的要審核的項(xiàng)目:
登錄事件 成功 失敗
賬戶登錄事件 成功 失敗
系統(tǒng)事件 成功 失敗
策略更改 成功 失敗
對(duì)象訪問 失敗
目錄服務(wù)訪問 失敗
特權(quán)使用 失敗

五、其它安全相關(guān)設(shè)置
1、隱藏重要文件/目錄
可以修改注冊(cè)表實(shí)現(xiàn)完全隱藏:“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
Current-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL”,鼠標(biāo)右擊
“CheckedValue”,選擇修改,把數(shù)值由1改為0
2、啟動(dòng)系統(tǒng)自帶的Internet連接防火墻,在設(shè)置服務(wù)選項(xiàng)中勾選Web服務(wù)器。
3、防止SYN洪水攻擊
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值,名為SynAttackProtect,值為2
4. 禁止響應(yīng)ICMP路由通告報(bào)文
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface
新建DWORD值,名為PerformRouterDiscovery 值為0
5. 防止ICMP重定向報(bào)文的攻擊
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
將EnableICMPRedirects 值設(shè)為0
6. 不支持IGMP協(xié)議
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值,名為IGMPLevel 值為0
7、禁用DCOM:
運(yùn)行中輸入 Dcomcnfg.exe。 回車, 單擊“控制臺(tái)根節(jié)點(diǎn)”下的“組件服務(wù)”。 打開“計(jì)算機(jī)”子文件夾。
對(duì)于本地計(jì)算機(jī),請(qǐng)以右鍵單擊“我的電腦”,然后選擇“屬性”。選擇“默認(rèn)屬性”選項(xiàng)卡。
清除“在這臺(tái)計(jì)算機(jī)上啟用分布式 COM”復(fù)選框。
注:3-6項(xiàng)內(nèi)容我采用的是Server2000設(shè)置,沒有測(cè)試過對(duì)2003是否起作用。但有一點(diǎn)可以肯定我用了一段的時(shí)間沒有發(fā)現(xiàn)其它副面的影響。
六、配置 IIS 服務(wù):
1、不使用默認(rèn)的Web站點(diǎn),如果使用也要將 將IIS目錄與系統(tǒng)磁盤分開。
2、刪除IIS默認(rèn)創(chuàng)建的Inetpub目錄(在安裝系統(tǒng)的盤上)。
3、刪除系統(tǒng)盤下的虛擬目錄,如:_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。
4、刪除不必要的IIS擴(kuò)展名映射。
右鍵單擊“默認(rèn)Web站點(diǎn)→屬性→主目錄→配置”,打開應(yīng)用程序窗口,去掉不必要的應(yīng)用程序映射。主要為.shtml, .shtm,
.stm
5、更改IIS日志的路徑
右鍵單擊“默認(rèn)Web站點(diǎn)→屬性-網(wǎng)站-在啟用日志記錄下點(diǎn)擊屬性
6、如果使用的是2000可以使用iislockdown來保護(hù)IIS,在2003運(yùn)行的IE6.0的版本不需要。
7、使用UrlScan
UrlScan是一個(gè)ISAPI篩選器,它對(duì)傳入的HTTP數(shù)據(jù)包進(jìn)行分析并可以拒絕任何可疑的通信量。目前最新的版本是2.5,如果是2000Server需要先安裝1.0或2.0的版本。下載地址見頁(yè)未的鏈接
如果沒有特殊的要求采用UrlScan默認(rèn)配置就可以了。
但如果你在服務(wù)器運(yùn)行ASP.NET程序,并要進(jìn)行調(diào)試你需打開要%WINDIR%\System32\Inetsrv\URLscan
文件夾中的URLScan.ini 文件,然后在UserAllowVerbs節(jié)添加debug謂詞,注意此節(jié)是區(qū)分大小寫的。
如果你的網(wǎng)頁(yè)是.asp網(wǎng)頁(yè)你需要在DenyExtensions刪除.asp相關(guān)的內(nèi)容。
如果你的網(wǎng)頁(yè)使用了非ASCII代碼,你需要在Option節(jié)中將AllowHighBitCharacters的值設(shè)為1
在對(duì)URLScan.ini 文件做了更改后,你需要重啟IIS服務(wù)才能生效,快速方法運(yùn)行中輸入iisreset
如果你在配置后出現(xiàn)什么問題,你可以通過添加/刪除程序刪除UrlScan。
8、利用WIS (Web Injection Scanner)工具對(duì)整個(gè)網(wǎng)站進(jìn)行SQL Injection 脆弱性掃描.

七、配置Sql服務(wù)器
1、System Administrators 角色最好不要超過兩個(gè)
2、如果是在本機(jī)最好將身份驗(yàn)證配置為Win登陸
3、不要使用Sa賬戶,為其配置一個(gè)超級(jí)復(fù)雜的密碼
4、刪除以下的擴(kuò)展存儲(chǔ)過程格式為:
use master
sp_dropextendedproc '擴(kuò)展存儲(chǔ)過程名'
xp_cmdshell:是進(jìn)入*作系統(tǒng)的最佳捷徑,刪除
訪問注冊(cè)表的存儲(chǔ)過程,刪除
Xp_regaddmultistring Xp_regdeletekey Xp_regdeletevalue Xp_regenumvalues
Xp_regread Xp_regwrite Xp_regremovemultistring
OLE自動(dòng)存儲(chǔ)過程,不需要?jiǎng)h除
Sp_OACreate Sp_OADestroy Sp_OAGetErrorInfo Sp_OAGetProperty
Sp_OAMethod Sp_OASetProperty Sp_OAStop
5、隱藏 SQL Server、更改默認(rèn)的1433端口
右擊實(shí)例選屬性-常規(guī)-網(wǎng)絡(luò)配置中選擇TCP/IP協(xié)議的屬性,選擇隱藏 SQL Server 實(shí)例,并改原默認(rèn)的1433端口。
八、如果只做服務(wù)器,不進(jìn)行其它*作,使用IPSec
1、管理工具—本地安全策略—右擊IP安全策略—管理IP篩選器表和篩選器*作—在管理IP篩選器表選項(xiàng)下點(diǎn)擊
添加—名稱設(shè)為Web篩選器—點(diǎn)擊添加—在描述中輸入Web服務(wù)器—將源地址設(shè)為任何IP地址——將目標(biāo)地址設(shè)為我的IP地址——協(xié)議類型設(shè)為Tcp——IP協(xié)議端口第一項(xiàng)設(shè)為從任意端口,第二項(xiàng)到此端口80——點(diǎn)擊完成——點(diǎn)擊確定。
2、再在管理IP篩選器表選項(xiàng)下點(diǎn)擊
添加—名稱設(shè)為所有入站篩選器—點(diǎn)擊添加—在描述中輸入所有入站篩選—將源地址設(shè)為任何IP地址——將目標(biāo)地址設(shè)為我的IP地址——協(xié)議類型設(shè)為任意——點(diǎn)擊下一步——完成——點(diǎn)擊確定。
3、在管理篩選器*作選項(xiàng)下點(diǎn)擊添加——下一步——名稱中輸入阻止——下一步——選擇阻止——下一步——完成——關(guān)閉管理IP篩選器表和篩選器*作窗口
4、右擊IP安全策略——?jiǎng)?chuàng)建IP安全策略——下一步——名稱輸入數(shù)據(jù)包篩選器——下一步——取消默認(rèn)激活響應(yīng)原則——下一步——完成
5、在打開的新IP安全策略屬性窗口選擇添加——下一步——不指定隧道——下一步——所有網(wǎng)絡(luò)連接——下一步——在IP篩選器列表中選擇新建的
Web篩選器——下一步——在篩選器*作中選擇許可——下一步——完成——在IP篩選器列表中選擇新建的阻止篩選器——下一步——在篩選器*作中選擇阻止
——下一步——完成——確定
6、在IP安全策略的右邊窗口中右擊新建的數(shù)據(jù)包篩選器,點(diǎn)擊指派,不需要重啟,IPSec就可生效.
九 嚴(yán)重注意
如果你按這些去*作,建議每做一項(xiàng)更改就測(cè)試一下服務(wù)器,如果有問題可以馬上撤消更改。而如果更改的項(xiàng)數(shù)多,才發(fā)現(xiàn)出問題,那就很難判斷問題是出在哪一步上了。

十、運(yùn)行服務(wù)器記錄當(dāng)前的程序和開放的端口

1、將當(dāng)前服務(wù)器的進(jìn)程抓圖或記錄下來,將其保存,方便以后對(duì)照查看是否有不明的程序。
2、將當(dāng)前開放的端口抓圖或記錄下來,保存,方便以后對(duì)照查看是否開放了不明的端口。當(dāng)然如果你能分辨每一個(gè)進(jìn)程,和端口這一步可以省略。

建議設(shè)置

本地鏈接屬性

極限測(cè)試

在”網(wǎng)絡(luò)連接”里,把不需要的協(xié)議和服務(wù)都刪掉,這里只安裝了基本的Internet協(xié)議(TCP/IP),由于要控制帶寬流量服務(wù),額外安裝了Qos數(shù)據(jù)包計(jì)劃程序。
tcpip1.jpg

tcpip13.jpg

在高級(jí)tcp/ip設(shè)置里--"NetBIOS"設(shè)置"禁用tcp/IP上的NetBIOS(S)"。

tcpip2.jpg

在2003系統(tǒng)里,不推薦用TCP/IP篩選里的端口過濾功能,譬如在使用FTP服務(wù)器的時(shí)候,如果僅僅只開放21端口,由于FTP協(xié)議的特殊性,在進(jìn)行FTP傳輸?shù)臅r(shí)候,由于FTP 特有的Port模式和Passive模式,在進(jìn)行數(shù)據(jù)傳輸?shù)臅r(shí)候,需要?jiǎng)討B(tài)的打開高端口,所以在使用TCP/IP過濾的情況下,經(jīng)常會(huì)出現(xiàn)連接上后無法列出目錄和數(shù)據(jù)傳輸?shù)膯栴}。所以在2003系統(tǒng)上增加的windows連接防火墻能很好的解決這個(gè)問題,所以都不推薦使用網(wǎng)卡的TCP/IP過濾功能。

tcpip3.jpg

在高級(jí)選項(xiàng)里,使用”Internet連接防火墻”,這是windows 2003 自帶的防火墻,在2000系統(tǒng)里沒有的功能,雖然沒什么功能,但可以屏蔽端口,這樣已經(jīng)基本達(dá)到了一個(gè)IPSec的功能。

tcpip4.jpg

tcpip5.jpg

tcpip6.jpg

放開使用到的端口,如果修改了遠(yuǎn)程桌面的端口,別忘記添加上。如果有郵件服務(wù)器的話還要放開SMTP服務(wù)器端口25 POP3服務(wù)器端口110。對(duì)外提供服務(wù)的端口都要加上,不然無法訪問服務(wù)。

tcpip12.jpg

tcpip7.jpg

tcpip8.jpg

tcpip9.jpg

修改ICMP設(shè)置,建議全部啟用,便于網(wǎng)絡(luò)測(cè)試ping等

tcpip10.jpg

tcpip11.jpg

當(dāng)然為了安全也防止本機(jī)成為肉雞,有時(shí)候需要設(shè)置本地不要訪問外部的80,22等端口,這里提供一個(gè)bat代碼,如果需要訪問 外部的網(wǎng)站需要把80端口去掉就可以了

@rem 配置windows2003系統(tǒng)的IP安全策略
@rem version 3.0 time:2014-5-12

netsh ipsec static add policy name=drop
netsh ipsec static add filterlist name=drop_port
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=21 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=22 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=23 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=25 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=53 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=80 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=135 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=139 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=443 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=445 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=1314 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=1433 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=1521 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=2222 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=3306 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=3433 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=3389 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=4899 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=8080 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any dstport=18186 protocol=TCP mirrored=no
netsh ipsec static add filter filterlist=drop_port srcaddr=me dstaddr=any protocol=UDP mirrored=no
netsh ipsec static add filteraction name=denyact action=block
netsh ipsec static add rule name=kill policy=drop filterlist=drop_port filteraction=denyact
netsh ipsec static set policy name=drop assign=y

權(quán)限的設(shè)置所有磁盤分區(qū)的根目錄只給Administrators組和SYSTEM 的完全控制權(quán)限,注意系統(tǒng)盤不要替換子目錄的權(quán)限。windows目錄和Program Files目錄等一些目錄并沒有繼承父目錄權(quán)限,這些目錄還需要其它一些權(quán)限才能運(yùn)行。 C:Documents and Settings 目錄只給 Administrators 組和 SYSTEM 的完全控制權(quán)限,并應(yīng)用到子對(duì)象的項(xiàng)目替代所有子對(duì)象的權(quán)限項(xiàng)目。 系統(tǒng)盤Documents and SettingsAll Users 目錄只給 Administrators 組和 SYSTEM 的完全控制權(quán)限。這里給的system權(quán)限也不一定需要給,只是由于某些第三方應(yīng)用程序是以服務(wù)形式啟動(dòng)的,需要加上這個(gè)用戶,否則造成啟動(dòng)不了。

cacls1.jpg

cacls2.jpg

cacls3.jpg

c:/Documents and Settings/這里要注意,后面的目錄里的權(quán)限根本不會(huì)繼承從前的設(shè)置,如果僅僅只是設(shè)置了C盤給administrators權(quán)限,而在All Users/Application Data目錄下會(huì) 出現(xiàn)everyone用戶有完全控制權(quán)限,這樣入侵這可以跳轉(zhuǎn)到這個(gè)目錄,寫入腳本或只文件,再結(jié)合其他漏洞來提升權(quán)限;譬如利用serv-u的本地溢出提升權(quán)限,或系統(tǒng)遺漏有補(bǔ)丁,數(shù)據(jù)庫(kù)的弱點(diǎn)等等。在用做web/ftp服務(wù)器的系統(tǒng)里,建議設(shè)置。

cacls4.jpg

Windows目錄要加上給users的默認(rèn)權(quán)限,否則ASP和ASPX等應(yīng)用程序就無法運(yùn)行。如果修改的話,不要應(yīng)用到子對(duì)象的項(xiàng)目替代所有子對(duì)象的權(quán)限項(xiàng)目。系統(tǒng)目錄權(quán)限拿不準(zhǔn)的話就不要?jiǎng)恿?,一般做好根目錄和Documents and Settings就比較安全了,asp程序訪問不了根目錄就訪問不了子目錄。

cacls5.jpg

另外Documents and Settings目錄增加Users用戶組的讀取運(yùn)行權(quán)限,可以避免出現(xiàn)LoadUserProfile失敗,需要注意的是一但有users組讀取權(quán)限,asp木馬就能訪問這個(gè)目錄。為了安全需要接受一些錯(cuò)誤日志。(2009年1月13日備注:貌似是沒有system完全就出現(xiàn)LoadUserProfile,與users無關(guān)。)

cacls7.jpg

系統(tǒng)盤
下 cacls.exe; cmd.exe; net.exe; net1.exe; ftp.exe; tftp.exe; telnet.exe; netstat.exe; regedit.exe; at.exe; attrib.exe; format.com 文件只給 Administrators 組和SYSTEM 的完全控制權(quán)限。可查找一下統(tǒng)一設(shè)置,或者編輯一份批處理,使用cacls命令處理。

cacls6.jpg

本地策略→審核策略

  審核策略更改   成功 失敗  
  審核登錄事件   成功 失敗
  審核對(duì)象訪問      失敗
  審核過程跟蹤   無審核
  審核目錄服務(wù)訪問    失敗
  審核特權(quán)使用      失敗
  審核系統(tǒng)事件   成功 失敗
  審核賬戶登錄事件 成功 失敗
  審核賬戶管理   成功 失敗

  本地策略→用戶權(quán)限分配
  關(guān)閉系統(tǒng):只有Administrators組、其它全部刪除。
  通過終端服務(wù)允許登陸:只加入Administrators,Remote Desktop Users組,其他全部刪除

  本地策略→安全選項(xiàng)
  交互式登陸:不顯示上次的用戶名       啟用
  網(wǎng)絡(luò)訪問:不允許SAM帳戶和共享的匿名枚舉  啟用
  網(wǎng)絡(luò)訪問:不允許為網(wǎng)絡(luò)身份驗(yàn)證儲(chǔ)存憑證   啟用
  網(wǎng)絡(luò)訪問:可匿名訪問的共享         全部刪除
  網(wǎng)絡(luò)訪問:可匿名訪問的命          全部刪除
  網(wǎng)絡(luò)訪問:可遠(yuǎn)程訪問的注冊(cè)表路徑      全部刪除
  網(wǎng)絡(luò)訪問:可遠(yuǎn)程訪問的注冊(cè)表路徑和子路徑  全部刪除
  帳戶:重命名來賓帳戶            重命名一個(gè)帳戶
  帳戶:重命名系統(tǒng)管理員帳戶         重命名一個(gè)帳戶

【禁用不必要的服務(wù) 開始-運(yùn)行-services.msc】

  Computer Browser?。壕S護(hù)網(wǎng)絡(luò)上計(jì)算機(jī)的最新列表以及提供這個(gè)列表
  Distributed File System?。壕钟蚓W(wǎng)管理共享文件,不需要可禁用
  Distributed Link Tracking Client?。河糜诰钟蚓W(wǎng)更新連接信息,不需要可禁用
  Error Reporting Service?。航拱l(fā)送錯(cuò)誤報(bào)告
  Messenger?。簜鬏斂蛻舳撕头?wù)器之間的 NET SEND 和 警報(bào)器服務(wù)消息
  Microsoft Serch?。禾峁┛焖俚膯卧~搜索,不需要可禁用
  NT LM Security Support Provider?。簍elnet服務(wù)和Microsoft Serch用的,不需要可禁用
  Print Spooler?。喝绻麤]有打印機(jī)可禁用
  Remote Desktop Help Session Manager?。航惯h(yuǎn)程協(xié)助
  Remote Registry:禁止遠(yuǎn)程修改注冊(cè)表
  Server?。褐С执擞?jì)算機(jī)通過網(wǎng)絡(luò)的文件、打印、和命名管道共享
  Task scheduler?。涸试S程序在指定時(shí)間運(yùn)行
  TCP/IPNetBIOS Helper?。禾峁?TCP/IP 服務(wù)上的 NetBIOS 和網(wǎng)絡(luò)上客戶端的 NetBIOS 名稱解析的支持而使用戶能夠共享文
  Workstation?。宏P(guān)閉的話遠(yuǎn)程N(yùn)ET命令列不出用戶組
  以上是在Windows Server 2003 系統(tǒng)上面默認(rèn)啟動(dòng)的服務(wù)中禁用的,默認(rèn)禁用的服務(wù)如沒特別需要的話不要啟動(dòng)。

【卸載最不安全的組件】

  最簡(jiǎn)單的辦法是直接卸載后刪除相應(yīng)的程序文件。

  將下面的代碼保存為一個(gè).BAT文件,( 以下以win2003為例系統(tǒng)文件夾應(yīng)該是 C:WINDOWS )

復(fù)制代碼 代碼如下:

  regsvr32 /u C:WINDOWSsystem32wshom.ocx
  regsvr32 /u C:windowssystem32wshext.dll
  regsvr32 /u C:WINDOWSsystem32shell32.dll


  如果有可能刪除這些組件
  del C:WINDOWSsystem32shell32.dll
  del C:WINDOWSsystem32wshom.ocx
  del C:windowssystem32wshext.dll
  然后運(yùn)行一下,WScript.Shell, Shell.application, WScript.Network就會(huì)被卸載了。
  去http://www.ajiang.net/products/aspcheck/下載阿江的探針查看相關(guān)安全設(shè)置情況。

  可能會(huì)提示無法刪除文件,不用管它,重啟一下服務(wù)器,你會(huì)發(fā)現(xiàn)這三個(gè)都提示“×安全”了。

  恢復(fù)的話,去掉/u就行了FSO(FileSystemObject)是微軟ASP的一個(gè)對(duì)文件操作的控件,該控件可以對(duì)服務(wù)器進(jìn)行讀取、新建、修改、刪除目錄以及文件的操作。是ASP編程中非常有用的一個(gè)控件。但是因?yàn)闄?quán)限控制的問題,很多虛擬主機(jī)服務(wù)器的FSO反而成為這臺(tái)服務(wù)器的一個(gè)公開的后門,因?yàn)榭蛻艨梢栽谧约旱腁SP網(wǎng)頁(yè)里面直接就對(duì)該控件編程,從而控制該服務(wù)器甚至刪除服務(wù)器上的文件。因此不少業(yè)界的虛擬主機(jī)提供商都干脆關(guān)掉了這個(gè)控件,讓客戶少了很多靈活性。我們公司的W2K虛擬主機(jī)服務(wù)器具有高安全性,可以讓客戶在自己的網(wǎng)站空間中任意使用卻有沒有辦法危害系統(tǒng)或者妨礙其他客戶網(wǎng)站的正常運(yùn)行。

FSO的添加

1、首先在系統(tǒng)盤中查找scrrun.dll,如果存在這個(gè)文件,請(qǐng)?zhí)降谌?,如果沒有,請(qǐng)執(zhí)行第二步。
2、在安裝文件目錄i386中找到scrrun.dl_,用winrar解壓縮后scrrun.dll復(fù)制到系統(tǒng)盤:windowssystem32目錄。
3、運(yùn)行regsvr32 scrrun.dll即可。

FSO刪除
regsvr32 /u scrrun.dll
建議保留

卸載stream對(duì)象

在cmd下運(yùn)行:
regsvr32 /s /u "C:Program FilesCommon FilesSystemadomsado15.dll"
恢復(fù)的話,去掉/u就行了,建議保留修改遠(yuǎn)程桌面連接的3389端口為9874,十六進(jìn)制2692等于十進(jìn)制9874,根據(jù)需要修改成合適的端口。將下面的內(nèi)容保存為.reg文件,導(dǎo)入注冊(cè)表即可。(非必需)
復(fù)制代碼 代碼如下:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWdsrdpwdTdstcp]
"PortNumber"=dword:00002692

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp]
"PortNumber"=dword:00002692


殺毒

這里介紹MCAFEE 8.5i 中文企業(yè)版(s.jb51.net有的下載)
因?yàn)檫@個(gè)版本對(duì)于國(guó)內(nèi)的許多惡意代碼和木馬都能夠及時(shí)的更新.
比如已經(jīng)能夠檢測(cè)到海陽(yáng)頂端2006
而且能夠殺除IMAIL等SMTP軟件使用的隊(duì)列中MIME編碼的病毒文件
而很多人喜歡安裝諾頓企業(yè)版.而諾頓企業(yè)版,對(duì)于WEBSHELL.基本都是沒有反應(yīng)的.
而且無法對(duì)于MIME編碼的文件進(jìn)行殺毒.
在MCAFEE中.
我們還能夠加入規(guī)則.阻止在windows目錄建立和修改EXE.DLL文件等
我們?cè)谲浖屑尤雽?duì)WEB目錄的殺毒計(jì)劃.
每天執(zhí)行一次
并且打開實(shí)時(shí)監(jiān)控.
注意:安裝一些殺毒軟件會(huì)影響ASP地執(zhí)行,是因?yàn)榻昧薺script.dll和vbscript.dll組件
在dos方式下運(yùn)行 regsvr32 jscript.dll, regsvr32 vbscript.dll解除限制即可
比如出現(xiàn) 請(qǐng)求的資源在使用中

regsvr32 %windir%system32jscript.dll
regsvr32 %windir%system32vbscript.dll

關(guān)于ip安全策略可以參考這篇文章:

http://www.dbjr.com.cn/article/23037.htm

http://www.dbjr.com.cn/article/30832.htm

相關(guān)文章

最新評(píng)論