windowsServer服務(wù)器系統(tǒng)自身安全防護(hù)措施

1、Win dows Server系統(tǒng)自身安全防護(hù)措施提示：為慎重操作，可以先在測試機(jī)做關(guān)閉測試，最好通過與廠方工程師商定后再設(shè)一、關(guān)閉服務(wù)器不必要端口利用win2003自帶防火墻關(guān)閉所有端口，如就留一個端口：80。（設(shè)置有兩種方法,一個使用windows自帶防火墻設(shè)，一個實(shí)在 TCP/IP屬性里設(shè)。）設(shè)置方法：1、在“網(wǎng)絡(luò)連接”屬性里設(shè)置 wi ndows防火墻。2、將需要打開的端口添加進(jìn)去。建議大家盡可能少打開端口。盡量不要開遠(yuǎn)程桌面2£1|_Windows防火堆常規(guī)丨例外地址LKB 冋絡(luò)連接設(shè)辻対下列選定的連接啟用了1 外潔選擇連接*然后單廿高皺設(shè)置服務(wù)ICUF回本地連接3選擇In

2、tt用戶可以訪問的運(yùn)行于您的網(wǎng)路一 磯）.服奴FTP服等器安全日志記錄您可以創(chuàng)淫用于段難解管由ICMF酒過Internet控制消息同 宜機(jī)可能共至錯餞和狀態(tài)fl Irktnet郵件訪問協(xié)溟版本3 GltlAP33 Internet郵件訪問協(xié)溟版本4 aitlAP4） Internal由田牛服務(wù)器（SMTFJTtLnet.服務(wù)器 斶服務(wù)器CHTTF 安全簾小服（HTTPS） 郵局協(xié)溟版本3（T0F3） 遠(yuǎn)程臬面00默認(rèn)設(shè)置忝加匹）|編輯一|I要將所育Window 1防火墻* 諸單擊'還原為默認(rèn)值”二、 在服務(wù)中關(guān)閉不必要的服務(wù)以下服務(wù)可以關(guān)閉：Computer Browser維護(hù)網(wǎng)絡(luò)上計(jì)

3、算機(jī)的最新列表以及提供這個列表Task scheduler允許程序在指定時間運(yùn)行Routi ng and Remote Access在局域網(wǎng)以及廣域網(wǎng)環(huán)境中為企業(yè)提供路由服務(wù)Removable storage 管理可移動媒體、驅(qū)動程序和庫Remote Registry Service允許遠(yuǎn)程注冊表操作Print Spooler將文件加載到內(nèi)存中以便以后打印。要用打印機(jī)的朋友不能禁用這項(xiàng)IPSEC Policy Agent 管理IP安全策略以及啟動ISAKMP/OakleylKE）和IP安全驅(qū)動程序 Distributed Link Tracking Client當(dāng)文件在網(wǎng)絡(luò)域的 NTFS卷中移

4、動時發(fā)送通知Com+ Eve nt System 提供事件的自動發(fā)布到訂閱 CO組件Alerter通知選定的用戶和計(jì)算機(jī)管理警報Error Report ing Service收集、存儲和向 Microsoft 報告異常應(yīng)用程序Messenger傳輸客戶端和服務(wù)器之間的NET SEND和 警報器服務(wù)消息Telnet允許遠(yuǎn)程用戶登錄到此計(jì)算機(jī)并運(yùn)行程序三、在”網(wǎng)絡(luò)連接”里，把不需要的協(xié)議和服務(wù)都刪掉。這里只安裝了基本的In ternet協(xié)議 (TCP/IP )和Microsoft網(wǎng)絡(luò)客戶端。在高級 tcp/ip設(shè)置里-"NetBIOS"設(shè)置“禁用tcp/IP上的 NetBIO

5、S ( S)”。四、運(yùn)行pgedit.msc，配置“用戶權(quán)限分配”>>在安全設(shè)置里 本地策略-安全選項(xiàng)網(wǎng)絡(luò)訪問：可匿名訪問的共享；網(wǎng)絡(luò)訪問：可匿名訪問的命名管道；網(wǎng)絡(luò)訪問：可遠(yuǎn)程訪問的注冊表路徑；網(wǎng)絡(luò)訪問：可遠(yuǎn)程訪問的注冊表路徑和子路徑 ； 將以上四項(xiàng)全部刪除>>不允許SAM賬戶的匿名枚舉 更改為"已啟用">>不允許SAM賬戶和共享的匿名枚舉更改為"已啟用">>網(wǎng)絡(luò)訪問：不允許存儲網(wǎng)絡(luò)身份驗(yàn)證的憑據(jù)或.NET Passports 更改為”已啟用>>網(wǎng)絡(luò)訪問限制匿名訪問命名管道和共享，更改為&qu

6、ot;已啟用"將以上四項(xiàng)通通設(shè)為“已啟用”五、關(guān)閉每個硬盤的默認(rèn)共享。在Windows 2000/XP/2003系統(tǒng)中，邏輯分區(qū)與 Windows目錄默認(rèn)為共享，這是為管理員管理服務(wù)器的方便而設(shè)，但卻成為了別有用心之徒可趁的 安全漏洞。六、IIS （Internet信息服務(wù)器管理器）1、在"主目錄"選項(xiàng)設(shè)置以下： 讀允許寫不允許建議關(guān)閉建議關(guān)閉建議關(guān)閉推薦選擇純腳本”。腳本源訪問不允許 目錄瀏覽 記錄訪問 索引資源 執(zhí)行權(quán)限r(nóng)文件操作直看邊窗口幫助®倒E1K廚常曲因* Internet信宜服務(wù)FEtUGFADFAK庫甩計(jì)霍 3J應(yīng)用程存池 白岡站1 祐默

7、認(rèn)網(wǎng)站 | S 'PnbVote 屬性ig_commor+ PubVote + -Xj ReaderVo不-Reports l±j -出 ReportSei S - _j aspne t_亡 A WebSetupl3H血西勞擴(kuò)展.塩抱目錄|文檔丨目錄安全性丨肛TF頭|目定文錯饃1 ASF. HET 此費(fèi)源的內(nèi)容來自:金此計(jì)算楓上的目錄蟲C另一舍計(jì)算機(jī)上的共車r重矩向到UKLQJ）本地路徑C）.D1 wfibrootFulVoteWeti瀏覽）r腳本資源訪問g） 讀取 寫入 目錄瀏覽©）17廠廠應(yīng)用程序設(shè)置應(yīng)用程序名W：|PubVote刪除1開始位置：銀認(rèn)悶站PubVcte配置執(zhí)疔權(quán)隈世）:|純腳本應(yīng)用程序池堪）：|PubvQite卸載1確定軀消1應(yīng)用迦1幫助2、建議使用W3C擴(kuò)充日志文件格式，每天記錄客戶IP地址，用戶名，服務(wù)器端口，方法,URI字根，HTTP狀態(tài)，用戶代理，而且每天均要審查日志。（最好不要使用缺省的目錄，建議更換一個記日志的路徑，同時設(shè)置日志的訪問權(quán)限，只允 許管理員和