windows 2003 安全相關措施

這篇文章是本身整理之前相關文章的方法，也會不間斷更新，留作備用，但願對你們也可以有所幫助！！

 

第一招：正確劃分文件系統格式，選擇穩定的操做系統安裝盤
爲了提升安全性，服務器的文件系統格式必定要劃分紅NTFS（新技術文件系統）格式，它比FAT1六、FAT32的安全性、空間利用率都大大的提升，咱們能夠經過它來配置文件的安全性，磁盤配額、EPS文件加密等。若是你已經分紅FAT32的格式了，能夠用CONVERT 盤符 /FS：NTFS　 /V 來把FAT32轉換成NTFS格式。正確安裝windows 2003 server
第二招：正確設置磁盤的安全性 , 具體以下 ( 虛擬機的安全設置，咱們以 asp 程序爲例子 ) 重點：
一、系統盤權限設置
C:分區部分：
c:\
administrators 所有(該文件夾，子文件夾及文件)
CREATOR OWNER　所有(只有子文件來及文件)
system 所有(該文件夾，子文件夾及文件)
IIS_WPG 建立文件/寫入數據(只有該文件夾)
IIS_WPG(該文件夾，子文件夾及文件)
遍歷文件夾/運行文件
列出文件夾/讀取數據
讀取屬性
建立文件夾/附加數據
讀取權限
c:\Documents and Settings
administrators 所有(該文件夾，子文件夾及文件)
Power Users (該文件夾，子文件夾及文件)
讀取和運行
列出文件夾目錄
讀取
SYSTEM所有(該文件夾，子文件夾及文件)
C:\Program Files
administrators 所有(該文件夾，子文件夾及文件)
CREATOR OWNER所有(只有子文件來及文件)
IIS_WPG (該文件夾，子文件夾及文件)
讀取和運行
列出文件夾目錄
讀取
Power Users(該文件夾，子文件夾及文件)
修改權限
SYSTEM所有(該文件夾，子文件夾及文件)
TERMINAL SERVER USER (該文件夾，子文件夾及文件)
修改權限
2 、網站及虛擬機權限設置 ( 好比網站在 E 盤 )
說明：咱們假設網站所有在E盤wwwsite目錄下，而且爲每個虛擬機建立了一個guest用戶，用戶名爲vhost1...vhostn而且建立了一個webuser組，把全部的vhost用戶所有加入這個webuser組裏面方便管理
E:\
Administrators所有(該文件夾，子文件夾及文件)
E:\wwwsite
Administrators所有(該文件夾，子文件夾及文件)
system所有(該文件夾，子文件夾及文件)
service所有(該文件夾，子文件夾及文件)
E:\wwwsite\vhost1
Administrators所有(該文件夾，子文件夾及文件)
system所有(該文件夾，子文件夾及文件)
vhost1所有(該文件夾，子文件夾及文件)
3 、數據備份盤
數據備份盤最好只指定一個特定的用戶對它有徹底操做的權限
好比F盤爲數據備份盤，咱們只指定一個管理員對它有徹底操做的權限
4 、其它地方的權限設置
請找到c盤的這些文件，把安全性設置只有特定的管理員有徹底操做權限
下列這些文件只容許administrators訪問
net.exe
net1.exet
cmd.exe
tftp.exe
netstat.exe
regedit.exe
at.exe
attrib.exe
cacls.exe
format.com
5. 刪除 c:\inetpub 目錄，刪除 iis 沒必要要的映射，創建陷阱賬號，更改描述
第三招：禁用沒必要要的服務，提升安全性和系統效率
Computer Browser 維護網絡上計算機的最新列表以及提供這個列表
Task scheduler 容許程序在指定時間運行
Routing and Remote Access 在局域網以及廣域網環境中爲企業提供路由服務
Removable storage 管理可移動媒體、驅動程序和庫
Remote Registry Service 容許遠程註冊表操做
Print Spooler 將文件加載到內存中以便之後打印。要用打印機的朋友不能禁用這項
IPSEC Policy Agent 管理IP安全策略以及啓動ISAKMP/OakleyIKE)和IP安全驅動程序
Distributed Link Tracking Client 當文件在網絡域的NTFS卷中移動時發送通知
Com+ Event System 提供事件的自動發佈到訂閱COM組件
Alerter 通知選定的用戶和計算機管理警報
Error Reporting Service 收集、存儲和向 Microsoft 報告異常應用程序
　Messenger 傳輸客戶端和服務器之間的 NET SEND 和 警報器服務消息
Telnet 容許遠程用戶登陸到此計算機並運行程序
第四招 : 修改註冊表，讓系統更強壯
一、隱藏重要文件/目錄能夠修改註冊表實現徹底隱藏：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ Windows\ Current-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL」，鼠標右擊 「CheckedValue」，選擇修改，把數值由1改成0
二、啓動系統自帶的Internet鏈接_blank">防火牆，在設置服務選項中勾選Web服務器。
三、防止SYN洪水***
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值，名爲SynAttackProtect，值爲2
EnablePMTUDiscovery REG_DWORD 0
NoNameReleaseOnDemand REG_DWORD 1
EnableDeadGWDetect REG_DWORD 0
KeepAliveTime REG_DWORD 300,000
PerformRouterDiscovery REG_DWORD 0
EnableICMPRedirects REG_DWORD 0
4. 禁止響應ICMP路由通告報文
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface
新建DWORD值，名爲PerformRouterDiscovery 值爲0
5. 防止ICMP重定向報文的***
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
將EnableICMPRedirects 值設爲0
6. 不支持IGMP協議
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值，名爲IGMPLevel 值爲0
7.修改終端服務端口
運行regedit，找到[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Terminal Server \ Wds \ rdpwd \ Tds \ tcp]，看到右邊的PortNumber了嗎？在十進制狀態下改爲你想要的端口號吧，好比7126之類的，只要不與其它衝突便可。
二、第二處HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Terminal Server \ WinStations \ RDP-Tcp，方法同上，記得改的端口號和上面改的同樣就好了。
八、禁止IPC空鏈接：
　cracker能夠利用net use命令創建空鏈接，進而***，還有net view，nbtstat這些都是基於空鏈接的，禁止空鏈接就行了。打開註冊表，找到Local_Machine\System\ CurrentControlSet\Control\LSA-RestrictAnonymous 把這個值改爲」1」便可。
九、更改TTL值
　 cracker能夠根據ping回的TTL值來大體判斷你的操做系統，如：
TTL=107(WINNT);
TTL=108(win2000);
TTL=127或128(win9x);
TTL=240或241(linux);
TTL=252(solaris);
TTL=240(Irix);
實際上你能夠本身更改的：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ Tcpip\Parameters：DefaultTTL REG_DWORD 0-0xff(0-255 十進制,默認值128)改爲一個莫名其妙的數字如258，起碼讓那些小菜鳥暈上半天，就此放棄***你也不必定哦
10. 刪除默認共享
　有時一開機就共享全部盤，改回來之後，重啓又變成了共享是怎麼回事，這是2K爲管理而設置的默認共享，必須經過修改註冊表的方式取消它： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters： AutoShareServer類型是REG_DWORD把值改成0便可
11. 禁止創建空鏈接
默認狀況下，任何用戶經過經過空鏈接連上服務器，進而枚舉出賬號，猜想密碼。咱們能夠經過修改註冊表來禁止創建空鏈接：
Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous 的值改爲」1」便可。
第五招:其它安全手段
1.禁用TCP/IP上的NetBIOS
　網上鄰居-屬性-本地鏈接-屬性-Internet協議（TCP/IP）屬性-高級-WINS面板-NetBIOS設置-禁用TCP/IP上的NetBIOS。這樣cracker就沒法用nbtstat命令來讀取你的NetBIOS信息和網卡MAC地址了。
2. 帳戶安全
　首先禁止一切帳戶，除了你本身，呵呵。而後把Administrator更名。我呢就順手又建了個Administrator帳戶，不過是什麼權限都沒有的那種，而後打開記事本，一陣亂敲，複製，粘貼到「密碼」裏去，呵呵，來破密碼吧~！破完了才發現是個低級帳戶，看你崩潰不？
建立2個管理員用賬號
雖然這點看上去和上面這點有些矛盾，但事實上是服從上面的規則的。建立一個通常權限賬號用來收信以及處理一些*常事物，另外一個擁有Administrators 權限的賬戶只在須要的時候使用。可讓管理員使用 「 RunAS」 命令來執行一些須要特權才能做的一些工做，以方便管理
3.更改C:\WINDOWS\Help\iisHelp\common\404b.htm內容改成 <META http-equiv=REFRESH content=0;URL=/;>這樣，出錯了自動轉到首頁
4. 安全日誌
請記住：Win2000的默認安裝是不開任何安全審覈的！那麼請你到本地安全策略->審覈策略中打開相應的審覈，推薦的審覈是：
帳戶管理 成功 失敗
登陸事件 成功 失敗
對象訪問 失敗
策略更改 成功 失敗
特權使用 失敗
系統事件 成功 失敗
目錄服務訪問 失敗
帳戶登陸事件 成功 失敗
審覈項目少的缺點是萬一你想看發現沒有記錄那就一點都沒轍；審覈項目太多不只會佔用系統資源並且會致使你根本沒空去看，這樣就失去了審覈的意義
5. 運行防毒軟件
我見過的Win2000/Nt服務器歷來沒有見到有安裝了防毒軟件的，其實這一點很是重要。一些好的殺毒軟件不只能殺掉一些著名的病毒，還能查殺大量***和後門程序。這樣的話，「***」們使用的那些有名的***就毫無用武之地了。不要忘了常常升級病毒庫,咱們推薦mcafree殺毒軟件+ blackice_blank">防火牆
6.sqlserver數據庫服務器安全和serv-u ftp服務器安全配置，更改默認端口，和管理密碼
7.設置ip篩選、用blackice禁止***經常使用端口
通常禁用如下端口
135 138 139 443 445 4000 4899 7626
8.本地安全策略和組策略的設置,若是你在設置本地安全策略時設置錯了，能夠這樣恢復成它的默認值.
打開 %SystemRoot%\Security文件夾,建立一個 "OldSecurity"子目錄,將%SystemRoot%\Security下全部的.log文件移到這個新建的子文件夾中.
在%SystemRoot%\Security\database\下找到"Secedit.sdb"安全數據庫並將其更名,如改成"Secedit.old".
啓動"安全配置和分析"MMC管理單元:"開始"->"運行"->"MMC",啓動管理控制檯,"添加/刪除管理單元",將"安全配置和分析"管理單元添加上.
右擊"安全配置和分析"->"打開數據庫",瀏覽"C:\WINNT\security\Database"文件夾,輸入文件名"secedit.sdb",單擊"打開".
當系統提示輸入一個模板時,選擇"Setup Security.inf",單擊"打開".
若是系統提示"拒絕訪問數據庫",無論他.
你會發如今"C:\WINNT\security\Database"子文件夾中從新生成了新的安全數據庫,在"C:\WINNT\security"子文件夾下從新生成了log文件.安全數據庫重建成功.

1. 關閉139端口

139端口是NetBIOS Session端口，用來文件和打印共享，注意的是運行samba的unix機器也開放了139端口，功能同樣。關閉139口聽方法是在「網絡和撥號鏈接」中「本地鏈接」中選取「Internet協議(TCP/IP)」屬性，進入「高級TCP/IP設置」「WINS設置」裏面有一項「禁用TCP/IP的NETBIOS」，打勾就關閉了139端口

2. 關閉445端口

修改註冊表，添加一個鍵值

　　Hive: HKEY_LOCAL_MACHINE

　　Key: System\CurrentControlSet\Services\NetBT\Parameters

　　Name: SMBDeviceEnabled

　　Type: REG_DWORD

　　Value: 0

修改完後重啓機器，運行「netstat -an」，你將會發現你的445端口已經再也不Listening了。