服務(wù)器硬件配置方案(參考版)
2025-06-10 01:39本頁面
【正文】 當(dāng)然如果你能分辨每一個(gè)進(jìn)程，和端口這一步可以省略。 二十、運(yùn)行服務(wù)器記錄當(dāng)前的程序和開放的端口 將當(dāng)前服務(wù)器的進(jìn)程抓圖或記錄下來，將其保存，方便以后對(duì)照查看是否有不明的程序。 十九、建議 如果你按本方案去操作，建議每做一項(xiàng)更改就測試一下服務(wù)器，如果有問題可以馬上撤消更改。 2. 右擊E:\Abc，選擇“屬性→安全”選項(xiàng)卡，此時(shí)可以看到該文件夾的默認(rèn)安全設(shè)置是“Everyone”完全控制（視不同情況顯示的內(nèi)容不完全一樣），刪除Everyone的完全控制（如果不能刪除，請(qǐng)點(diǎn)擊[高級(jí)]按鈕，將“允許父項(xiàng)的繼承權(quán)限傳播”前面的對(duì)號(hào)去掉，并刪除所有），添加Administrators及Abc用戶對(duì)本網(wǎng)站目錄的所有安全權(quán)限。如果你要進(jìn)行更安全級(jí)別的設(shè)置，請(qǐng)分別對(duì)各個(gè)磁盤分區(qū)進(jìn)行如上設(shè)置，并為各個(gè)站點(diǎn)設(shè)置不同匿名訪問用戶。如何既允許FileSystemObject組件，又不影響服務(wù)器的安全性呢（即：不同虛擬主機(jī)用戶之間不能使用該組件讀寫別人的文件）？以下是筆者多年來摸索出來的經(jīng)驗(yàn)： 第一步是有別于Windows 2000設(shè)置的關(guān)鍵：右擊C盤，點(diǎn)擊“共享與安全”，在出現(xiàn)在對(duì)話框中選擇“安全”選項(xiàng)卡，將Everyone、Users組刪除，刪除后如果你的網(wǎng)站連ASP程序都不能運(yùn)行，請(qǐng)?zhí)砑覫IS_WPG組（圖1），并重啟計(jì)算機(jī)。現(xiàn)在很多校園主機(jī)都遭受過FSO木馬的侵?jǐn)_。 5)預(yù)防信息監(jiān)測和DOS 攻擊必要的話，打開RSAS或者自己添加一個(gè)IPSEC安全策略，過濾掉ICMP Echo和Redrict類型，這樣別人ping你就不會(huì)有反映，而如果ping不通的話，可能別人就此罷手了~_* 而且缺省配置下，很多的漏洞掃描器ping不通就不掃了，西西。 基本的策略，可以在文件屬性中修改，避免有everyone完全控制的目錄，大部分文件最好禁止everyone寫，甚至讀。 3)Terminal Server加強(qiáng)。 歷史以來，netbios是僅次于IIS的winnt安全問題最多的服務(wù)，簡直就是后門打開。 打了SP2基本就沒太大問題，只要你的系統(tǒng)不是沒密碼.......... 高級(jí)部分： 1)類防火墻限制。 首先，記得一定要加一個(gè)難記得密碼，不然就什么都完了。 1，在IIS管理器中，去處所有不必要的擴(kuò)展關(guān)聯(lián)(基本上除了ASP/ASA等幾個(gè)必要的和CGI之類的外，其他都可以去掉) 有可能的話，可以安裝一個(gè)SecureIIS，還是有一定效果的。 確定你打上了Win2k SP2。 SNMP Service和SNMP Trap Service最好也關(guān)掉，要用的話，把管理公共字改掉。 在管理篩選器操作選項(xiàng)下點(diǎn)擊添加——下一步——名稱中輸入阻止——下一步——選擇阻止——下一步——完成——關(guān)閉管理IP篩選器表和篩選器操作窗口 右擊IP安全策略——?jiǎng)?chuàng)建IP安全策略——下一步——名稱輸入數(shù)據(jù)包篩選器——下一步——取消默認(rèn)激活響應(yīng)原則——下一步——完成 在打開的新IP安全策略屬性窗口選擇添加——下一步——不指定隧道——下一步——所有網(wǎng)絡(luò)連接——下一步——在IP篩選器列表中選擇新建的Web篩選器——下一步——在篩選器操作中選擇許可——下一步——完成——在IP篩選器列表中選擇新建的阻止篩選器——下一步——在篩選器操作中選擇阻止——下一步——完成——確定 在IP安全策略的右邊窗口中右擊新建的數(shù)據(jù)包篩選器，點(diǎn)擊指派，不需要重啟，IPSec就可生效. 十七、如何配置一臺(tái)堅(jiān)固安全的win2003服務(wù)器1)確定你要用它來干什么，需要開什么服務(wù)，什么是不必要的，沒用地就別裝(像Index什么的)，不必要的服務(wù)全都可以關(guān)掉。 十五、如果只做服務(wù)器，不進(jìn)行其它操作，使用IPSec 管理工具—本地安全策略—右擊IP安全策略—管理IP篩選器表和篩選器操作—在管理IP篩選器表選項(xiàng)下點(diǎn)擊 添加—名稱設(shè)為Web篩選器—點(diǎn)擊添加—在描述中輸入Web服務(wù)器—將源地址設(shè)為任何IP地址——將目標(biāo)地址設(shè)為我的IP地址——協(xié)議類型設(shè)為Tcp——IP協(xié)議端口第一項(xiàng)設(shè)為從任意端口，第二項(xiàng)到此端口80——點(diǎn)擊完成——點(diǎn)擊確定。擴(kuò)展存儲(chǔ)過程名39。 如果你的網(wǎng)頁使用了非ASCII代碼，你需要在Option節(jié)中將AllowHighBitCharacters的值設(shè)為1 文件做了更改后，你需要重啟IIS服務(wù)才能生效，快速方法運(yùn)行中輸入iisreset 如果你在配置后出現(xiàn)什么問題，你可以通過添加/刪除程序刪除UrlScan。 使用UrlScan ，并要進(jìn)行調(diào)試你需打開要%WINDIR%\System32\Inetsrv\URLscan 文件，然后在UserAllowVerbs節(jié)添加debug謂詞，注意此節(jié)是區(qū)分大小寫的。 右鍵單擊“默認(rèn)Web站點(diǎn)→屬性→主目錄→配置”，打開應(yīng)用程序窗口，去掉不必要的應(yīng)用程序映射。 刪除系統(tǒng)盤下的虛擬目錄，如：_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。 防止SYN洪水攻擊 4. 禁止響應(yīng)ICMP路由通告報(bào)文 5. 防止ICMP重定向報(bào)文的攻擊 6. 不支持IGMP協(xié)議 禁用DCOM： 十三、配置 IIS 服務(wù)： 不使用默認(rèn)的Web站點(diǎn)，如果使用也要將 將IIS目錄與系統(tǒng)磁盤分開。 十、網(wǎng)絡(luò)服務(wù)安全管理 禁止C$、D$、ADMIN$一類的缺省共享 解除NetBios與TCP/IP協(xié)議的綁定 關(guān)閉不需要的服務(wù)，以下為建議選項(xiàng) Computer Browser:維護(hù)網(wǎng)絡(luò)計(jì)算機(jī)更新，禁用 Distributed File System: 局域網(wǎng)管理共享文件，不需要禁用 Distributed linktracking client：用于局域網(wǎng)更新連接信息，不需要禁用 Error reporting service：禁止發(fā)送錯(cuò)誤報(bào)告 Microsoft Serch：提供快速的單詞搜索，不需要可禁用 NTLMSecuritysupportprovide：telnet服務(wù)和Microsoft Serch用的，不需要禁用 PrintSpooler：如果沒有打印機(jī)可禁用 Remote Registry：禁止遠(yuǎn)程修改注冊(cè)表 Remote Desktop Help Session Manager：禁止遠(yuǎn)程協(xié)助 十一、打開相應(yīng)的審核策略 ，打開組策略編輯器，選擇計(jì)算機(jī)配置Windows設(shè)置安全設(shè)置審核策略在創(chuàng)建審核項(xiàng)目時(shí)需要注意的是如果審核的項(xiàng)目太多，生成的事件也就越多，那么要想發(fā)現(xiàn)嚴(yán)重的事件也越難當(dāng)然如果審核的太少也會(huì)影響你發(fā)現(xiàn)嚴(yán)重的事件，你需要根據(jù)情況在這二者之間做出選擇。 在安全設(shè)置本地策略安全選項(xiàng)中將“不顯示上次的用戶名”設(shè)為啟用 在安全設(shè)置本地策略用戶權(quán)利分配中將“從網(wǎng)絡(luò)訪問此計(jì)算機(jī)”中只保留Internet來賓賬戶、啟動(dòng)IIS進(jìn)程賬戶。 新建一個(gè)名為Administrator的陷阱帳號(hào)，為其設(shè)置最小的權(quán)限，然后隨便輸入組合的最好不低于20位的密碼 將Guest賬戶禁用并更改名稱和描述，然后輸入一個(gè)復(fù)雜的密碼，當(dāng)然現(xiàn)在也有一個(gè)DelGuest的工具，也許你也可以
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1