Windows服务器的详细安全设置

1）基本系统安全设置

1. 安装说明: 在NTFS中格式化所有系统，重新安装系统（使用win2003的原始版本），安装防病毒软件（Mcafee），更新防病毒软件，安装sp2补丁，安装IIS（仅安装必要的组件） ，安装SQL2000，安装.net2.0，打开防火墙. 并将最新的修补程序放在服务器上.

2），关闭不必要的服务

计算机浏览器: 维护网络计算机的更新，将其禁用

分布式文件系统: 局域网管理共享文件，无需禁用

分布式链接跟踪客户端: 用于更新LAN中的连接信息，无需禁用它

错误报告服务: 禁用发送错误报告

Microsoft Serch: 提供快速的单词搜索，无需禁用它

NTLMSecuritysupport提供: 远程登录服务和Microsoft Serch使用，无需禁用

PrintSpooler: 如果没有打印机，则禁用

远程注册表: 禁止远程修改注册表

远程桌面帮助会话管理器: 禁止远程协助. 其他服务需要验证

3），设置和管理帐户

1. 禁用访客帐户并更改名称和描述，然后输入复杂的密码

2. 最好创建更少的系统管理员帐户. 更改默认的管理员帐户名称（Administrator）和描述. 密码最好使用数字，大写和小写字母和数字的组合，并且长度最好不少于10个人

3. 创建一个名为Administrator的新陷阱帐户，为其设置最低权限，然后随机输入不少于20个字符的密码组合.

4. 计算机配置-Windows设置-安全设置-帐户策略-帐户锁定策略，将帐户设置为“三个登录名无效，时间为30分钟

5. 在安全设置-本地策略-安全选项中设置“不显示最后一个用户名”以启用该功能.

6. 在“安全设置-本地策略-用户权限分配”中，“访问网络中的计算机”中仅保留Internet来宾帐户，IIS进程帐户和Aspnet帐户.

7. 创建一个用户帐户并运行系统. 如果要运行特权命令，请使用Runas命令.

4），打开相应的审核策略

审核政策更改: 成功

审核登录事件: 成功，失败

审核对象访问: 失败

审核对象跟踪: 成功，失败

审核目录服务访问: 失败

审核特权的使用: 失败

审核系统事件: 成功，失败

审核帐户登录事件: 成功，失败

审核帐户管理: 成功，失败

5），其他与安全性相关的设置

1. 禁止默认共享，例如C $，D $，ADMIN $

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserver参数，在右侧窗口中创建一个新的Dword值，将名称设置为AutoShareServer并将值设置为0

2，取消绑定NetBios和TCP / IP协议

右键单击“网络邻居”-“右键单击本地连接-属性”-双击“ Internet协议”-“高级”-“ Wins”-“禁用TCP / IP上的NETBIOS”

3. 隐藏重要的文件/目录

您可以修改注册表以将其完全隐藏: “ HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrent-VersionExplorerAdvancedFol derHi-ddenSHOWALL”，右键单击“ CheckedValue”，选择“修改”，并将值从1更改为0

4. 防止SYN洪水攻击

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters创建一个新的DWORD值，名为SynAttackProtect，值2

5. 禁止响应ICMP路由通告消息

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersInterfaces接口创建一个名为PerformRouterDiscovery值0的新DWORD值

6. 防止ICMP重定向消息攻击

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters将EnableICMPRedirects值设置为0

7. 不支持IGMP协议

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters创建一个名为IGMPLevel的新DWORD值，值为0

8. 禁用DCOM: 运行时输入Dc​​omcnfg.exe. 按Enter键，然后单击“控制台根节点”下的“组件服务”. 打开“计算机”子文件夹.

对于本地计算机，请右键单击“我的电脑”，然后选择“属性”. 选择“默认属性”选项卡. 清除“在此计算机上启用分布式COM”复选框.

9. 终端服务的默认端口为3389，您可以考虑将其修改为另一个端口.

修改方法为: 服务器端: 打开注册表，在“ HKLM \ SYSTEM \ Current ControlSet \ Control \ Terminal Server \ Win Stations”中找到类似于RDP-TCP的子项，然后修改PortNumber值. 客户端: 按照正常步骤建立客户端连接，选择此连接，然后在“文件”菜单中选择“导出”. 在指定位置将生成带有后缀.cns的文件. 打开文件并修改“服务器端口”值，使其与服务器端的端口号相对应. 然后导入文件（方法: 菜单→文件→导入），以便客户端修改端口.

6），配置IIS服务

1. 不要使用默认网站. 如果使用它，则将IIS目录与系统磁盘分开.

2. 删除IIS默认创建的Inetpub目录（在安装系统的磁盘上）.

3. 删除系统磁盘下的虚拟目录，例如: _vti_bin，IISSamples，脚本，IIShelp，IISAdmin，IIShelp，MSADC.

4. 删除不必要的IIS扩展映射. 右键单击“默认网站→属性→主目录→配置”以打开应用程序窗口并删除不必要的应用程序映射. 主要是.shtml，.shtm，.stm

5. 更改IIS日志的路径，右键单击“默认网站→属性-网站-单击“启用日志记录”下的属性

6. 如果使用的是2000，则可以使用iislockdown保护IIS. 不需要2003年运行的IE6.0版本.

7. 使用UrlScan

UrlScan是一个ISAPI筛选器，可以分析传入的HTTP数据包并可以拒绝任何可疑的流量. 最新版本是2.5，如果是2000Server，则需要先安装版本1.0或2.0. 如果没有特殊要求，则可以使用UrlScan的默认配置. 但是，如果您在服务器上运行ASP.NET程序并要调试，则需要打开％WINDIR％System32InetsrvURLscan文件夹中的URLScan.ini文件，然后在UserAllowVerbs部分中添加调试谓词. 请注意，此部分区分大小写. 如果您的网页是.asp网页，则需要删除DenyExtensions中与.asp相关的内容. 如果您的页面使用非ASCII代码，则需要在URLScan.ini对文件进行更改后，在AllowHiitCharacters部分中将Option的值设置为1，需要重新启动IIS服务以使该方法快速生效. 运行，输入iisreset如果配置后出现任何问题，则可以通过“添加/删除程序”删除UrlScan.

8. 使用WIS（Web注入扫描程序）工具扫描整个网站的SQL注入漏洞.

7），配置Sql服务器

1. 最好不要拥有两个以上的系统管理员角色

3. 不要使用Sa帐户，请为其配置超级复杂的密码

4. 删除以下扩展存储过程格式:

使用主站sp_dropextendedproc'扩展的存储过程名称'

xp_cmdshell: 是进入操作系统，删除访问注册表的存储过程的最佳快捷方式，

删除

Xp_regaddmultistringXp_regdeletekeyXp_regdeletevalueXp_regenumvalues Xp_regread Xp_regwrite Xp_regremovemultistring

OLE自动存储过程，无需删除

Sp_OACreate Sp_OADestroySp_OAGetErrorInfoSp_OAGetProperty Sp_OAMethodSp_OASetPropertySp_OAStop

5. 隐藏SQL Server，更改默认端口1433

右键单击该实例，选择“属性-常规-网络配置”，选择“ TCP / IP协议”属性，选择“隐藏SQL Server实例”，然后更改原始的默认端口1433.

8）. 修改系统日志保存地址. 默认位置是应用程序日志，安全日志，系统日志，DNS日志. 默认位置: ％systemroot％\ system32 \ config，默认文件大小为512KB，管理员将更改默认大小.

安全日志文件: ％systemroot％\ system32 \ config \ SecEvent.EVT系统日志文件: ％systemroot％\ system32 \ config \ SysEvent.EVT应用程序日志文件: ％systemroot％\ system32 \ config \ AppEvent.EVT Internet默认信息服务FTP日志的位置: ％systemroot％\ system32 \ logfiles \ msftpsvc1 \，每天默认为一个日志Internet信息服务WWW日志默认位置: ％systemroot％\ system32 \ logfiles \ w3svc1 \，每天默认为一个日志Scheduler（任务schedule）服务日志的默认位置: ％systemroot％\ schedlgu.txt应用程序日志，安全日志，系统日志，DNS服务器日志，这些LOG文件在注册表中: HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Services \ Eventlog Schedluler（任务计划）服务日志位于注册表HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ SchedulingAgent SQL中，删除或重命名xplog70.dll [HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ lanmanserver \ parameters]“ AutoShareServer” = dword: 00000000“ AutoShareWks” = dword: 00000000 // AutoShareWks与Pro Ver sion // AutoShareServer与服务器版本// 0

禁止管理共享的默认共享，例如admin $，c $，d $ [HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ LSA]“ restrictanonymous” = dword: 00000001 // 0x1匿名用户无法枚举以下项的用户列表这台机器// 0x2匿名用户无法连接到本地IPC $共享（也许无法启动sql server

9），本地安全策略

1. 仅打开服务所需的端口和协议. 具体方法是: 依次打开“网络邻居→属性→本地连接→属性→Internet协议→属性→高级→选项→TCP / IP过滤器→属性”，然后添加所需的TCP和UDP端口以及IP协议. 根据服务开放情况，常用的TCP端口为: Web服务的80端口； Web服务的80端口. FTP服务为21； SMTP为25； 23用于Telnet服务； POP3为110. 常用的UDP端口有: 53-DNS域名解析服务； 161-snmp简单网络管理协议. OICQ使用8000和4000，服务器使用8000接收信息，客户端使用4000发送信息. 阻止TCP端口: 21（FTP，更改FTP端口）23（TELNET），53（DNS），135，136，137，138，139，443，445，1028，1433，3389阻止TCP端口: 1080，3128，6588 ，8080（上面是代理端口）. 25（SMTP），161（SNMP），67（boot）阻止UDP端口: 1434（不用说）阻止所有ICMP，即阻止PING. 这些是扫描频率最高的端口，其他端口也被阻止，因为80是用于WEB

2. 禁止建立空连接. 默认情况下，任何用户都可以通过空连接连接到服务器，枚举帐户并猜测密码. 用于空连接的端口是139. 通过空连接，您可以将文件复制到远程服务器并计划执行任务. 这是一个漏洞. 有两种禁止空连接的方法:

（1）将注册表中Local_Machine \ System \ CurrentControlSet \ Control \ LSA-RestrictAnonymous的值修改为1.

（2）修改Windows 2000的本地安全策略. 在“本地安全策略→本地策略→选项”中将RestrictAnonymous（匿名连接的附加限制）设置为“不允许枚举SAM帐户和共享”. 首先，Windows 2000的默认安装允许任何用户通过空连接获取所有系统帐户和共享列表. 这最初是为了促进LAN用户共享资源和文件，但与此同时，任何远程用户也可以通过相同的方法来获得您的资源. 用户列表以及使用蛮力方法破解用户密码可能会损坏整个网络. 许只知道更改注册表Local_Machine \ System \ CurrentControlSet \ Control \ LSA-RestrictAnonymous = 1以禁止空用户连接. 实际上，在Windows 2000的本地安全策略中（如果它是域服务器，则在域服务器安全性和域安全策略内部）中存在RestrictAnonymous选项，该选项具有三个值: “ 0”是默认值在系统的任何限制下，远程用户可以知道计算机上的所有帐户，组信息，共享目录，网络传输列表（NetServerTransportEnum）等；值“ 1”仅允许非NULL用户访问SAM帐户信息和共享信息. Windows 2000仅支持值“ 2”. 应注意，如果使用此值，将无法再共享资源. 因此，建议将值设置为“ 1”.

10），防止asp木马

1. 基于FileSystemObject组件的ASP Trojan

cacls％systemroot％\ system32 \ scrrun.dll / e / d来宾//禁止来宾使用regsvr32 scrrun.dll / u / s //删除

2. 基于shell.application组件的ASP木马

cacls％systemroot％\ system32 \ shell32.dll / e / d来宾//禁止来宾使用regsvr32 shell32.dll / u / s //删除

3. 将图片文件夹的权限设置为不允许操作.

4. 如果网站中不存在asp，请禁用asp

11），防止SQL注入

1. 尝试使用参数化的语句

2. 无法使用参数化SQL进行过滤.

3. 该网站设置为不显示详细的错误信息，并在页面上显示错误时始终跳转到错误页面.

4. 不要使用sa用户连接到

5. 创建一个公共用户，并使用该用户访问. 6. [角色]删除public角色对sysobjects和syscolumns的选择访问权限

最后，我想强调一下，上述设置可能会影响某些应用程序服务，例如无法连接到远程服务器，

因此，强烈建议先在本地计算机或虚拟机（VMware Workstation）上设置以上设置，然后在确定没问题后在服务器上进行设置.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-290859-1.html