windows-Server服務(wù)器系統(tǒng)自身安全防護(hù)措施

1、Windows Server系統(tǒng)自身安全防護(hù)措施提示：為慎重操作，可以先在測試機(jī)做關(guān)閉測試，最好通過與廠方工程師商定后再設(shè) 置。1、 關(guān)閉服務(wù)器不必要端口利用win2003自帶防火墻關(guān)閉所有端口，如就留一個端口：80。（設(shè)置有兩種方法,一個使用windows自帶防火墻設(shè)，一個實在 TCP/IP屬性里設(shè)。）設(shè)置方法：1、在“網(wǎng)絡(luò)連接”屬性里設(shè)置 windows防火墻。攵件店） 編福曲 看看也1 收薇如 工目。 高皴如 幫助4本地旌按3座姓地址如©網(wǎng)珞連接.UU或高速工N”加小雕即贏火墻的Acc*L*i4it .某規(guī)|驗證高如|Wi 工防火墻螂魏甥好黯黜近坊問此計|徵二”1算機(jī)來保護(hù)汁算

2、機(jī)和網(wǎng)艇I -七"” 1新建連接向?qū)?、將需要打開的端口添加進(jìn)去。建議大家盡可能少打開端口。盡量不要開遠(yuǎn)程桌面2、 在服務(wù)中關(guān)閉不必要的服務(wù)以下服務(wù)可以關(guān)閉：Computer Browser維護(hù)網(wǎng)絡(luò)上計算機(jī)的最新列表以及提供這個列表Task scheduler允許程序在指定時間運行Routing and Remote Access在局域網(wǎng)以及廣域網(wǎng)環(huán)境中為企業(yè)提供路由服務(wù)Removable storage 管理可移動媒體、驅(qū)動程序和庫Remote Registry Service允許遠(yuǎn)程注冊表操作Print Spooler將文件加載到內(nèi)存中以便以后打印。要用打印機(jī)的朋友不能禁用這項I

3、PSEC Policy Agent 管理IP安全策略以及啟動ISAKMP/OakleyIKE）和IP安全驅(qū)動程序Distributed Link Tracking Client當(dāng)文件在網(wǎng)絡(luò)域的 NTF宛中移動時發(fā)送通知Com+ Event System 提供事件的自動發(fā)布到訂閱 COM1件Alerter通知選定的用戶和計算機(jī)管理警報Error Reporting Service 收集、存儲和向 Microsoft報告異常應(yīng)用程序Messenger傳輸客戶端和服務(wù)器之間的NET SEND和 警報器服務(wù)消息Telnet允許遠(yuǎn)程用戶登錄到此計算機(jī)并運行程序三、在“網(wǎng)絡(luò)連接”里，把不需要的協(xié)議和服務(wù)都

4、刪掉。這里只安裝了基本的Internet協(xié)議(TCP/IP)和Microsoft網(wǎng)絡(luò)客戶端。在高級 tcp/ip設(shè)置里-"NetBIOS"設(shè)置"禁用tcp/IP上的NetBIOS (S) ”。四、運行pgedit.msc ,配置“用戶權(quán)限分配”>>在安全設(shè)置里 本地策略-安全選項網(wǎng)絡(luò)訪問：可匿名訪問的共享；網(wǎng)絡(luò)訪問：可匿名訪問的命名管道；網(wǎng)絡(luò)訪問：可遠(yuǎn)程訪問的注冊表路徑；網(wǎng)絡(luò)訪問：可遠(yuǎn)程訪問的注冊表路徑和子路徑 ；將以上四項全部刪除>>不允許SAM賬戶的匿名枚舉 更改為"已啟用">>不允許SAM賬戶和共享的匿

5、名枚舉 更改為"已啟用">>網(wǎng)絡(luò)訪問：不允許存儲網(wǎng)絡(luò)身份驗證的憑據(jù)或.NET Passports 更改為”已啟用" >> 網(wǎng)絡(luò)訪問.限制匿名訪問命名管道和共享，更改為“已啟用"將以上四項通通設(shè)為“已啟用”五、關(guān)閉每個硬盤的默認(rèn)共享。在Windows 2000/XP/2003系統(tǒng)中，邏輯分區(qū)與 Windows目錄默認(rèn)為共享，這是為管理員管理服務(wù)器的方便而設(shè)，但卻成為了別有用心之 徒可趁的安全漏洞。六、IIS （Internet信息服務(wù)器管理器）1、在"主目錄”選項設(shè)置以下：讀允許寫不允許腳本源訪問不允許目錄瀏覽建議關(guān)閉記錄

6、訪問 建議關(guān)閉索引資源建議關(guān)閉執(zhí)行權(quán)限推薦選擇純腳本”。2、建議使用W3c擴(kuò)充日志文件格式，每天記錄客戶IP地址，用戶名，服務(wù)器端口，方法,URI字根，HTTP狀態(tài)，用戶代理，而且每天均要審查日志。（最好不要使用缺省的目錄，建議更換一個記日志的路徑，同時設(shè)置日志的訪問權(quán)限，只 允許管理員和system為Full Control）。j>jai2dq支告揉作查,© « 常勖®削耳j T 包國 X Iff a B 5 GEJ! zl II _Fj X&tiFbtt (S席泰普二-*FBtaJMAl博地計ttSlr倬用曜序他三網(wǎng)站-戮式叼玷I出審 11c » 口K，P3U6Lt± JJ_T岷打了邛口1L*：* * Rte4TllI， ttapoTLSirTtrF f t*'lEibSiliipL* mb fl募抒展K wt er 星脂臂oc«下 J F E fi E- # W占弋3 >F*t*亳覲砌T |tf日志計劃r e hH苻望不重E毒周妙廣月也戶不曲相立杵大小4r當(dāng)豆怦大生iKSutsrF3 3P工件也打靠電虛把相當(dāng)他呼問CE) 日遇文件目錄卬；|r，.ki,T日益文片名 尤5£