Web服務器安全加固步驟

1、- -本資料整理自MSDN和Xfocus,整理者：Vidar.z- #-本資料整理自MSDN和Xfocus,整理者：Vidar.zIISWeb服務器安全加固步驟- #-本資料整理自MSDN和Xfocus,整理者：Vidar.z- -本資料整理自MSDN和Xfocus,整理者：Vidar.z步驟安裝和配置WindowsServer2003。將System32cmd.exe轉移到其他目錄或更名；系統(tǒng)帳號盡量少，更改默認帳戶名（如Administrator）和描述，密碼盡量復雜；拒絕通過網(wǎng)絡訪問該計算機（匿名登錄；內置管理員帳戶；Support_388945a0；Guest；所有非操作系統(tǒng)服務帳戶）

2、建議對一般用戶只給予讀取權限，而只給管理員和以完全控制權限，但這樣做有可能使某些正常的腳本程序不能執(zhí)行，或者某些需要寫操作不能完成，這時需要對這些文件所在的文件夾權限進行更改，建議在做更改前先在測試機器上作測試，然后慎重更改NTFS文件權限設定（注意文件的權限優(yōu)先級別比文件夾的權限高）：文件類型建議的NTFS權限CGI文件（.exe、.dll、.cmd、.pl）Everyone（執(zhí)行）腳本文件（.asp）Administrators（完全控制）包含文件（.inc、.shtm、.shtml）System（完全控制）靜態(tài)內容（.txt、.gif、.jpg、.htm、.html）6.禁止、一類的缺省

3、共享7.禁止缺省共享a、限制缺省共享缺省匿名用戶無法列舉本機用戶列表匿名用戶無法連接本機共享說明不建議使用，否則可能會造成你的一些服務無法啟動，如僅給用戶真正需要的權限，權限的最小化原則是安全的重要保障在本地安全策略審核策略中打開相應的審核，推薦的審核是：賬戶管理成功失敗登錄事件成功失敗對象訪問失敗策略更改成功失敗特權使用失敗系統(tǒng)事件成功失敗目錄服務訪問失敗賬戶登錄事件成功失敗審核項目少的缺點是萬一你想看發(fā)現(xiàn)沒有記錄那就一點都沒轍；審核項目太多不僅會占用系統(tǒng)資源而且會導致你根本沒空去看，這樣就失去了審核的意義。與之相關的是：在賬戶策略密碼策略中設定：密碼復雜性要求啟用密碼長度最小值位強制密碼歷

4、史次最長存留期天在賬戶策略賬戶鎖定策略中設定：賬戶鎖定次錯誤登錄鎖定時間分鐘復位鎖定計數(shù)分鐘在（遠程服務配置）權限高級中配置安全審核，一般來說只要記錄登錄、注銷事件就可以了。解除與協(xié)議的綁定控制面版一一網(wǎng)絡一一綁定一一接口一一禁用：控制面版一一網(wǎng)絡和撥號連接一一本地網(wǎng)絡一一屬性一一一一屬性一一高級禁用上的在網(wǎng)絡連接的協(xié)議里啟用篩選，僅開放必要的端口（如）通過更改注冊表來禁止空連接修改數(shù)據(jù)包的生存時間值十進制默認值防止洪水攻擊默認值為禁止響應路由通告報文默認值為防止重定向報文的攻擊默認值為不支持協(xié)議默認值為設置緩存老化時間設置秒數(shù)默認值為秒秒數(shù)默認值為禁止死網(wǎng)關監(jiān)測技術默認值為不支持路由功能默認

5、值為安裝和配置IIS服務：僅安裝必要的IIS組件。（禁用不需要的如FTP和SMTP服務）僅啟用必要的服務和WebService擴展，推薦配置：UI中的組件名稱設置設置邏輯后臺智能傳輸服務（BITS）服務器擴展啟用BITS是WindowsUpdates和自動更新所使用的后臺文件傳輸機制。如果使用WindowsUpdates或自動更新在IIS服務器中自動應用ServicePack和熱修補程序，則必須有該組件。公用文件啟用IIS需要這些文件，一定要在IIS服務器中啟用它們。文件傳輸協(xié)議（FTP）服務禁用允許IIS服務器提供FTP服務。專用IIS服務器不需要該服務。FrontPage2002Serve

6、rExtensions禁用為管理和發(fā)布Web站點提供FrontPage支持。如果沒有使用FrontPage擴展的Web站點，請在專用IIS服務器中禁用該組件。Internet信息服務管理器啟用IIS的管理界面。Internet打印禁用提供基于Web的打印機管理，允許通過HTTP共享打印機。專用IIS服務器不需要該組件。NNTP服務禁用禁用在Internet中分發(fā)、查詢、檢索和投遞Usenet新聞文章。專用IIS服務器不需要該組件。SMTP服務禁用禁用支持傳輸電子郵件。專用IIS服務器不需要該組件。萬維網(wǎng)服務啟用為客戶端提供Web服務、靜態(tài)和動態(tài)內容。專用IIS服務器需要該組件。萬維網(wǎng)服務子組件

7、UI中的組件名稱安裝選項設置邏輯ActiveServerPage啟用提供ASP支持。如果IIS服務器中的Web站點和應用程序都不使用ASP，請禁用該組件；或使用Web服務擴展禁用它。Internet數(shù)據(jù)連接器禁用禁用通過擴展名為.ide的文件提供動態(tài)內容支持。如果IIS服務器中的Web站點和應用程序都不包括.ide擴展文件，請禁用該組件；或使用Web服務擴展禁用它。遠程管理(HTML)禁用禁用提供管理IIS的HTML界面。改用IIS管理器可使管理更容易，并減少了IIS服務器的攻擊面。專用IIS服務器不需要該功能。遠程桌面Web連接禁用禁用包括了管理終端服務客戶端連接的MierosoftActi

8、veX控件和范例頁面。改用IIS管理器可使管理更容易，并減少了IIS服務器的攻擊面。專用IIS服務器不需要該組件。服務器端包括禁用禁用提供.shtm、.shtml和.stm文件的支持。如果在IIS服務器中運行的Web站點和應用程序都不使用上述擴展的包括文件，請禁用該組件。WebDAV禁用禁用WebDAV擴展了HTTP/1.1協(xié)議，允許客戶端發(fā)布、鎖定和管理Web中的資源。專用IIS服務器禁用該組件；或使用Web服務擴展禁用該組件。萬維網(wǎng)服務啟用為客戶端提供Web服務、靜態(tài)和動態(tài)內容。專用IIS服務器需要該組件將IIS目錄&數(shù)據(jù)與系統(tǒng)磁盤分開，保存在專用磁盤空間內。在管理器中刪除必須之外的任何沒

9、有用到的映射（保留等必要映射即可）在中將出錯頁面通過重定向到一個定制文件Web站點權限設定（建議）Web站點權限：授予的權限：讀允許寫不允許腳本源訪問不允許目錄瀏覽建議關閉日志訪問建議關閉索引資源建議關閉執(zhí)行推薦選擇僅限于腳本建議使用擴充日志文件格式，每天記錄客戶地址，用戶名，服務器端口，方法，字根，狀態(tài)，用戶代理，而且每天均要審查日志。（最好不要使用缺省的目錄，建議更換一個記日志的路徑，同時設置日志的訪問權限，只允許管理員和為）n程序安全1）涉及用戶名與口令的程序最好封裝在服務器端，盡量少的在ASP文件里出現(xiàn)，涉及到與數(shù)據(jù)庫連接地用戶名與口令應給予最小的權限；2）需要經(jīng)過驗證的ASP頁面，可

10、跟蹤上一個頁面的文件名，只有從上一頁面轉進來的會話才能讀取這個頁面。3）防止ASP主頁.inc文件泄露問題；安全更新。安裝和配置防病毒保護。安裝和配置防火墻保護。監(jiān)視解決方案。加強數(shù)據(jù)備份。4）防止UE等編輯器生成文件泄露問題。應用所需的所有ServicePack和定期手動更新補丁。推薦NAV8.1以上版本病毒防火墻（配置為至少每周自動升級一次）。推薦最新版BlackICEServerProtection防火墻（配置簡單，比較實用）根據(jù)要求安裝和配置MOM代理或類似的監(jiān)視解決方案。Web數(shù)據(jù)定時做備份，保證在出現(xiàn)問題后可以恢復到最近的狀態(tài)。考慮實施IPSec篩選器。用IPSec過濾器阻斷端口I

11、nternet協(xié)議安全性（IPSec）過濾器可為增強服務器所需要的安全級別提供有效的方法。本指南推薦在指南中定義的高安全性環(huán)境中使用該選項,以便進一步減少服務器的受攻擊面。有關使用IPSec過濾器的詳細信息，請參閱模塊其他成員服務器強化過程。下表列出在本指南定義的高級安全性環(huán)境下可在IIS服務器上創(chuàng)建的所有IPSec過濾器。服務協(xié)議源端口目標端口源地址目標地址操作鏡像TerminalServicesTCP所有3389所有ME允許是HTTPServerTCP所有80所有ME允許是HTTPSServerTCP所有443所有ME允許是在實施上表所列舉的規(guī)則時，應當對它們都進行鏡像處理。這樣可以確保任

12、何進入服務器的網(wǎng)絡通信也可以返回到源服務器。SQL服務器安全加固步驟說明升級安裝最新的（）密碼策略由于SQLServer不能更改sa用戶名稱，也不能刪除這個超級用戶，所以，我們必須對這個帳號進行最強的保護，當然，包括使用一個非常強壯的密碼，最好不要在數(shù)據(jù)庫應用中使用sa帳號。新建立一個擁有與sa樣權限的超級用戶來管理數(shù)據(jù)庫。同時養(yǎng)成定期修改密碼的好習慣。數(shù)據(jù)庫管理員應該定期查看是否有不符合密碼要求的帳號比如使用下面的SQL語句：UsemasterSelectname,Passwordfromsysloginswherepasswordisnull數(shù)據(jù)庫日志的記核數(shù)據(jù)庫登錄事件的“失敗和成功”，

13、在實例屬性中選擇“安全性”，將其中的審核級別選定錄為全部，這樣在數(shù)據(jù)庫系統(tǒng)和操作系統(tǒng)日志里面，就詳細記錄了所有帳號的登錄事件。管理擴展存儲過xp_cmdshell是進入操作系統(tǒng)的最佳捷徑，是數(shù)據(jù)庫留給操作系統(tǒng)的一個大后門。請把它程去掉。使用這個SQL語句：usemastersp_dropextendedprocxp_cmdshell如果你需要這個存儲過程，請用這個語句也可以恢復過來。sp_addextendedprocxp_cmdshell,xpsql70.dllOLE自動存儲過程（會造成管理器中的某些特征不能使用）這些過程包括如下（不需要可以全部去掉：Sp_OACreateSp_OADest

14、roySp_OAGetErrorInfoSp_OAGetPropertySp_OAMethodSp_OASetPropertySp_OAStop去掉不需要的注冊表訪問的存儲過程，注冊表存儲過程甚至能夠讀出操作系統(tǒng)管理員的密碼來，如下：Xp_regaddmultistringXp_regdeletekeyXp_regdeletevalueXp_regenumvaluesXp_regreadXp_regremovemultistringXp_regwrite防TCP/IP端口探測在實例屬性中選擇TCP/IP協(xié)議的屬性。選擇隱藏SQLServer實例。請在上一步配置的基礎上，更改原默認的1433端口

15、。在IPSec過濾拒絕掉1434端口的UDP通訊，可以盡可能地隱藏你的SQLServer。對網(wǎng)絡連接進行IP限制使用操作系統(tǒng)自己的Sec可以實現(xiàn)IP數(shù)據(jù)包的安全性。請對IP連接進行限制，保證只有自己的IP能夠訪問，拒絕其他IP進行的端口連接。- -本資料整理自MSDN和Xfocus,整理者：Vidar.z附：Win2003系統(tǒng)建議禁用服務列表名稱服務名建議設置自動更新wuauserv禁用禁用BackgroundIntelligentTransferServiceBITS禁用禁用ComputerBrowserBrowser禁用禁用DHCPClientDhcp禁用禁用NTLMSecuritySupportProviderNtLmSsp禁用禁用NetworkLocationAwarenessNLA禁用禁用PerformanceLogsandAlertsSysmonLog禁用禁用RemoteAdministrationServiceSrvcSurg禁用禁用RemoteRegistryServiceRemoteRegistry禁用禁用Serverlanmanserver禁用禁用TCP/IPNetBIOSHelpe