社区应用 最新帖子 精华区 社区服务 会员列表 统计排行 银行

  • 4877阅读
  • 1回复

Windows 2003服务器安全设置注意事项

级别: 管理员
发帖
8532
金币
2762
威望
3231
贡献值
0
元宝
0

一、先关闭不需要的端口
  我比较小心,先关了端口。只开了3389、21、80、1433,有些人一直说什么默认的3389不安全,对此我不否认,但是利用的途径也只能一个一个的穷举爆破,你把帐号改了密码设置为十五六位,我估计他要破上好几年,哈哈!办法:本地连接--属性--Internet协议(TCP/IP)--高级--选项--TCP/IP筛选--属性--把勾打上,然后添加你需要的端口即可。PS一句:设置完端口需要重新启动!


  当然大家也可以更改远程连接端口方法:
  Windows Registry Editor Version 5.00
  [HKEY_LOCAL_MACHINE \ SYSTEM\ Current ControlSet \ Control \ Terminal Server\WinStations\RDP-Tcp]
"PortNumber"=dword:00002683
 

  保存为.REG文件双击即可!更改为9859,当然大家也可以换别的端口,直接打开以上注册表的地址,把值改为十进制的输入你想要的端口即可!重启生效
  还有一点,在2003系统里,用TCP/IP筛选里的端口过滤功能,使用FTP服务器的时候,只开放21端口,在进行FTP传输的时候,FTP 特有的Port模式和Passive模式,在进行数据传输的时候,需要动态的打开高端口,所以在使用TCP/IP过滤的情况下,经常会出现连接上后无法列出目录和数据传输的问题。所以在2003系统上增加的Windows连接防火墙能很好的解决这个问题,不推荐使用网卡的TCP/IP过滤功能。

二.关闭不需要的服务打开相应的审核策略
  我关闭了以下的服务
  Computer Browser 维护网络上计算机的最新列表以及提供这个列表
  Task scheduler 允许程序在指定时间运行
  Messenger 传输客户端和服务器之间的 NET SEND 和 警报器服务消息
  Distributed File System: 局域网管理共享文件,不需要禁用
  Distributed linktracking client:用于局域网更新连接信息,不需要禁用
  Error reporting service:禁止发送错误报告
  Microsoft Serch:提供快速的单词搜索,不需要可禁用
  NTLMSecuritysupportprovide:telnet服务和Microsoft Serch用的,不需要禁用
  PrintSpooler:如果没有打印机可禁用
  Remote Registry:禁止远程修改注册表
  Remote Desktop Help Session Manager:禁止远程协助
  Workstation关闭的话远程NET命令列不出用户组
  把不必要的服务都禁止掉,尽管这些不一定能被攻击者利用得上,但是按照安全规则和标准上来说,多余的东西就没必要开启,减少一份隐患。

在"网络连接"里,把不需要的协议和服务都删掉,这里只安装了基本的Internet协议(TCP/IP),由于要控制带宽流量服务,额外安装了Qos数据包计划程序。在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS(S)"。在高级选项里,使用"Internet连接防火墙",这是windows 2003 自带的防火墙,在2000系统里没有的功能,虽然没什么功能,但可以屏蔽端口,这样已经基本达到了一个IPSec的功能。
在运行中输入gpedit.msc回车,打开组策略编辑器,选择计算机配置-Windows设置-安全设置-审核策略在创建审核项目时需要注意的是如果审核的项目太多,生成的事件也就越多,那么要想发现严重的事件也越难当然如果审核的太少也会影响你发现严重的事件,你需要根据情况在这二者之间做出选择。
 
  推荐的要审核的项目是:
  登录事件
  账户登录事件
  系统事件
  策略更改
  对象访问
  目录服务访问
  特权使用
 
  三、关闭默认共享的空连接
  地球人都知道,我就不多说了!
 
四、磁盘权限设置
  C盘只给administrators和system权限,其他的权限不给,其他的盘也可以这样设置,这里给的system权限也不一定需要给,只是由于某些第三方应用程序是以服务形式启动的,需要加上这个用户,否则造成启动不了。
  Windows目录要加上给users的默认权限,否则ASP和ASPX等应用程序就无法运行。以前有朋友单独设置Instsrv和temp等目录权限,其实没有这个必要的。
 
  另外在c:/Documents and Settings/这里相当重要,后面的目录里的权限根本不会继承从前的设置,如果仅仅只是设置了C盘给administrators权限,而在All Users/Application Data目录下会出现everyone用户有完全控制权限,这样入侵这可以跳转到这个目录,写入脚本或只文件,再结合其他漏洞来提升权限;譬如利用serv-u的本地溢出提升权限,或系统遗漏有补丁,数据库的弱点,甚至社会工程学等等N多方法,从前不是有牛人发飑说:"只要给我一个webshell,我就能拿到system",这也的确是有可能的。在用做web/ftp服务器的系统里,建议是将这些目录都设置的锁死。其他每个盘的目录都按照这样设置,每个盘都只给adinistrators权限。
  另外,还将:
  net.exe NET命令
  cmd.exe  CMD 懂电脑的都知道咯~
  tftp.exe
  netstat.exe
  regedit.exe  注册表啦大家都知道
  at.exe
  attrib.exe
  cacls.exe  ACL用户组权限设置,此命令可以在NTFS下设置任何文件夹的任何权限!偶入侵的时候没少用这个....(:
  format.exe  不说了,大家都知道是做嘛的
  大家都知道ASP木马吧,有个CMD运行这个的,这些如果都可以在CMD下运行..55,,估计别的没啥,format下估计就哭料~~~(:这些文件都设置只允许administrator访问。
  五、防火墙、杀毒软件的安装
  关于这个东西的安装其实我也说不来,反正安装什么的都有,建议使用卡巴,卖咖啡。用系统自带的防火墙,这个我不专业,不说了!大家凑合!
  六、SQL2000 SERV-U FTP安全设置
  SQL安全方面
  1、System Administrators 角色最好不要超过两个
  2、如果是在本机最好将身份验证配置为Win登陆
  3、不要使用Sa账户,为其配置一个超级复杂的密码
            或修改sa用户名:
            update sysxlogins set name='xxxx' where sid=0x01
            update sysxlogins set sid=0xE765555BD44F054F89CD0076A06EA823 where name='xxxx'
  4、删除以下的扩展存储过程格式为:
  use master
  sp_dropextendedproc '扩展存储过程名'
  xp_cmdshell:是进入操作系统的最佳捷径,删除
  访问注册表的存储过程,删除
  Xp_regaddmultistringXp_regdeletekeyXp_regdeletevalueXp_regenumvalues
  Xp_regread Xp_regwrite Xp_regremovemultistring
  OLE自动存储过程,不需要,删除
  Sp_OACreate Sp_OADestroySp_OAGetErrorInfoSp_OAGetProperty
  Sp_OAMethodSp_OASetPropertySp_OAStop
  5、隐藏 SQL Server、更改默认的1433端口。
  右击实例选属性-常规-网络配置中选择TCP/IP协议的属性,选择隐藏 SQL Server 实例,并改原默认的1433端口。
      
   6.为数据库建立一个新的角色,禁止改角色对系统表的的select等权限,防止sql注入时利用系统表。
  serv-u的几点常规安全需要设置下:
  选中"Block "FTP_bounce"attack and FXP"。什么是FXP呢?通常,当使用FTP协议进行文件传输时,客户端首先向FTP服务器发出一个"PORT"命令,该命令中包含此用户的IP地址和将被用来进行数据传输的端口号,服务器收到后,利用命令所提供的用户地址信息建立与用户的连接。大多数情况下,上述过程不会出现任何问题,但当客户端是一名恶意用户时,可能会通过在PORT命令中加入特定的地址信息,使FTP服务器与其它非客户端的机器建立连接。虽然这名恶意用户可能本身无权直接访问某一特定机器,但是如果FTP服务器有权访问该机器的话,那么恶意用户就可以通过FTP服务器作为中介,仍然能够最终实现与目标服务器的连接。这就是FXP,也称跨服务器攻击。选中后就可以防止发生此种情况。
  七、IIS安全设置
  IIS的安全:
  1、不使用默认的Web站点,如果使用也要将IIS目录与系统磁盘分开。
  2、删除IIS默认创建的Inetpub目录(在安装系统的盘上)。
  3、删除系统盘下的虚拟目录,如:_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。
  4、删除不必要的IIS扩展名映射。
  右键单击“默认Web站点→属性→主目录→配置”,打开应用程序窗口,去掉不必要的应用程序映射。主要为.shtml、.shtm、 .stm。
  5、更改IIS日志的路径
  右键单击“默认Web站点→属性-网站-在启用日志记录下点击属性
  6、如果使用的是2000可以使用iislockdown来保护IIS,在2003运行的IE6.0的版本不需要。
  八、其它
  1、系统升级、打操作系统补丁,尤其是IIS 6.0补丁、SQL SP3a补丁,甚至IE 6.0补丁也要打。同时及时跟踪最新漏洞补丁;
  2、停掉Guest 帐号、并给guest 加一个异常复杂的密码,把Administrator改名或伪装!

3、隐藏重要文件/目录
  可以修改注册表实现完全隐藏:“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ Current-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL”,鼠标右击 “CheckedValue”,选择修改,把数值由1改为0。
  4、启动系统自带的Internet连接防火墙,在设置服务选项中勾选Web服务器。
  5、防止SYN洪水攻击。
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
  新建DWORD值,名为SynAttackProtect,值为2
  6. 禁止响应ICMP路由通告报文
  HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet\ Services\Tcpip\Parameters\Interfaces\interface
  新建DWORD值,名为PerformRouterDiscovery 值为0。
  7. 防止ICMP重定向报文的攻击
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
  将EnableICMPRedirects 值设为0
  8. 不支持IGMP协议
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
  新建DWORD值,名为IGMPLevel 值为0。
  9、禁用DCOM:
  运行中输入Dcomcnfg.exe。回车,单击“控制台根节点”下的“组件服务”。打开“计算机”子文件夹。

关键词: 安全
QQ: 378890364 微信:wwtree(省短信费) 紧急事宜发短信到0061432027638  本站微博:http://t.qq.com/wwtree QQ群:122538123
级别: 管理员
发帖
8532
金币
2762
威望
3231
贡献值
0
元宝
0
只看该作者 沙发  发表于: 2013-06-22
服务器安全工具:安全狗
2012第七届互联网站长年会已经圆满落下帷幕 ,此次会议以“借船出海谋发展 共赢社区云时代”为主题,共同就业界及站长最关心的互联网创业、电子商务、移动互联网等热门话题进行了深入探讨。大会不仅为广大怀揣创业梦想的站长们描绘云时代的美好前景,同时也为互联网安全提出了新的思考。作为互联网安全服务、产品提供商——安全狗互联网安全实验室技术总监陈奋,在参加完站长年会之后,于百忙中应邀接受了我们的独家专访,详细介绍了安全狗的主要产品及服务,以下是专访实录:


记者:我们都知道网站安全主要取决于服务器安全,市场上有很多服务器安全防护软件,请问安全狗产品与这些产品有什么区别呢?


安全狗技术总监陈奋:首先,我们提供的是免费的优质产品加服务的概念,用户可以在我们的官网(www.safedog.cn)直接免费下载安装软件,在使用过程中如果遇到任何与安全狗产品相关的问题,都可以获得我们客服人员、技术支持人员的帮助。其次,我们的产品采用内核驱动的方式,将资源耗用降到最低,在几乎不对服务器、网站运营产生影响的情况下,最大程度保护服务器和网站安全。再次,针对大部分个人站长对服务器安全配置不够熟悉的情况,我们努力将产品打造成简便、快速、安装之后无需进行任何配置即可上手使用的傻瓜式服务器安全防护软件。


记者:是否方便为我们详细介绍一下服务器安全狗与网站安全狗的特点,或者说介绍下这两个产品在防护攻击方面的优势?


安全狗技术总监陈奋:网站安全狗作为第一层保护,可以拦截网站的各种攻击,如SQL注入、IIS的URL漏洞攻击以及CC攻击等。有些网站也设置严格的上传限制,但是黑客可以利用IIS的URL漏洞构造如1.asp;.jpg这样的畸形文件来绕过,利用网站安全狗就可以直接拦截这样的URL攻击。


服务安全狗作为操作系统的第二层保护,提供更多的服务器主动防御功能,比较重点如下面几个 :


1) 服务器账号保护:一般黑客入侵后会创建一些影子账号(也叫克隆账号,利用注册表直接复制方式),用户利用系统的账号管理是看不到的,但是如果装了服务器安全狗就可以直接拦截这样的攻击。服务器安全狗V3.1版本的账号保护功能已经细化到用户组,满足IDC用户的需求,可以自主选择要保护的用户组。


2) 远程桌面保护:利用服务器安全狗的远程桌面保护,设置白名单功能(包括IP、域名和计算机),可以有效的过滤非法IP攻击。


3) 文件系统保护:服务器安全狗V3.1版本增加了文件系统保护功能,可以设置灵活的规则(个人认为规则灵活度已经超过麦咖啡),从文件驱动层保护系统安全。





记者:像麦咖啡的文件保护功能已经算是很强大了,不知道服务器安全狗新版提供的文件保护功能,可以做到什么程度的防护,是否可以给我们介绍一下?


安全狗技术总监陈奋:是的,新版服务器安全狗文件目录保护功能不但强大,而且比麦咖啡相应功能更加灵活。用户可以通过对保护规则的灵活设置,对指定文件目录、文件名称、文件扩展名进行监控,发现非法攻击立即拦截,以实现对服务器文件目录的保护。同时文件目录保护允许用户自定义规则,我们默认带上了包括禁止畸形目录、畸形文件创建,禁止修改网页文件,禁止Serv-u、pcAnywhere 提权,禁止SC命令,禁止系统目录创建 DLL、EXE文件等实用的规则,方便广大用户使用。






同时针对广大用户对于安全狗软件本身目录安全所提出的需求,我们还增加了对安全狗软件安装目录、文件保护功能,彻底杜绝可能由于安全狗本身的原因导致的安全风险。






我们提供了三个默认的安全狗文件目录保护规则,用以保护安全狗本身。具体就像这边所展示的,这条规则允许所有安全狗本身的进程对监控路径指向的文件进行修改及操作,而禁止其他进程对监控路径下的.ini、.xml、.db、.exe、.dll进行写入、删除操作。我们建议用户安装完服务器安全狗之后,就开启这个文件目录保护功能。


记者:对于有做网站托管的代理商,一台服务器上往往会有多个网站, 如果遇到单独的某一个网站在被恶意攻击,而因为网站很多找不到具体攻击在哪里,这样的情况我们安全狗是否能够应对呢?


安全狗技术总监陈奋:针对单个网站被攻击,或者被刷流量的问题,可以借助专用的分析工具来做,同时,我们的网站安全狗V2.3 版本就有专门针对网站流量监控的功能,可以直接分析出哪个网站流量比较大,从而帮助用户及时、快速的定位攻击。这个新增功能在我们网站安全狗新版,也就是V2.3版本发布之后,得到很多用户正面的反馈。


记者:最后还有个问题,安全狗作为免费的产品,因为它本身的功能确实不错,而且用户群也大,用户比较关心的是安全狗的运营发展方向,所以是否可以跟大家透露一下安全狗未来的发展计划?


安全狗技术总监陈奋:我们的发展方向其实很简单,秉持一贯服务大众的精神,作为我们的基础产品,也就是你们现在用到的服务器安全狗、网站安全狗软件将会永久免费,而且我们还将投入更大的研发力量来不断完善这个产品,目的是让大家在做服务器安全时能够更加容易、更加方便。


后续我们会在两个软件基础上开发高级的平台提供收费的增值功能,这些功能主要面向一些需求比较特殊的用户。


同时,我们针对企业用户推出企业服务项目,为企业级用户的高端服务器安全维护和设置需求提供周全的服务。


记者:非常感谢安全狗技术总监陈奋接受我们的采访,同时也希望安全狗能够越做越好,谢谢。
QQ: 378890364 微信:wwtree(省短信费) 紧急事宜发短信到0061432027638  本站微博:http://t.qq.com/wwtree QQ群:122538123
描述
快速回复

您目前还是游客,请 登录注册
如果您在写长篇帖子又不马上发表,建议存为草稿