Windows 2008 伺服器安全強化幾個注意事項_win伺服器

一、系統資訊

查看系統版本	Windows Server 2008 r2 Enterprise
用途	Vpn伺服器
查看主機名稱
查看網路設定

二、殺毒軟體管理

2.1 殺軟安裝

操作目的	預防木馬及病毒等危害程式
檢查方法	檢查系統殺軟服務是否啟動。
加固方法	安裝殺毒軟體；開啟即時監控；設定合適的監控層級；為殺軟設定密碼。
是否實施
備忘

三、補丁管理

3.1補丁安裝

操作目的	安裝系統補丁，修補漏洞
檢查方法	使用漏掃工具掃描。
加固方法	使用工具自動化打補丁。
是否實施
備忘

四、帳號口令

4.1最佳化帳號

操作目的	減少系統無用帳號，降低風險
檢查方法	“Win+R”鍵調出“運行”->compmgmt.msc（電腦管理）->本機使用者和組，查看是否有不用的帳號，系統帳號所屬組是否正確以及guest帳號是否鎖定
加固方法	使用“net user 使用者名稱 /del”命令刪除帳號 使用“net user 使用者名稱 /active:no”命令鎖定帳號
是否實施
備忘	檢查註冊表，預防影子帳號。

4.2口令策略

操作目的	增強口令的複雜度及鎖定策略等，降低被暴力破解的可能性
檢查方法	“Win+R”鍵調出“運行”->secpol.msc （本地安全性原則）->安全設定
加固方法	1，賬戶策略->密碼原則 密碼必須符合複雜性要求：啟用 密碼長度最小值：8個字元 密碼最短使用到期日：0天 密碼最長使用到期日：90天 強制密碼曆史：1個記住密碼 用可還原的加密來儲存密碼：已禁用 2，賬戶設定->賬戶鎖定策略 帳戶鎖定時間：30分鐘 帳戶鎖定閥值：5次無效登入 重設帳戶鎖定計數器：30分鐘 3，本地策略->安全選項 互動式登入：不顯示最後的使用者名稱：啟用
是否實施
備忘	“Win+R”鍵調出“運行”->gpupdate /force立即生效

五、網路服務

5.1最佳化服務

操作目的	關閉不需要的服務，減小風險
檢查方法	“Win+R”鍵調出“運行”->services.msc
加固方法	以下服務改為手動 COM+ Event System DHCP Client Diagnostic Policy Service Distributed Transaction Coordinator DNS Client Distributed Link Tracking Client Remote Registry Print Spooler Server（不使用檔案分享權限設定可以關閉） Shell Hardware Detection TCP/IP NetBIOS Helper Windows Update
是否實施
備忘	停用服務需謹慎，特別是遠端電腦

5.2關閉共用

操作目的	關閉預設共用
檢查方法	“Win+R”鍵調出“運行”->cmd.exe->net share，查看共用
加固方法	關閉C$，D$等預設共用 “Win+R”鍵調出“運行”->regedit->找到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters ，建立AutoShareServer（REG_DWORD），索引值為0
是否實施
備忘

5.3網路限制

操作目的	網路訪問限制
檢查方法	“Win+R”鍵調出“運行”->secpol.msc ->安全設定->本地策略->安全選項
加固方法	網路訪問: 不允許 SAM 帳戶的匿名枚舉：已啟用 網路訪問: 不允許 SAM 帳戶和共用的匿名枚舉：已啟用 網路訪問: 將 Everyone許可權應用於匿名使用者：已禁用 帳戶: 使用空密碼的本地帳戶只允許進行控制台登入：已啟用
是否實施
備忘	“Win+R”鍵調出“運行”->gpupdate /force立即生效

六、檔案系統

6.1使用NTFS

操作目的	增強檔案系統安全性
檢查方法	查看每個系統磁碟機是否使用NTFS檔案系統
加固方法	建議使用NTFS檔案系統，轉換命令：convert <磁碟機盤符>: /fs:ntfs
是否實施
備忘

6.2 檢查Everyone許可權

操作目的	增強Everyone許可權
檢查方法	滑鼠右鍵系統磁碟機（磁碟）->“屬性”->“安全”，查看每個系統磁碟機根目錄是否設定為Everyone有所有許可權
加固方法	刪除Everyone的許可權或者取消Everyone的寫入權限
是否實施
備忘

6.3 限制命令許可權

操作目的	限制部分命令的許可權
檢查方法	使用cacls命令或資源管理員查看以下檔案許可權
加固方法	建議對以下命令做限制，只允許system、Administrator組訪問 %systemroot%\system32\cmd.exe %systemroot%\system32\regsvr32.exe %systemroot%\system32\tftp.exe %systemroot%\system32\ftp.exe %systemroot%\system32\telnet.exe %systemroot%\system32\net.exe %systemroot%\system32\net1.exe %systemroot%\system32\cscript.exe %systemroot%\system32\wscript.exe %systemroot%\system32\regedit.exe %systemroot%\system32\regedt32.exe %systemroot%\system32\cacls.exe %systemroot%\system32\command.com %systemroot%\system32\at.exe
是否實施
備忘	可能會影響業務系統正常運行

七、日誌審核

7.1增強日誌

操作目的	增大日誌量大小，避免由於記錄檔容量過小導致日誌記錄不全
檢查方法	“Win+R”鍵調出“運行”->eventvwr.msc ->“windows日誌”->查看“應用程式”“安全”“系統”的屬性
加固方法	建議設定： 日誌上限大小：20480 KB
是否實施
備忘

7.2增強審核

操作目的	對系統事件進行審核，在日後出現故障時用於排查故障
檢查方法	“Win+R”鍵調出“運行”->secpol.msc ->安全設定->本地策略->稽核原則
加固方法	建議設定： 稽核原則更改：成功 審核登入事件：成功，失敗 審核對象訪問：成功 審核進程跟蹤：成功，失敗 審核目錄服務訪問：成功，失敗 審核系統事件：成功，失敗 審核帳戶登入事件：成功，失敗 審核帳戶管理：成功，失敗
是否實施
備忘	“Win+R”鍵調出“運行”->gpupdate /force立即生效

註：此文模板是從百度down的，我做了適當修改。