windows2003 伺服器安全配置的建議_win伺服器

一、作業系統配置

1.安裝作業系統(NTFS分區)後，裝殺毒軟體，我選用的是卡巴。

2.安裝系統補丁。掃描漏洞全面殺毒

3.刪除Windows Server 2003預設共用
首先編寫如下內容的批次檔：
@echo off
net share C$ /del
net share D$ /del
net share E$ /del
net share F$ /del
net share admin$ /del
檔案名稱為delshare.bat，放到啟動項中，每次開機時會自動刪除共用。

4.禁用IPC串連
開啟CMD後輸入如下命令即可進行串連：net use\\ip\ipc$ "password" /user:"usernqme"。我們可以通過修改註冊表來禁用IPC串連。開啟登錄編輯程式。找到如下組建HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa中的restrictanonymous子鍵，將其值改為1即可禁用IPC串連。

5.刪除"網路連接"裡的協議和服務
在"網路連接"裡，把不需要的協議和服務都刪掉，這裡只安裝了基本的Internet協議（TCP/IP），同時在進階tcp/ip設定裡–"NetBIOS"設定"禁用tcp/IP上的NetBIOS（S）"。

6.啟用windows串連防火牆，只開放web服務(80連接埠)。
註：在2003系統裡，不推薦用TCP/IP篩選裡的連接埠過濾功能，譬如在使用FTP伺服器的時候，如果僅僅只開放21連接埠，由於FTP協議的特殊性，在進行FTP傳輸的時候，由於FTP 特有的Port模式和Passive模式，在進行資料轉送的時候，需要動態開啟高連接埠，所以在使用TCP/IP過濾的情況下，經常會出現串連上後無法列出目錄和資料轉送的問題。所以在2003系統上增加的windows串連防火牆能很好的解決這個問題，所以都不推薦使用網卡的TCP/IP過濾功能。

7.磁碟許可權
系統硬碟只給 Administrators 和 SYSTEM 許可權
系統硬碟\Documents and Settings 目錄只給 Administrators 和 SYSTEM 許可權；
系統硬碟\Documents and Settings\All Users 目錄只給 Administrators 和 SYSTEM 許可權；
系統硬碟\Documents and Settings\All Users\Application Data目錄只給 Administrators 和 SYSTEM 許可權；
系統硬碟\Windows 目錄只給 Administrators 、 SYSTEM 和 users 許可權；
系統硬碟\Windows\System32\net.exe，net1.exe，cmd.exe，command.exe，ftp.exe，netstat.exe，regedit.exe，at.exe，attrib.exe，cacls.exe 檔只給 Administrators 許可權(如果覺得沒用就刪了它，比如我刪了cmd.exe，command.exe，嘿嘿。)；
其它盤，有安裝程式啟動並執行(如：sql server 2000 在D盤)給 Administrators 和 SYSTEM 許可權，無只給 Administrators 許可權。

8.本地安全性原則設定
開始菜單—>管理工具—>本地安全性原則
A、本地策略——>稽核原則 (可選用)
稽核原則更改 成功 失敗
審核登入事件 成功 失敗
審核對象訪問 失敗
審核過程跟蹤 無審核
審核目錄服務訪問 失敗
審核特權使用 失敗
審核系統事件 成功 失敗
審核賬戶登入事件 成功 失敗
審核賬戶管理 成功 失敗

B、本地策略——>使用者權限分配
關閉系統：只有Administrators組、其它全部刪除。
通過終端服務拒絕登陸：加入Guests、Users組
通過終端服務允許登陸：只加入Administrators組，其他全部刪除

C、本地策略——>安全選項
互動式登陸：不顯示上次的使用者名稱 啟用
網路訪問：可匿名訪問的共用 全部刪除
網路訪問：可匿名訪問的具名管道 全部刪除
**網路訪問：可遠端存取的註冊表路徑 全部刪除
**網路訪問：可遠端存取的註冊表路徑和子路徑 全部刪除
帳戶：重新命名來賓帳戶 重新命名一個帳戶
(下面一項更改可能導致sqlserver不能使用)
帳戶：重新命名系統管理員帳戶 重新命名一個帳戶

二、iis配置(包括網站所在目錄)

1.建立自己的網站(*注意：在應用程式設定中執行許可權設為無，在需要的目錄裡再更改)，目錄不在系統硬碟
註：為支援asp.net,將系統硬碟\Inetpub\wwwroot中的aspnet_client檔案夾複製到web根目錄下，並給web根目錄加上users許可權。

2.刪掉系統硬碟\inetpub目錄

3.刪除不用的映射
在"應用程式配置"裡，只給必要的指令碼執行許可權：ASP、ASPX。

4.為網站建立系統使用者
A.例如：網站為yushan43436.net，建立使用者yushan43436.net許可權為guests。然後在web網站屬性裡"目錄安全性"—"身分識別驗證和存取控制"裡設定匿名訪問使用下列Windows 使用者帳戶"的使用者名稱和密碼都使用yushan43436.net這個使用者的資訊。(使用者名稱：主機名稱\yushan43436.net)
B.給網站所在的磁碟目錄添加使用者yushan43436.net，只給讀取和寫入的許可權。

5.設定應用程及子目錄的執行許可權
A.主應用程式目錄中的"屬性–應用程式設定–執行許可權"設為純指令碼
B.在不需要執行asp、asp.net的子目錄中，例如上傳檔案目錄，執行許可權設為無

6.應用程式集區設定
我的網站使用的是預設應用程式集區。設定"記憶體回收"：這裡的最大虛擬記憶體為：1000M，最大使用的實體記憶體為256M，這樣的設定幾乎是沒限制這個網站的效能的。
回收背景工作處理序(分鐘)：1440
在下列時間回收背景工作處理序：06:00

三、sql server 2000 配置

1.密碼設定
我編的程式用了sa使用者，密碼設定超複雜(自己記不住，儲存在手機裡，嘿嘿)。

2.刪除危險的擴充預存程序和相關.dll。
Xp_cmdshell(這個肯定首當其衝，不用說了)、Xp_regaddmultistring、Xp_regdeletekey、Xp_regdeletevalue、Xp_regenumvalues、Xp_regread、Xp_regwrite、Xp_regremovemultistring

四、其它設定(可選用，本人可不負責)

1.任何使用者密碼都要複雜，不需要的使用者—刪。

2.防止SYN洪水攻擊
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
建立DWORD值，名為SynAttackProtect，值為2

3.禁止響應ICMP路由通告報文
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface
建立DWORD值，名為PerformRouterDiscovery 值為0

4.防止ICMP重新導向報文的攻擊
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
將EnableICMPRedirects 值設為0

5.不支援IGMP協議
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
建立DWORD值，名為IGMPLevel 值為0

6.禁用DCOM：
運行中輸入 Dcomcnfg.exe。 斷行符號， 單擊“主控台根目錄”下的“元件服務”。 開啟“電腦”子檔案夾。
對於本機電腦，請以按右鍵“我的電腦”，然後選擇“屬性”。選擇“預設屬性”選項卡。
清除“在這台電腦上啟用分散式 COM”複選框。