windows 2003 安全相关措施

这篇文章是本身整理之前相关文章的方法，也会不间断更新，留作备用，但愿对你们也可以有所帮助！！

 

第一招：正确划分文件系统格式，选择稳定的操做系统安装盘
为了提升安全性，服务器的文件系统格式必定要划分红NTFS（新技术文件系统）格式，它比FAT1六、FAT32的安全性、空间利用率都大大的提升，咱们能够经过它来配置文件的安全性，磁盘配额、EPS文件加密等。若是你已经分红FAT32的格式了，能够用CONVERT 盘符 /FS：NTFS　 /V 来把FAT32转换成NTFS格式。正确安装windows 2003 server
第二招：正确设置磁盘的安全性 , 具体以下 ( 虚拟机的安全设置，咱们以 asp 程序为例子 ) 重点：
一、系统盘权限设置
C:分区部分：
c:\
administrators 所有(该文件夹，子文件夹及文件)
CREATOR OWNER　所有(只有子文件来及文件)
system 所有(该文件夹，子文件夹及文件)
IIS_WPG 建立文件/写入数据(只有该文件夹)
IIS_WPG(该文件夹，子文件夹及文件)
遍历文件夹/运行文件
列出文件夹/读取数据
读取属性
建立文件夹/附加数据
读取权限
c:\Documents and Settings
administrators 所有(该文件夹，子文件夹及文件)
Power Users (该文件夹，子文件夹及文件)
读取和运行
列出文件夹目录
读取
SYSTEM所有(该文件夹，子文件夹及文件)
C:\Program Files
administrators 所有(该文件夹，子文件夹及文件)
CREATOR OWNER所有(只有子文件来及文件)
IIS_WPG (该文件夹，子文件夹及文件)
读取和运行
列出文件夹目录
读取
Power Users(该文件夹，子文件夹及文件)
修改权限
SYSTEM所有(该文件夹，子文件夹及文件)
TERMINAL SERVER USER (该文件夹，子文件夹及文件)
修改权限
2 、网站及虚拟机权限设置 ( 好比网站在 E 盘 )
说明：咱们假设网站所有在E盘wwwsite目录下，而且为每个虚拟机建立了一个guest用户，用户名为vhost1...vhostn而且建立了一个webuser组，把全部的vhost用户所有加入这个webuser组里面方便管理
E:\
Administrators所有(该文件夹，子文件夹及文件)
E:\wwwsite
Administrators所有(该文件夹，子文件夹及文件)
system所有(该文件夹，子文件夹及文件)
service所有(该文件夹，子文件夹及文件)
E:\wwwsite\vhost1
Administrators所有(该文件夹，子文件夹及文件)
system所有(该文件夹，子文件夹及文件)
vhost1所有(该文件夹，子文件夹及文件)
3 、数据备份盘
数据备份盘最好只指定一个特定的用户对它有彻底操做的权限
好比F盘为数据备份盘，咱们只指定一个管理员对它有彻底操做的权限
4 、其它地方的权限设置
请找到c盘的这些文件，把安全性设置只有特定的管理员有彻底操做权限
下列这些文件只容许administrators访问
net.exe
net1.exet
cmd.exe
tftp.exe
netstat.exe
regedit.exe
at.exe
attrib.exe
cacls.exe
format.com
5. 删除 c:\inetpub 目录，删除 iis 没必要要的映射，创建陷阱账号，更改描述
第三招：禁用没必要要的服务，提升安全性和系统效率
Computer Browser 维护网络上计算机的最新列表以及提供这个列表
Task scheduler 容许程序在指定时间运行
Routing and Remote Access 在局域网以及广域网环境中为企业提供路由服务
Removable storage 管理可移动媒体、驱动程序和库
Remote Registry Service 容许远程注册表操做
Print Spooler 将文件加载到内存中以便之后打印。要用打印机的朋友不能禁用这项
IPSEC Policy Agent 管理IP安全策略以及启动ISAKMP/OakleyIKE)和IP安全驱动程序
Distributed Link Tracking Client 当文件在网络域的NTFS卷中移动时发送通知
Com+ Event System 提供事件的自动发布到订阅COM组件
Alerter 通知选定的用户和计算机管理警报
Error Reporting Service 收集、存储和向 Microsoft 报告异常应用程序
　Messenger 传输客户端和服务器之间的 NET SEND 和 警报器服务消息
Telnet 容许远程用户登陆到此计算机并运行程序
第四招 : 修改注册表，让系统更强壮
一、隐藏重要文件/目录能够修改注册表实现彻底隐藏：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ Windows\ Current-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL”，鼠标右击 “CheckedValue”，选择修改，把数值由1改成0
二、启动系统自带的Internet链接_blank">防火墙，在设置服务选项中勾选Web服务器。
三、防止SYN洪水***
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值，名为SynAttackProtect，值为2
EnablePMTUDiscovery REG_DWORD 0
NoNameReleaseOnDemand REG_DWORD 1
EnableDeadGWDetect REG_DWORD 0
KeepAliveTime REG_DWORD 300,000
PerformRouterDiscovery REG_DWORD 0
EnableICMPRedirects REG_DWORD 0
4. 禁止响应ICMP路由通告报文
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface
新建DWORD值，名为PerformRouterDiscovery 值为0
5. 防止ICMP重定向报文的***
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
将EnableICMPRedirects 值设为0
6. 不支持IGMP协议
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值，名为IGMPLevel 值为0
7.修改终端服务端口
运行regedit，找到[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Terminal Server \ Wds \ rdpwd \ Tds \ tcp]，看到右边的PortNumber了吗？在十进制状态下改为你想要的端口号吧，好比7126之类的，只要不与其它冲突便可。
二、第二处HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Terminal Server \ WinStations \ RDP-Tcp，方法同上，记得改的端口号和上面改的同样就好了。
八、禁止IPC空链接：
　cracker能够利用net use命令创建空链接，进而***，还有net view，nbtstat这些都是基于空链接的，禁止空链接就行了。打开注册表，找到Local_Machine\System\ CurrentControlSet\Control\LSA-RestrictAnonymous 把这个值改为”1”便可。
九、更改TTL值
　 cracker能够根据ping回的TTL值来大体判断你的操做系统，如：
TTL=107(WINNT);
TTL=108(win2000);
TTL=127或128(win9x);
TTL=240或241(linux);
TTL=252(solaris);
TTL=240(Irix);
实际上你能够本身更改的：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ Tcpip\Parameters：DefaultTTL REG_DWORD 0-0xff(0-255 十进制,默认值128)改为一个莫名其妙的数字如258，起码让那些小菜鸟晕上半天，就此放弃***你也不必定哦
10. 删除默认共享
　有时一开机就共享全部盘，改回来之后，重启又变成了共享是怎么回事，这是2K为管理而设置的默认共享，必须经过修改注册表的方式取消它： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters： AutoShareServer类型是REG_DWORD把值改成0便可
11. 禁止创建空链接
默认状况下，任何用户经过经过空链接连上服务器，进而枚举出账号，猜想密码。咱们能够经过修改注册表来禁止创建空链接：
Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous 的值改为”1”便可。
第五招:其它安全手段
1.禁用TCP/IP上的NetBIOS
　网上邻居-属性-本地链接-属性-Internet协议（TCP/IP）属性-高级-WINS面板-NetBIOS设置-禁用TCP/IP上的NetBIOS。这样cracker就没法用nbtstat命令来读取你的NetBIOS信息和网卡MAC地址了。
2. 帐户安全
　首先禁止一切帐户，除了你本身，呵呵。而后把Administrator更名。我呢就顺手又建了个Administrator帐户，不过是什么权限都没有的那种，而后打开记事本，一阵乱敲，复制，粘贴到“密码”里去，呵呵，来破密码吧~！破完了才发现是个低级帐户，看你崩溃不？
建立2个管理员用账号
虽然这点看上去和上面这点有些矛盾，但事实上是服从上面的规则的。建立一个通常权限账号用来收信以及处理一些*常事物，另外一个拥有Administrators 权限的账户只在须要的时候使用。可让管理员使用 “ RunAS” 命令来执行一些须要特权才能做的一些工做，以方便管理
3.更改C:\WINDOWS\Help\iisHelp\common\404b.htm内容改成 <META http-equiv=REFRESH content=0;URL=/;>这样，出错了自动转到首页
4. 安全日志
请记住：Win2000的默认安装是不开任何安全审核的！那么请你到本地安全策略->审核策略中打开相应的审核，推荐的审核是：
帐户管理 成功 失败
登陆事件 成功 失败
对象访问 失败
策略更改 成功 失败
特权使用 失败
系统事件 成功 失败
目录服务访问 失败
帐户登陆事件 成功 失败
审核项目少的缺点是万一你想看发现没有记录那就一点都没辙；审核项目太多不只会占用系统资源并且会致使你根本没空去看，这样就失去了审核的意义
5. 运行防毒软件
我见过的Win2000/Nt服务器历来没有见到有安装了防毒软件的，其实这一点很是重要。一些好的杀毒软件不只能杀掉一些著名的病毒，还能查杀大量***和后门程序。这样的话，“***”们使用的那些有名的***就毫无用武之地了。不要忘了常常升级病毒库,咱们推荐mcafree杀毒软件+ blackice_blank">防火墙
6.sqlserver数据库服务器安全和serv-u ftp服务器安全配置，更改默认端口，和管理密码
7.设置ip筛选、用blackice禁止***经常使用端口
通常禁用如下端口
135 138 139 443 445 4000 4899 7626
8.本地安全策略和组策略的设置,若是你在设置本地安全策略时设置错了，能够这样恢复成它的默认值.
打开 %SystemRoot%\Security文件夹,建立一个 "OldSecurity"子目录,将%SystemRoot%\Security下全部的.log文件移到这个新建的子文件夹中.
在%SystemRoot%\Security\database\下找到"Secedit.sdb"安全数据库并将其更名,如改成"Secedit.old".
启动"安全配置和分析"MMC管理单元:"开始"->"运行"->"MMC",启动管理控制台,"添加/删除管理单元",将"安全配置和分析"管理单元添加上.
右击"安全配置和分析"->"打开数据库",浏览"C:\WINNT\security\Database"文件夹,输入文件名"secedit.sdb",单击"打开".
当系统提示输入一个模板时,选择"Setup Security.inf",单击"打开".
若是系统提示"拒绝访问数据库",无论他.
你会发如今"C:\WINNT\security\Database"子文件夹中从新生成了新的安全数据库,在"C:\WINNT\security"子文件夹下从新生成了log文件.安全数据库重建成功.

1. 关闭139端口

139端口是NetBIOS Session端口，用来文件和打印共享，注意的是运行samba的unix机器也开放了139端口，功能同样。关闭139口听方法是在“网络和拨号链接”中“本地链接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WINS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口

2. 关闭445端口

修改注册表，添加一个键值

　　Hive: HKEY_LOCAL_MACHINE

　　Key: System\CurrentControlSet\Services\NetBT\Parameters

　　Name: SMBDeviceEnabled

　　Type: REG_DWORD

　　Value: 0

修改完后重启机器，运行“netstat -an”，你将会发现你的445端口已经再也不Listening了。