WIN2000 SERVER安全配置技巧58条(1) - Windows - 51CTO技术论坛

社区导航: 专家门诊网络技术操作系统数据库程序设计系统应用考试认证 CIO及信息化站长交流综合交流下载基地 51CTO产品服务

【设为首页 | 收藏本站】

51CTO技术论坛» Windows » WIN2000 SERVER安全配置技巧58条(1) [ 打印] [ 订阅] [ 收藏] [ 推荐给朋友] [ 本帖文本页]

论坛跳转:

userli

副版主

帖子 1103
精华 1
无忧币 15423
积分 3306
阅读权限 140

注册日期 2006-9-17

最后登录 2008-7-14

离线

[查看资料] [发短消息] [Blog]

发表于:2008-3-25 09:58　　标题：WIN2000 SERVER安全配置技巧58条(1)
＜上一帖 | 下一帖＞

WIN2000 SERVER是比较流行的服务器操作系统之一，但是要想安全的配置微软的这个操作系统，却不是一件容易的事。本文搜集整理了58条针对WIN2000 SERVER进行安全配置的注意事项或技巧。
&G+F;oO#h$[
　　1.NTFS比FAT分区多了安全控制功能，能够对不同的文档夹配置不同的访问权限，安全性增强。 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离L:B.[n
FN~(H

　　2.建议最好一次性全部安装成NTFS分区，而不要先安装成FAT分区再转化为NTFS分区，这样做在安装了SP5和SP6的情况下会导致转化不成功，甚至系统崩溃。
51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离)E
eL
y-yj8ys7G F;p V
　　3.安装NTFS分区有一个潜在的危险，就是现在大多数反病毒软件没有提供对软盘启动后NTFS分区病毒的查杀，这样一旦系统中了恶性病毒而导致系统不能正常启动，后果就比较严重，因此及建议平时做好防病毒工作。

　　4.分区和逻辑盘的分配：推荐的安全配置是建立三个逻辑驱动器，第一个大于2G，用来装系统和重要的日志文档，第二个放IIS，第三个放FTP，这样无论IIS或FTP出了安全漏洞都不会直接影响到系统目录和系统文档。要知道，IIS和FTP是对外服务的，比较容易出问题。而把IIS和FTP分开主要是为了防止入侵者上传程式并从IIS中运行。 bbs.51cto.com%lMc/_;jHh7Q
bbs.51cto.com qqu'D4CI
}*|-w]5g
　　5.安装顺序的选择：win2000在安装中有几个顺序是一定要注意的。 51CTO技术论坛4I2yH^u Q0uC5b

　　首先，何时接入网络，Win2000在安装时有一个漏洞，在您输入Administrator密码后，系统就建立了ADMIN$的共享，但是并没有用您刚刚输入的密码来保护他，这种情况一直持续到您再次启动后，在此期间，任何人都能够通过ADMIN$进入您的机器；同时，只要安装一完成，各种服务就会自动运行，而这时的服务器是满身漏洞，很容易进入的，因此，在完全安装并配置好win2000 SERVER之前，一定不要把主机接入网络。
51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离;@5y0y(IW
　　其次，补丁的安装：补丁的安装应该在任何应用程式安装完之后，因为补丁程式往往要替换/修改某些系统文档，假如先安装补丁再安装应用程式有可能导致补丁不能起到应有的效果，例如：IIS的HotFix就需要每次更改IIS的配置都需要安装。 +eeZwEwW%t

　　6.端口是电脑和外部网络相连的逻辑接口，也是电脑的第一道屏障，端口配置正确和否直接影响到主机的安全，一般来说，仅打开您需要使用的端口会比较安全，配置的方法是在网卡属性-TCP/IP-高级-选项-TCP/IP筛选中启用TCP/IP筛选，但是对于win2000的端口过滤来说，有一个不好的特性：只能规定开哪些端口，不能规定关闭哪些端口，这样对于需要开大量端口的用户就比较痛苦。

　　7.IIS是微软的组件中漏洞最多的一个，平均两三个月就要出一个漏洞，而微软的IIS默认安装又实在不敢恭维，所以IIS的配置是我们的重点，现在大家跟着我一起来：首先，把C盘那个什么Inetpub目录完全删掉，在D盘建一个Inetpub（要是您不放心用默认目录名也能够改一个名字，但是自己要记得）在IIS管理器中将主目录指向D:\Inetpub；其次，那个IIS安装时默认的什么scripts等虚拟目录一概删除，假如您需要什么权限的目录能够自己慢慢建，需要什么权限开什么。（特别注意写权限和执行程式的权限，没有绝对的必要千万不要给）第三，应用程式配置：在IIS管理器中删除必须之外的任何无用映射，必须指的是ASP，ASA和其他您确实需要用到的文档类型，例如您用到stml等（使用server side include），实际上90%的主机有了上面两个映射就够了，其余的映射几乎每个都有一个凄惨的故事：htw，htr，idq，ida……想知道这些故事？去查以前的漏洞列表吧。在IIS管理器中右击主机->属性->WWW服务编辑->主目录配置->应用程式映射，然后就开始一个个删吧（里面没有全选的）。接着在刚刚那个窗口的应用程式调试书签内将脚本错误消息改为发送文本（除非您想ASP出错的时候用户知道您的程式/网络/数据库结构）错误文本写什么？随便您喜欢，自己看着办。点击确定退出时别忘了让虚拟站点继承您设定的属性。安装新的Service Pack后，IIS的应用程式映射应重新配置。（说明：安装新的Service Pack后，某些应用程式映射又会出现，导致出现安全漏洞。这是管理员较易忽视的一点。） 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离aJQ"~X3t7U

为了对付日益增多的cgi漏洞扫描器，更有一个小技巧能够参考，在IIS中将HTTP404 Object Not Found出错页面通过URL重定向到一个定制HTM文档，能够让现在绝大多数CGI漏洞扫描器失灵。其实原因很简单，大多数CGI扫描器在编写时为了方便，都是通过查看返回页面的HTTP代码来判断漏洞是否存在的，例如，著名的IDQ漏洞一般都是通过取1.idq来检验，假如返回HTTP200，就认为是有这个漏洞，反之假如返回HTTP404就认为没有，假如您通过URL将HTTP404出错信息重定向到HTTP404.htm文档，那么任何的扫描无论存不存在漏洞都会返回HTTP200，90%的CGI扫描器会认为您什么漏洞都有，结果反而掩盖了您真正的漏洞，让入侵者茫然无处下手，但是从个人角度来说，我还是认为扎扎实实做好安全配置比这样的小技巧重要的多。 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离&s_
K)D A;{
bbs.51cto.com-YRt}{)r4M]7D x1t
M
　　最后，为了保险起见，您能够使用IIS的备份功能，将刚刚的设定全部备份下来，这样就能够随时恢复IIS的安全配置。更有，假如您怕IIS负荷过高导致服务器满负荷死机，也能够在性能中打开CPU限制，例如将IIS的最大CPU使用率限制在70%。

　　8.帐号尽可能少，且尽可能少用来登录
/v9gGTC
　　说明：网站帐号一般只用来做系统维护，多余的帐号一个也不要，因为多一个帐号就会多一份被攻破的危险。

　　a.除Administrator外，有必要再增加一个属于管理员组的帐号； bbs.51cto.com.T5j*}8Fx

　　说明：两个管理员组的帐号，一方面防止管理员一旦忘记一个帐号的口令更有一个备用帐号；另方面，一旦黑客攻破一个帐号并更改口令，我们更有有机会重新在短期内取得控制权。
"w'HIEqn
　　b.任何帐号权限需严格控制，轻易不要给帐号以特别权限；将Administrator重命名，改为一个不易猜的名字。其他一般帐号也应尊循这一原则；
51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离1g
Z!U/h
i$G,x
　　说明：这样能够为黑客攻击增加一层障碍。

　　c.将Guest帐号禁用，同时重命名为一个复杂的名字，增加口令，并将他从Guest组删掉；

　　说明：有的黑客工具正是利用了guest 的弱点，能够将帐号从一般用户提升到管理员组。

　　d.给任何用户帐号一个复杂的口令（系统帐号出外），长度最少在8位以上，且必须同时包含字母、数字、特别字符。同时不要使用大家熟悉的单词（如microsoft）、熟悉的键盘顺序（如qwert）、熟悉的数字（如2000）等； bbs.51cto.com!ZlR*zS,OX!p/fo*yg
51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离dXaR,y(fx(y
h
　　说明：口令是黑客攻击的重点，口令一旦被突破也就无任何系统安全可言了，而这往往是不少网管所忽视的地方，据我们的测试，仅字母加数字的5位口令在几分钟内就会被攻破，而所推荐的方案则要安全的多。 51CTO技术论坛9h.F+wK$k'[^_+B6Q]&T

　　e.口令必须定期更改（建议至少两周该一次），且最好记在心里，除此以外不要在任何地方做记录；另外，假如在日志审核中发现某个帐号被连续尝试，则必须立即更改此帐号（包括用户名和口令）；

　　说明：在帐号属性中设立锁定次数，比如改帐号失败登录次数超过5次即锁定改帐号。这样能够防止某些大规模的登录尝试，同时也使管理员对该帐号提高警惕。 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离'J5r7I2Zaab,|$X7r E

　　9.Win2000的默认安装是不开任何安全审核的 ,A%md3XlJk HC
51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离!g9LcInL
　　您到本地安全策略->审核策略中打开相应的审核，推荐的审核是：
51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离qw1kW.]#a)}5{~
NYu;^"[4YF
51CTO技术论坛u
nYTu^^y.O
账户管理    成功失败
登录事件    成功失败bbs.51cto.com.cu+xq+Z.myvb0P
对象访问    失败51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离qn.{5`hRhI
策略更改    成功失败
特权使用    失败51CTO技术论坛Z:hGa*\~6[t
系统事件    成功失败
目录服务访问失败!pbY:f E:Gw
账户登录事件成功失败

bbs.51cto.comH#R/_t%L:w5WC
　　审核项目少的缺点是万一您想看发现没有记录那就一点都没辙；审核项目太多不但会占用系统资源而且会导致您根本没空去看，这样就失去了审核的意义。和之相关的更有以下的设定。
bbs.51cto.coms0X-_H6G#\C L
　　在账户策略->密码策略中设定： 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离Rz~\h;p
51CTO技术论坛3MJ/ri(g-\T
密码复杂性需要启用
密码长度最小值 6位51CTO技术论坛K]q2UKk,{5_[KV
强制密码历史 5次
最长存留期 30天

)|P?Ma {WLk
　　在账户策略->账户锁定策略中设定： .y"FY-Tez

账户锁定 3次错误登录bbs.51cto.com
a8j
T&gX
锁定时间 20分钟
复位锁定计数 20分钟 "N0e{ D,m/gJ
bbs.51cto.com`4Dfn||Cw
同样，Terminal Service的安全日志默认也是不开的，我们能够在Terminal Service Configration（远程服务配置）-权限-高级中配置安全审核，一般来说只要记录登录、注销事件就能够了。 bbs.51cto.comMF'F$T#@&{-m-?!n.U1O,W
bbs.51cto.comq2uPl{+z!zX
　　10.为了控制好服务器上用户的权限，同时也为了预防以后可能的入侵和溢出，NT的访问权限分为：读取、写入、读取及执行、修改、列目录、完全控制。在默认的情况下，大多数的文档夹对任何用户（Everyone这个组）是完全敞开的（Full Control），您需要根据应用的需要进行权限重设。 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离pu_A\0[^
51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离[Lk6b9PU
E6xk'nB
　　在进行权限控制时，请记住以下几个原则： bbs.51cto.com"L&w+F'I*c`+z2Y

　　1>限是累计的：假如一个用户同时属于两个组，那么他就有了这两个组所允许的任何权限； bbs.51cto.comi`t}Yc
)U.j(N-[gN3E(M6CTK
　　2>拒绝的权限要比允许的权限高（拒绝策略会先执行）假如一个用户属于一个被拒绝访问某个资源的组，那么不管其他的权限配置给他开放了多少权限，他也一定不能访问这个资源。所以请很小心地使用拒绝，任何一个不当的拒绝都有可能造成系统无法正常运行； 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离I,]`BE~
bbs.51cto.com|n;uMaR;k*Y2kg*w
　　3>文档权限比文档夹权限高； 51CTO技术论坛e$xR~o+z;dj

　　4>利用用户组来进行权限控制是个成熟的系统管理员必须具备的优良习惯之一；

　　5>仅给用户真正需要的权限，权限的最小化原则是安全的重要保障。
bbs.51cto.com8[f^$^?qD
　　11.只安装一种操作系统；
Uw*Xuiq.g
说明：安装两种以上操作系统，会给黑客以可乘之机，利用攻击使系统重启到另外一个没有安全配置的操作系统（或他熟悉的操作系统），进而进行破坏。

　　12.安装成单独的域控制器（Stand Alone），选择工作组成员，不选择域； 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离4oyFp7v~;g'l$_
Pmz8{5u(e
说明：主域控制器（PDC）是局域网中队多台连网机器管理的一种方式，用于网站服务器包含着安全隐患，使黑客有可能利用域方式的漏洞攻击站点服务器。 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离5f!SqsSc&G6Tf4Jh

　　13.将操作系统文档所在分区和WEB数据包括其他应用程式所在的分区分开，并在安装时最好不要使用系统默认的目录，如将\WINNT改为其他目录；
51CTO技术论坛 ~OC'`O3A"p/fM
　　说明：黑客有可能通过WEB站点的漏洞得到操作系统对操作系统某些程式的执行权限，从而造成更大的破坏。同时假如采用IIS的话您应该在其配置中删除掉任何的无用的映射，同时不要安装索引服务，远程站点管理和服务器扩展最好也不要要，然后删掉默认路径下的www，整个删，不要手软，然后再硬盘的另一个硬盘建立存放您网站的文档夹，同时一定记得打开w3c日志纪录，切记（但是本人建议采用apache 1.3.24）
bbs.51cto.com1F7lW9J!f!W
　　系统安装过程中一定本着最小服务原则，无用的服务一概不选择，达到系统的最小安装，多一个服务，多一份风险，呵呵，所以无用组件千万不要安装！ 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离-b1fXK]J9V'C#l
I,Q3A

　　14.关于补丁，在NT下，假如安装了补丁程式，以后假如要从NT光盘上安装新的Windows程式，都要重新安装一次补丁程式，2000下无需这样做。

　　说明：最新的补丁程式，表示系统以前有重大漏洞，非补不可了，对于局域网内服务器能够不是最新的，但站点必须安装最新补丁，否则黑客可能会利用低版本补丁的漏洞对系统造成威胁。这是一部分管理员较易忽视的一点； 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离T#]U:rl4I#b

　　安装NT的SP5、SP6有一个潜在威胁，就是一旦系统崩溃重装NT时，系统将不会认NTFS分区，原因是微软在这两个补丁中对NTFS做了改进。只能通过Windows 2000安装过程中认NTFS，这样会造成很多麻烦，建议同时做好数据备份工作。 51CTO技术论坛+D$Uv6Vt0z6wp

　　安装Service Pack前应先在测试机器上安装一次，以防因为例外原因导致机器死机，同时做好数据备份。 bbs.51cto.com"{+d5hSV*qu

　　尽量不安装和WEB站点服务无关的软件；

　　说明：其他应用软件有可能存在黑客熟知的安全漏洞。

　　15.解除NetBios和TCP/IP协议的绑定

　　说明：NetBois在局域网内是不可缺少的功能，在网站服务器上却成了黑客扫描工具的最好选择目标。方法：NT：控制面版——网络——绑定——NetBios接口——禁用 2000：控制面版——网络和拨号连接——本地网络——属性——TCP/IP——属性——高级——WINS——禁用TCP/IP上的NETBIOS。

16.删除任何的网络共享资源，在网络连接的配置中删除文档和打印共享，只留下TCP/IP协议 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离JZ7Rd$k?(p3T

　　说明：2000在默认情况下有不少网络共享资源，在局域网内对网络管理和网络通讯有用，在网站服务器上同样是个特大的安全隐患。（卸载“Microsoft 网络的文档和打印机共享”。当查看“网络和拨号连接”中的任何连接属性时，将显示该选项。单击“卸载”按钮删除该组件；清除“Microsoft 网络的文档和打印机共享”复选框将不起作用。） 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离/NOo*x$Ka
bbs.51cto.com\w?D0` f'DL
　　方法： bbs.51cto.comAc,E G5|i&C-t5\

　　1>2000：控制面版——管理工具——计算及管理——共享文档夹———停止共享
51CTO技术论坛lNh"]Jf1~|
但上述方法太麻烦，服务器每重启一次，管理员就必须停止一次。 BtIw4CE
51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离:}r-W;J6ifCw7Y
　　2>修改注册表：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters下增加一个键

O9xKY{,M/m
Name: AutoShareServer
Type: REG_DWORDSt9A4J?x)uB5N0~l
value: 0 J7d$c.WEUF

gPnaB-L
　　然后重新启动您的服务器，磁盘分区共享去掉，但IPC共享仍存在，需每次重启后手工删除。
bbs.51cto.comg)t&LU+kU|zH4sK(v
　　17.改NTFS的安全权限；
51CTO技术论坛x5{-|L;|?
　　说明：NTFS下任何文档默认情况下对任何人（EveryOne）为完全控制权限，这使黑客有可能使用一般用户身份对文档做增加、删除、执行等操作，建议对一般用户只给予读取权限，而只给管理员和System以完全控制权限，但这样做有可能使某些正常的脚本程式不能执行，或某些需要写的操作不能完成，这时需要对这些文档所在的文档夹权限进行更改，建议在做更改前先在测试机器上作测试，然后慎重更改。
bbs.51cto.comhy9Y@{
　　18.加强数据备份；

　　说明：这一点很重要，站点的核心是数据，数据一旦遭到破坏后果不堪设想，而这往往是黑客们真正关心的东西；遗憾的是，不少网管在这一点上作的并不好，不是备份不完全，就是备份不及时。数据备份需要仔细计划，定制出一个策略并作了测试以后才实施，而且随着网站的更新，备份计划也需要不断地调整。

s_[%@(q&U
　　19.只保留TCP/IP协议，删除NETBEUI、IPX/SPX协议；
51CTO技术论坛D.mo#[*\8eX5gRg;I
　　说明：网站需要的通讯协议只有TCP/IP，而NETBEUI是个只能用于局域网的协议，IPX/SPX是面临淘汰的协议，放在网站上没有任何用处，反而会被某些黑客工具利用。

　　20.不要起用IP转发功能，控制面板->网络->协议->TCP/IP协议->属性，使这个选框为空。（NT） -S6G[7L6{{

　　说明：缺省情况下，NT的IP转发功能是禁止的，但注意不要启用，否则他会具备路由作用，被黑客利用来对其他服务器进行攻击。

2008-3-25 09:58

1楼

[ 顶部 ]

论坛跳转:

| | |

标记已读 · 删除论坛Cookies · 文本版 · WAP

本论坛言论纯属发布者个人意见，不代表51CTO网站立场！如有疑义，请与管理员联系。

用户名:	注册
密　码:
提　问:
回　答: