windows服务器安全加固方案

1．系统的安全加固：我们通过配置目录权限，系统安全策略，协议栈加强，系统服务和访问控制加固您的系统，整体提高服务器的安全性。2．IIS手工加固：手工加固iis可以有效的提高iweb站点的安全性，合理分配用户权限，配置相应的安全策略，有效的防止iis用户溢出提权。3．系统应用程序加固，提供应用程序的安全性，例如sql的安全配置以及服务器应用软件的安全加固。三．系统的安全加固：1．目录权限的配置：1.1除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权，之后再对其下的子目录作单独的目录权限，如果WEB站点目录，你要为其目录权限分配一个与之对应的匿名访问帐号并赋予它有修改权限，如果想使网站更加坚固，可以分配只读权限并对特殊的目录作可写权限。1.2系统所在分区下的根目录都要设置为不继承父权限，之后为该分区只赋予Administrators和SYSTEM有完全控制权。1.3因为服务器只有管理员有本地登录权限，所在要配置DocumentsandSettings这个目录权限只保留Administrators和SYSTEM有完全控制权，其下的子目录同样。另外还有一个隐藏目录也需要同样操作。因为如果你安装有PCAnyWhere那么他的的配置信息都保存在其下，使用webshell或FSO可以轻松的调取这个配置文件。1.4配置Programfiles目录，为CommonFiles目录之外的所有目录赋予Administrators和SYSTEM有完全控制权。1.5配置Windows目录，其实这一块主要是根据自身的情况如果使用默认的安全设置也是可行的，不过还是应该进入SYSTEM32目录下，将cmd.exe、ftp.exe、net.exe、scrrun.dll、shell.dll这些杀手锏程序赋予匿名帐号拒绝访问。1．6审核MetBase.bin，C:\WINNT\system32\inetsrv目录只有administrator只允许Administrator用户读写。2．组策略配置:在用户权利指派下，从通过网络访问此计算机中删除PowerUsers和BackupOperators；启用不允许匿名访问SAM帐号和共享；启用不允许为网络验证存储凭据或Passport；从文件共享中删除允许匿名登录的DFS$和COMCFG；启用交互登录：不显示上次的用户名；启用在下一次密码变更时不存储LANMAN哈希值；禁止IIS匿名用户在本地登录；3.本地安全策略设置:开始菜单—管理工具—本地安全策略A、本地策略——审核策略审核策略更改成功失败审核登录事件成功失败审核对象访问失败审核过程跟踪无审核审核目录服务访问失败审核特权使用失败审核系统事件成功失败审核账户登录事件成功失败审核账户管理成功失败注：在设置审核登陆事件时选择记失败，这样在事件查看器里的安全日志就会记录登陆失败的信息。B、本地策略——用户权限分配关闭系统：只有Administrators组、其它全部删除。通过终端服务拒绝登陆：加入Guests、User组通过终端服务允许登陆：只加入Administrators组，其他全部删除C、本地策略——安全选项交互式登陆：不显示上次的用户名启用网络访问：不允许SAM帐户和共享的匿名枚举启用网络访问：不允许为网络身份验证储存凭证启用网络访问：可匿名访问的共享全部删除网络访问：可匿名访问的命全部删除网络访问：可远程访问的注册表路径全部删除网络访问：可远程访问的注册表路径和子路径全部删除帐户：重命名来宾帐户重命名一个帐户帐户：重命名系统管理员帐户重命名一个帐户4．本地账户策略：在账户策略-密码策略中设定：密码复杂性要求启用密码长度最小值6位强制密码历史5次最长存留期30天在账户策略-账户锁定策略中设定：账户锁定3次错误登录锁定时间20分钟复位锁定计数20分钟5.修改注册表配置：5.1通过更改注册表local_machine\system\currentcontrolset\control\lsa-restrictanonymous=1来禁止139空连接5.2修改数据包的生存时间(ttl)值hkey_local_machine\system\currentcontrolset\services\tcpip\parametersdefaultttlreg_dword0-0xff(0-255十进制,默认值128)5.3防止syn洪水攻击hkey_local_machine\system\currentcontrolset\services\tcpip\parameterssynattackprotectreg_dword0x2(默认值为0x0)5.4禁止响应icmp路由通告报文hkey_local_machine\system\currentcontrolset\services\tcpip\parameters\interfaces\interfaceperformrouterdiscoveryreg_dword0x0(默认值为0x2)5.5防止icmp重定向报文的攻击hkey_local_machine\system\currentcontrolset\services\tcpip\parametersenableicmpredirectsreg_dword0x0(默认值为0x1)5.6不支持igmp协议hkey_local_machine\system\currentcontrolset\services\tcpip\parameters5.7修改3389默认端口:运行Regedt32并转到此项：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp,找到“PortNumber”子项，您会看到值00000D3D，它是3389的十六进制表示形式。使用十六进制数值修改此端口号，并保存新值。禁用不必要的服务不但可以降低服务器的资源占用减轻负担，而且可以增强安全性。下面列出了igmplevelreg_dword0x0(默认值为0x2)5.8设置arp缓存老化时间设置hkey_local_machine\system\currentcontrolset\services:\tcpip\parametersarpcachelifereg_dword0-0xffffffff(秒数,默认值为120秒)arpcacheminreferencedlifereg_dword0-0xffffffff(秒数,默认值为600)5.9禁止死网关监测技术hkey_local_machine\system\currentcontrolset\services:\tcpip\parametersenabledeadgwdetectreg_dword0x0(默认值为ox1)5.10不支持路由功能hkey_local_machine\system\currentcontrolset\services:\tcpip\parametersipenablerouterreg_dword0x0(默认值为0x0)6.禁用服务：·ApplicationExperienceLookupService·AutomaticUpdates·BITS·ComputerBrowser·DHCPClient·ErrorReportingService·HelpandSupport·NetworkLocationAwareness·PrintSpooler·RemoteRegistry·SecondaryLogon·Server·Smartcard·TCP/IPNetBIOSHelper·Workstation·WindowsAudio·WindowsTime·WirelessConfiguration7．解除NetBios与TCP/IP协议的绑定控制面版——网络——绑定——NetBios接口——禁用2000：控制面版——网络和拨号连接——本地网络——属性——TCP/IP——属性——高级——WINS——禁用TCP/IP上的NETBIOS8.使用tcp/ip筛选在网络连接的协议里启用TCP/IP筛选，仅开放必要的端口（如80）9．禁止WebDAV在注册表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters加以下注册表值：数值名称：DisableWebDAV数据类型：DWORD数值数据：1四．iis加固方案：1.仅安装必要的iis组件。（禁用不需要的如ftp和smtp服务）2.仅启用必要的服务和webservice扩展，推荐配置:ui中的组件名称设置设置逻辑后台智能传输服务(bits)服务器扩展启用bits是windowsupdates和自动更新所使用的后台文件传输机制。如果使用windowsupdates或自动更新在iis服务器中自动应用servicepack和热修补程序，则必须有该组件。公用文件启用iis需要这些文件，一定要在iis服务器中启用它们。文件传输协议(ftp)服务禁用允许iis服务器提供ftp服务。专用iis服务器不需要该服务。frontpage2002serverextensions禁用为管理和发布web站点提供frontpage支持。如果没有使用frontpage扩展的web站点，请在专用iis服务器中禁用该组件。internet信息服务管理器启用iis的管理界面。internet打印禁用提供基于web的打印机管理，允许通过http共享打印机。专用iis服务器不需要该组件。nntp服务禁用在internet中分发、查询、检索和投递usenet新闻文章。专用iis服务器不需要该组件。smtp服务禁用支持传输电子邮件。专用iis服务器不需要该组件。万维网服务启用为客户端提供web服务、静态和动态内容。专用iis服务器需要该组件。万维网服务子组件ui中的组件名称安装选项设置逻辑activeserverpage启用提供asp支持。如果iis服务器中的web站点和应用程序都不使用asp，请禁用该组件；或使用web服务扩展禁用它。internet数据连接器禁用通过扩展名为.idc的文件提供动态内容支持。如果iis服务器中的web站点和应用程序都不包括.idc扩展文件，请禁用该组件；或使用web服务扩展禁用它。远程管理(html)禁用提供管理iis的html界面。改用iis管理器可使管理更容易，并减少了iis服务器的攻击面。专用iis服务器不需要该功能。远程桌面web连接禁用包括了管理终端服务客户端连接的microsoftactivex?控件和范例页面。改用iis管理器可使管理更容易，并减少了iis服务器的攻击面。专用iis服务器不需要该组件。服务器端包括禁用提供.shtm、.shtml和.stm文件的支持。如果在iis服务器中运行的web站点和应用程序都不使用上述扩展的包括文件，请禁用该组件。webdav禁用webdav扩展了http/1.1协议，允许客户端发布、锁定和管理web中的资源。专用iis服务器禁用该组件；或使用web服务扩展禁用该组件。万维网服务启用为客户端提供web服务、静态和动态内容。专用iis服务器需要该组件3.将iis目录&数据与系统磁盘分开，保存在专用磁盘空间内。4.在iis管理器中删除必须之外的任何没有用到的映射（保留asp等必要映射即可）5.在iis中将http404objectnotfound出错页面通过url重定向到一个定制htm文件6.web站点权限设定（建议）web站点权限：授予的权限：读允许写不允许脚本源访问不允许目录浏览建议关闭日志访问建议关闭索引资源建议关闭执行推荐选择仅限于脚本7.建议使用w3c扩充日志文件格式，每天记录客户ip地址，用户名，服务器端口，方法，uri字根，http状态，用户代理，而且每天均要审查日志。（最好不要