服务器安全设置个人笔记

最新推荐文章于 2024-09-23 16:59:13 发布

carlcarry

最新推荐文章于 2024-09-23 16:59:13 发布

阅读量2.7k

点赞数

文章标签：服务器 system parameters iis 网络 microsoft

本文链接：https://blog.csdn.net/carlcarry/article/details/7949474

版权

什么百度 google 翻天覆地的找呀！几乎所有的都看了！最后总结一下！说明的内容很少！比较懒服务器安全设置个人笔记，就直接操作步骤！如果需要的可以直接按我的步骤操作就OK了！保你的服务器没问题！

1.硬盘要用ntfs格式的

2。安装完要打好补丁开---始所有程序---windows update 按照提示进行补丁安装（不用说也得打）

3.安装IIS服务器可选项目

应用程序asp.net	可选
启用网络com+访问	必选
internet信息服务（IIS）	必选
公用文件	必选
万维网服务-Active server pages	必选
internet数据连接器	可选
万维网服务	必选
在服务器端的包含文件	可选
webdav发布	可选

这个在你安装IIS时有个详细信息时会弹出这个框

4 一定要开启防火墙。

5. 本地连接--属性---internet协议版本4（tcp）--属性---高级---WINS --- ●禁用tcp/ip 上的 netBIOS(S)选中。

6。修改3389远程连接端口;

去注册表修改运行--regedit

HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Control\Terminal Server\ Wds\rdpwd\Tds\tcp PortNamber值了吗？其默认值是3389，修改成所希望的端口即可

再打开[HKEY_LOCAL_MACHINE\SYSTEM\CurrentContro1Set\Control\Tenninal Server\WinStations\RDP\Tcp将PortNumber的值（默认是3389）修改成端口6730(最好6300以上)

再去防火墙里开属防火墙那里有一个“例外”先项，添加端口名称：远程桌面端口：就是刚才改的把原来的远程桌面不勾选就可以了。

7.我的电脑属性远程--勾远启用这台计算机的选程桌面，

再选择选程用户添加超级用户

8.禁用guest账号：再加一个复杂的密码字每特殊字符数字越长越好

限制不必要的用户：和删除没用的用户：

我的电脑右键管理本地用户和组里有所有的用户：

把administrator 用户名改成别的

我后再右键新建用户叫 administrator 双击该用户隶属于里的权限全删除了

9.运行中输入gpedit.msc 打开组策略--windows设置-安全设置-本地策略-审核策略

登录事件	成功	失败
账户登录事件	成功	失败
系统事件	成功	失败
策略事件	成功	失败
对象访问		失败
目录服务访问		失败
特权使用		失败

帐户锁定：开启用户策略锁定计数器时间为20分钟用户锁20分钟用户锁定3次

密码安全设置：使用安全密码，

桌面属性：设置屏幕保护密码

本地策略：用户权限公配：

本地策略→用户权限分配

　　关闭系统：只有Administrators组、其它全部删除。

　　通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除

本地策略→安全选项

　　交互式登陆：不显示上次的用户名　　　　　　　启用

　　网络访问：不允许SAM帐户和共享的匿名枚举　　启用

　　网络访问：不允许为网络身份验证储存凭证　　　启用

　　网络访问：可匿名访问的共享　　　　　　　　　全部删除

　　网络访问：可匿名访问的命　　　　　　　　　　全部删除

　　网络访问：可远程访问的注册表路径　　　　　　全部删除

　　网络访问：可远程访问的注册表路径和子路径　　全部删除

　　帐户：重命名来宾帐户　　　　　　　　　　　　重命名一个帐户

　　帐户：重命名系统管理员帐户　　　　　　　　　重命名一个帐户

【禁用不必要的服务开始-运行-services.msc】将下面的选项全部禁用

　　Computer Browser　：维护网络上计算机的最新列表以及提供这个列表

　　Distributed File System　：局域网管理共享文件，不需要可禁用

　　Distributed Link Tracking Client　：用于局域网更新连接信息，不需要可禁用

　　Error Reporting Service　：禁止发送错误报告

　　Messenger　：传输客户端和服务器之间的 NET SEND 和警报器服务消息

　　Microsoft Serch　：提供快速的单词搜索，不需要可禁用

　　NT LM Security Support Provider　：telnet服务和Microsoft Serch用的，不需要可禁用

　　Print Spooler　：如果没有打印机可禁用

　　Remote Desktop Help Session Manager　：禁止远程协助

　　Remote Registry：禁止远程修改注册表

　　Server　：支持此计算机通过网络的文件、打印、和命名管道共享

　　Task scheduler　：允许程序在指定时间运行

　　TCP/IPNetBIOS Helper　：提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享文

　　Workstation　：关闭的话远程NET命令列不出用户组

　　以上是在Windows Server 2003 系统上面默认启动的服务中禁用的，默认禁用的服务如没特别需要的话不要启动。

10.修改注册表隐藏重要文件。

HKEY-LOCAL-MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENT-VERSION\EXPLORER\ADVANCED\FOLDER\HI-DDEN\SHOWALL 鼠标右击 "checkedvalue" 选择修改把数值由1改为0

11.防止洪水的攻击

hkey-local-machine\system\currentcontrolset\services\tcpip\parameters\

右键用word选项

新建:

SynAttackProtect 2

EnablePMTUDiscovery REG_DWORD 0

NoNameReleaseOnDemand REG_DWORD 1

EnableDeadGWDetect REG_DWORD 0

KeepAliveTime REG_DWORD 300,000

PerformRouterDiscovery REG_DWORD 0

EnableICMPRedirects REG_DWORD 0

“HKEY_LOCAL_Machine\System\CurrentControlSet\Services\TCPIP\Paramters\Interfaces”分支，在右侧窗口中将子键“PerformRouterDiscovery” REG_DWORD型的值修改为0（0为禁止响应ICMP路由通告报文，

i不支持igmp协文

hkey-local-machine\SYSTEM\CURRENTCONTROLSET\SERVICES\TCPIP\PARAMETERS\

新建dword值名为:IGMPLevel 值是0

禁止ipc空连接

local-machine\system\currentcontrolset\control\lsa-restrictanonymous 把值改为1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值，名为IGMPLevel 值为0

禁止ipc空连接

local-machine\system\currentcontrolset\control\lsa-restrictanonymous 把这个值改成1 即可

删除默认共享

运行-regedit
找到如下主键[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServ
er\Parameters]
把AutoShareServer（DWORD）的键值改为:0。

建立一个记事本把以下代码复制进去

net share ipc$ /delete
net share admin$ /delete
net share c$ /delete
net share d$ /delete

net share e$ /delete

net share f$ /delete

存成*.bat 然后放到开机启动项里

磁盘权限

系统盘及所有磁盘只给 administrators组和system的完全控制

系统盘 documents and settings 目录只给 administrators组和system的完全控制

系统盘 documents and settings\all users目录只给 administrators组和system的完全控制

系统盘 \windows\system32\cacls.ese cmd.exe net.exe net1.exe ftp.exe tftp.exe telnet.exe netstat.exe regedit.exe at.exe attrib.exe format.com del文件只给administrator组和system的完全控制权限

别将\system32\cmd.exe format.com ftp.exe 转移动其他目录或更名

documents and settings下所有目录都设置只给 administrator权限并且要一个一个目录查看包括下面的所有子目录删除C:\inetpub目录

13.启用父级路径

14.在iis管理器中删除必须之外的任何没用到的映身（保留asp等必要的）

右键单击“默认web站点--属性--主目录--配置打开应用程序窗口。去掉不必要的应映主要为.shtml .shtm .stm

15.在IIS中将http404 object not found出错页面通过url重定向一个定制htm文件

16.删除作系统盘下的虚拟目录如:_vti_bin iissamples scripts iishelp IIsadmin iishelp msadc

17.更改iis日志的路径:右键单击默认web站点----属性---网站-在启用日志记录下点属性

18 在web站点权限设定

读：允许

写不允许

肢本源访问不允许