一、先關(guān)閉不需要的端口
端口限制通常是網(wǎng)絡(luò )管理的基本手段之一，具體端口的開(kāi)放與關(guān)閉，需要根據實(shí)際情況來(lái)考慮。關(guān)閉端口操作：本地連接--屬性--Internet協(xié)議(TCP/IP)--高級--選項--TCP/IP篩選--屬性--把勾打上，然后添加你需要的端口，重新啟動(dòng)即可。
當然也可以更改遠程連接端口方法：
我們可以寫(xiě)一個(gè).REG文件，如下：
| Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE \ SYSTEM\ Current ControlSet \ Control \ Terminal Server\WinStations\RDP-Tcp] "PortNumber"=dword:00002683 |
雙擊我們生成的文件，更改數據值，確認重啟即可生效。
在2003系統里，用TCP/IP篩選里的端口過(guò)濾功能，使用FTP
如果要關(guān)閉不必要的端口，在\system32\drivers\etc\services用記事本打開(kāi)修改。另外還有一中更簡(jiǎn)單的方法，啟用WIN2003的自身帶的網(wǎng)絡(luò )防火墻，并進(jìn)行端口的改變。
Internet 連接防火墻可以有效地攔截對Windows 2003
二.服務(wù)與審核策略管理
是系統就必然需要服務(wù)，然而不是每一個(gè)服務(wù)都適用于所有用戶(hù)的，合理的關(guān)閉一些服務(wù)，可以減輕系統很多的負擔。通常情況下，如下服務(wù)可以關(guān)閉：
| Computer Browser 維護網(wǎng)絡(luò )上計算機的最新列表以及提供這個(gè)列表 Task scheduler 允許程序在指定時(shí)間運行 Messenger 傳輸客戶(hù)端和服務(wù)器之間的 NET SEND 和 警報器服務(wù)消息 Distributed File System: 局域網(wǎng)管理共享文件，不需要禁用 Distributed linktracking client：用于局域網(wǎng)更新連接信息，不需要禁用 Error reporting service：禁止發(fā)送錯誤報告 Microsoft Serch：提供快速的單詞搜索，不需要可禁用 NTLMSecuritysupportprovide：telnet服務(wù)和Microsoft Serch用的，不需要禁用 PrintSpooler：如果沒(méi)有打印機可禁用 Remote Registry：禁止遠程修改注冊表 Remote Desktop Help Session Manager：禁止遠程協(xié)助 Workstation關(guān)閉的話(huà)遠程NET命令列不出用戶(hù)組。 |
在"網(wǎng)絡(luò )連接"里，把不需要的協(xié)議和服務(wù)都刪掉，這里只安裝了基本的Internet協(xié)議(TCP/IP)，由于要控制帶寬流量服務(wù)，額外安裝 了Qos數據包計劃程序。在高級tcp/ip設置里--"NetBIOS"設置"禁用tcp/IP上的NetBIOS(S)"。在高級選項里，使用 "Internet連接防火墻"，這是windows 2003 自帶的防火墻，在2000系統里沒(méi)有的功能，雖然沒(méi)什么功能，但可以屏蔽端口，這樣已經(jīng)基本達到了一個(gè)IPSec的功能。
在運行中輸入gpedit.msc回車(chē)，打開(kāi)組策略編輯器，選擇計算機配置-Windows設置-安全設置-審核策略在創(chuàng )建審核項目時(shí)需要注意 的是如果審核的項目過(guò)多，那么要想發(fā)現嚴重的事件也越難，當然如果審核的太少也會(huì )影響你發(fā)現嚴重的事件，你需要根據情況在這二者之間做出選擇。
推薦的要審核的項目主要有：
| 登錄事件 賬戶(hù)登錄事件 系統事件 策略更改 對象訪(fǎng)問(wèn) 目錄服務(wù)訪(fǎng)問(wèn) 特權使用 |
三、關(guān)閉默認共享的空連接
這個(gè)就不必多說(shuō)了，敞開(kāi)門(mén)讓別人拿，用戶(hù)一定不會(huì )干！
四、磁盤(pán)權限設置
C盤(pán)只給administrators和system權限，其他的盤(pán)也可以這樣設置。Windows目錄要加上給users的默認權限，否則ASP和ASPX等應用程序就無(wú)法運行。以前有朋友單獨設置Instsrv和temp等目錄權限，其實(shí)沒(méi)有這個(gè)必要的。
另外在c:/Documents and Settings/這里相當重要，后面的目錄里的權限根本不會(huì )繼承從前的設置，如果僅僅只是設置了C盤(pán)給administrators權限，而在A(yíng)ll Users/Application Data目錄下會(huì ) 出現everyone用戶(hù)有完全控制權限，這樣入侵這可以跳轉到這個(gè)目錄，寫(xiě)入腳本或只文件，再結合其他漏洞來(lái)提升權限;譬如利用serv-u的本地溢出 提升權限，或系統遺漏有補丁，數據庫的弱點(diǎn)，甚至社會(huì )工程學(xué)等等N多方法。曾經(jīng)有牛人云："只要給我一個(gè)webshell，我就能拿到system"，防 微杜漸還是塌實(shí)些。在用做web/ftp服務(wù)器的系統里，建議是將這些目錄都設置的鎖死，每個(gè)盤(pán)都只給adimistrators權限。
另外，還需要將：
| net.exe NET命令 cmd.exe tftp.exe netstat.exe regedit.exe 注冊表啦 用電腦的人都知道 at.exe attrib.exe cacls.exe ACL用戶(hù)組權限設置，此命令可以在NTFS下設置任何文件夾的任何權限。 format.exe 超級強悍，還是不說(shuō)了 |
這些文件都設置只允許administrator訪(fǎng)問(wèn)。
五、防火墻、殺毒軟件的安裝
曾經(jīng)還有人炫耀自己的裸機，但如今真的沒(méi)多少人敢如此忽視殺毒軟件的存在。由于對殺毒軟件各方看法不一，這里就迎各位的喜好了!
六、SQL2000 SERV-U FTP安全設置
SQL安全方面
1、System Administrators 角色最好不要超過(guò)兩個(gè)
2、如果是在本機最好將身份驗證配置為Win登陸
3、不要使用Sa賬戶(hù)，或為其配置一個(gè)超級復雜的密碼
4、刪除以下的擴展存儲過(guò)程格式為：
| use master sp_dropextendedproc ‘擴展存儲過(guò)程名‘ xp_cmdshell：是進(jìn)入操作系統的最佳捷徑，刪除 訪(fǎng)問(wèn)注冊表的存儲過(guò)程，刪除 Xp_regaddmultistringXp_regdeletekeyXp_regdeletevalueXp_regenumvalues Xp_regread Xp_regwrite Xp_regremovemultistring OLE自動(dòng)存儲過(guò)程，不需要，刪除 Sp_OACreate Sp_OADestroySp_OAGetErrorInfoSp_OAGetProperty Sp_OAMethodSp_OASetPropertySp_OAStop |
5、隱藏 SQL Server、更改默認的1433端口。
右擊選屬性-常規-網(wǎng)絡(luò )配置中選擇TCP/IP協(xié)議的屬性，選擇隱藏 SQL Server 實(shí)例，并改原默認的1433端口。
serv-u的幾點(diǎn)常規安全需要設置下：
選中"Block "FTP_bounce"attack and
FXP"。什么是FXP呢?通常，當使用FTP協(xié)議進(jìn)行文件傳輸時(shí)，客戶(hù)端首先向FTP服務(wù)器發(fā)出一個(gè)"PORT"命令，該命令中包含此用戶(hù)的IP地址和
將被用來(lái)進(jìn)行數據傳輸的端口號，服務(wù)器收到后，利用命令所提供的用戶(hù)地址信息建立與用戶(hù)的連接。大多數情況下，上述過(guò)程不會(huì )出現任何問(wèn)題，但當客戶(hù)端是一
名惡意用戶(hù)時(shí)，可能會(huì )通過(guò)在PORT命令中加入特定的地址信息，使FTP服務(wù)器與其它非客戶(hù)端的機器建立連接。雖然這名惡意用戶(hù)可能本身無(wú)權直接訪(fǎng)問(wèn)某一
特定機器，但是如果FTP服務(wù)器有權訪(fǎng)問(wèn)該機器的話(huà)，那么惡意用戶(hù)就可以通過(guò)FTP服務(wù)器作為中介，仍然能夠最終實(shí)現與目標
七、IIS安全設置
IIS的安全：
1、不使用默認的Web站點(diǎn)，如果使用也要將IIS目錄與系統磁盤(pán)分開(kāi)。
2、刪除IIS默認創(chuàng )建的Inetpub目錄(在安裝系統的盤(pán)上)。
3、刪除系統盤(pán)下的虛擬目錄，如：_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。
4、刪除不必要的IIS擴展名映射。
右鍵單擊“默認Web站點(diǎn)→屬性→主目錄→配置”，打開(kāi)應用程序窗口，去掉不必要的應用程序映射。主要為.shtml、.shtm、 .stm。
5、更改IIS日志的路徑
右鍵單擊“默認Web站點(diǎn)→屬性-網(wǎng)站-在啟用日志記錄下點(diǎn)擊屬性
6、如果使用的是2000可以使用iislockdown來(lái)保護IIS，在2003運行的IE6.0的版本不需要。
八、其它
1、系統升級、打操作系統補丁，尤其是IIS 6.0補丁、SQL SP3a補丁，甚至IE 6.0補丁也要打。同時(shí)及時(shí)跟蹤最新漏洞補丁;
2、停掉Guest 賬號、并給guest 加一個(gè)異常復雜的密碼，把Administrator改名或偽裝!
3、隱藏重要文件/目錄
可以修改注冊表實(shí)現完全隱藏：
“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsCurrent-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL”，鼠標右擊 “CheckedValue”，選擇修改，把數值由1改為0。
4、啟動(dòng)系統自帶的Internet連接防火墻，在設置服務(wù)選項中勾選Web服務(wù)器。
5、防止SYN洪水攻擊。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值，名為SynAttackProtect，值為2
6. 禁止響應ICMP路由通告報文
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet\ Services\Tcpip\Parameters\Interfaces\interface
新建DWORD值，名為PerformRouterDiscovery 值為0。
7. 防止ICMP重定向報文的攻擊
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
將EnableICMPRedirects 值設為0
8. 不支持IGMP協(xié)議
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值，名為IGMPLevel 值為0。
9、禁用DCOM：
運行中輸入Dcomcnfg.exe?；剀?chē)，單擊“控制臺根節點(diǎn)”下的“組件服務(wù)”。 打開(kāi)“計算機”子文件夾。
對于本地計算機，請以右鍵單擊“我的電腦”，然后選擇“屬性”。選擇“默認屬性”選項卡。
清除“在這臺計算機上啟用分布式 COM”復選框。
最后，建議用戶(hù)在配置每一步時(shí)，需要進(jìn)行相關(guān)的測試，避免意外的發(fā)生。
聯(lián)系客服
