Windows Server 2008 R2常规安全设置及基本安全策略
用的腾讯云最早选购的时候悲催的只有Windows Server 2008 R2的系统,原来一直用的Windows Server 2003对2008用起来还不是非常熟练,对于一些基本设置及基本安全策略,在网上搜了一下,整理大概有以下17个方面,如果有没说到的希望大家踊跃提出哈! 比较重要的几部 1.更改默认administrator用户名,复杂密码 1)新做系统一定要先打上补丁 4)修改本地策略――>安全选项 server 2008 r2交互式登录: 不显示最后的用户名 其实最重要的就是开启防火墙+服务器安全狗(安全狗自带的一些功能基本上都设置的差不多了)+mysql(sqlserver)低权限运行基本上就差不多了。3389远程登录,一定要限制ip登录。 一、系统及程序 1、屏幕保护与电源 桌面右键--〉个性化--〉屏幕保护程序,屏幕保护程序 选择无,更改电源设置 选择高性能,选择关闭显示器的时间 关闭显示器 选 从不 保存修改 2、配置IIS7组件、FTP7、php 5.5.7、mysql 5.6.15、phpMyAdmin 4.1.8、phpwind 9.0、ISAPI_Rewrite环境。在这里我给大家可以推荐下阿里云的服务器一键环境配置,全自动安装设置很不错的。点击查看地址 二、系统安全配置 1、目录权限 除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权,之后再对其下的子目录作单独的目录权限 2、远程连接 我的电脑属性--〉远程设置--〉远程--〉只允许运行带网络超级身份验证的远程桌面的计算机连接,选择允许运行任意版本远程桌面的计算机连接(较不安全)。备注:方便多种版本Windows远程管理服务器。windows server 2008的远程桌面连接,与2003相比,引入了网络级身份验证(NLA,network level authentication),XP SP3不支持这种网络级的身份验证,vista跟win7支持。然而在XP系统中修改一下注册表,即可让XP SP3支持网络级身份验证。HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa在右窗口中双击Security Pakeages,添加一项“tspkg”。HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProviders,在右窗口中双击SecurityProviders,添加credssp.dll;请注意,在添加这项值时,一定要在原有的值后添加逗号后,别忘了要空一格(英文状态)。然后将XP系统重启一下即可。再查看一下,即可发现XP系统已经支持网络级身份验证
更改远程连接端口方法,可用windows自带的计算器将10进制转为16进制。更改3389端口为8208,重启生效! Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWdsrdpwdTdstcp] [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp] (1)在开始--运行菜单里,输入regedit,进入注册表编辑,按下面的路径进入修改端口的地方 4、配置本地连接 网络--〉属性--〉管理网络连接--〉本地连接,打开“本地连接”界面,选择“属性”,左键点击“Microsoft网络客户端”,再点击“卸载”,在弹出的对话框中“是”确认卸载。点击“Microsoft网络的文件和打印机共享”,再点击“卸载”,在弹出的对话框中选择“是”确认卸载。 解除Netbios和TCP/IP协议的绑定139端口:打开“本地连接”界面,选择“属性”,在弹出的“属性”框中双击“Internet协议版本(TCP/IPV4)”,点击“属性”,再点击“高级”―“WINS”,选择“禁用TCP/IP上的NETBIOS”,点击“确认”并关闭本地连接属性。 禁止默认共享:点击“开始”―“运行”,输入“Regedit”,打开注册表编辑器,打开注册表项“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters”,在右边的窗口中新建Dword值,名称设为AutoShareServer,值设为“0”。 关闭 445端口:HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetBTParameters,新建 Dword(32位)名称设为SMBDeviceEnabled 值设为“0” 5、共享和发现 右键“网络” 属性 网络和共享中心 共享和发现 6、用防火墙限制Ping 网上自己查吧,ping还是经常需要用到的 7、防火墙的设置 控制面板→Windows防火墙设置→更改设置→例外,勾选FTP、HTTP、远程桌面服务 核心网络 HTTPS用不到可以不勾 3306:Mysql 8、禁用不需要的和危险的服务,以下列出服务都需要禁用。 控制面板 管理工具 服务 Distributed linktracking client 用于局域网更新连接信息 9、安全设置-->本地策略-->安全选项 在运行中输入gpedit.msc回车,打开组策略编辑器,选择计算机配置-->Windows设置-->安全设置-->本地策略-->安全选项 交互式登陆:不显示最后的用户名 启用 10、安全设置-->账户策略-->账户锁定策略 在运行中输入gpedit.msc回车,打开组策略编辑器,选择计算机配置-->Windows设置-->安全设置-->账户策略-->账户锁定策略,将账户锁定阈值设为“三次登陆无效”,“锁定时间为30分钟”,“复位锁定计数设为30分钟”。 11、本地安全设置 选择计算机配置-->Windows设置-->安全设置-->本地策略-->用户权限分配 12、更改Administrator,guest账户,新建一无任何权限的假Administrator账户 管理工具→计算机管理→系统工具→本地用户和组→用户 13、密码策略 选择计算机配置-->Windows设置-->安全设置-->密码策略 14、禁用DCOM ("冲击波"病毒 RPC/DCOM 漏洞) 运行Dcomcnfg.exe。控制台根节点→组件服务→计算机→右键单击“我的电脑”→属性”→默认属性”选项卡→清除“在这台计算机上启用分布式 COM”复选框。 15、ASP漏洞 主要是卸载WScript.Shell 和 Shell.application 组件,是否删除看是否必要。 regsvr32/u C:WINDOWSSystem32wshom.ocx 删除可能权限不够 del C:WINDOWSSystem32wshom.ocx 如果确实要使用,或者也可以给它们改个名字。 WScript.Shell可以调用系统内核运行DOS基本命令 可以通过修改注册表,将此组件改名,来防止此类木马的危害。 HKEY_CLASSES_ROOTWScript.Shell及HKEY_CLASSES_ROOTWScript.Shell.1 改名为其它的名字,如:改为WScript.Shell_ChangeName 或 WScript.Shell.1_ChangeName 自己以后调用的时候使用这个就可以正常调用此组件了 也要将clsid值也改一下 HKEY_CLASSES_ROOTWScript.ShellCLSID项目的值 HKEY_CLASSES_ROOTWScript.Shell.1CLSID项目的值 也可以将其删除,来防止此类木马的危害。 Shell.Application可以调用系统内核运行DOS基本命令 可以通过修改注册表,将此组件改名,来防止此类木马的危害。 HKEY_CLASSES_ROOTShell.Application及HKEY_CLASSES_ROOTShell.Application.1改名为其它的名字,如:改为Shell.Application_ChangeName 或 Shell.Application.1_ChangeName 自己以后调用的时候使用这个就可以正常调用此组件了 也要将clsid值也改一下 HKEY_CLASSES_ROOTShell.ApplicationCLSID项目的值 也可以将其删除,来防止此类木马的危害。 禁止Guest用户使用shell32.dll来防止调用此组件。 2000使用命令:cacls C:WINNTsystem32shell32.dll /e /d guests 禁止使用FileSystemObject组件,FSO是使用率非常高的组件,要小心确定是否卸载。改名后调用就要改程序了,Set FSO = Server.CreateObject("Scripting.FileSystemObject")。 FileSystemObject可以对文件进行常规操作,可以通过修改注册表,将此组件改名,来防止此类木马的危害。 15、打开UAC 控制面板 用户账户 打开或关闭用户账户控制 16、程序权限 "net.exe","net1.exe","cmd.exe","tftp.exe","netstat.exe","regedit.exe","at.exe","attrib.exe","cacls.exe","format.com","c.exe" 17、Serv-u安全问题(个人建议不是特别高的要求没必要用serv_U可以使用FTP服务器 FileZilla Server ) 安装程序尽量采用最新版本,避免采用默认安装目录,设置好serv-u目录所在的权限,设置一个复杂的管理员密码。修改serv-u的banner信息,设置被动模式端口范围(4001―4003)在本地服务器中设置中做好相关安全设置:包括检查匿名密码,禁用反超时调度,拦截“FTP bounce”攻击和FXP,对于在30秒内连接超过3次的用户拦截10分钟。域中的设置为:要求复杂密码,目录只使用小写字母,高级中设置取消允许使用MDTM命令更改文件的日期。 更改serv-u的启动用户:在系统中新建一个用户,设置一个复杂点的密码,不属于任何组。将servu的安装目录给予该用户完全控制权限。建立一个FTP根目录,需要给予这个用户该目录完全控制权限,因为所有的ftp用户上传,删除,更改文件都是继承了该用户的权限,否则无法操作文件。另外需要给该目录以上的上级目录给该用户的读取权限,否则会在连接的时候出现530 Not logged in,home directory does not exist。比如在测试的时候ftp根目录为d:soft,必须给d盘该用户的读取权限,为了安全取消d盘其他文件夹的继承权限。而一般的使用默认的system启动就没有这些问题,因为system一般都拥有这些权限的。如果FTP不是必须每天都用,不如就关了吧,要用再打开。 下面是其它网友的补充:大家可以参考下 Windows Web Server 2008 R2服务器简单安全设置 1、新做系统一定要先打上已知补丁,以后也要及时关注微软的漏洞报告。略。 要禁用隧道适配器需要更改注册表信息,操作如下: 开始 -> 运行 - > 输入 Regedit 进入注册表编辑器 定位到: [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpip6Parameters] 右键点击 Parameters,选择新建 -> DWORD (32-位)值 命名值为 DisabledComponents,然后修改值为 ffffffff (16进制) 重启后生效 DisableComponents 值定义: 0, 启用所有 IPv 6 组件,默认设置 0xffffffff,禁用所有 IPv 6 组件,除 IPv 6 环回接口 0x20, 以前缀策略中使用 IPv 4 而不是 IPv 6 0x10, 禁用本机 IPv 6 接口 0x01, 禁用所有隧道 IPv 6 接口 0x11, 禁用除用于 IPv 6 环回接口所有 IPv 6 接口 OVER ! 重启下服务器吧 (编辑:李大同) 【声明】本站内容均来自网络,其相关言论仅代表作者个人观点,不代表本站立场。若无意侵犯到您的权利,请及时与联系站长删除相关内容! |
- 在Windows上“无法找到vcvarsall.bat”错误
- Celery ValueError: not enough values to unpack (expecte
- 身份验证 – 向Microsoft.Owin.Testing.TestServer验证请求
- windows-phone-7 – 有没有办法指定在枢轴页面中导航到哪个
- Windows – 网络速度故障排除 – 老年人查询
- 如何将Windows 2003 Server计划任务移动/复制到Windows 201
- 百度网盘文件下载
- active-directory – 有没有Sysinternals ADInsight的替代品
- Windows – 如何阻止Microsoft DNS报告版本号?
- windows – 为什么某些以太网卡上的TCP Chimney Offload功能