Windows服務(wù)器安全配置小結

本文為大家分享Windows服務(wù)器安全配置小結，比較精簡(jiǎn)的，大略的服務(wù)器安全設置類(lèi)小知識

1.系統分區

a)所有分區使用ntfs,C:System系統分區10G,D:Software軟件安裝10GE:Website網(wǎng)站所在目錄F:工具及備份50Gsoft,backup,other

2.安裝操作系統:

WindowsServer2003EnterpriseEditionWithServicePack1,用WindowsUpdate進(jìn)行升級.

并打上sp2及所有補丁

Serv-U6.0(替換servadmin.exe和servudaemon.exe替換安裝目錄下的對應文件，并采用ODBC存儲方式)

3.禁止Guest用戶(hù)

4.安裝組件(jmial,動(dòng)易，upload，aspjepg,等)

5.新建IISuser用戶(hù)組，以及servu用戶(hù),不屬于任何組，servu密碼設復雜些:如:servu_pass_IP地址.即所有iis用戶(hù)加入IISuser組ServU啟動(dòng)選擇使用服務(wù)啟動(dòng).然后在services.msc中設置ServUDaemond的啟動(dòng)用戶(hù)為servu.

6.刪除c:\Inetpub目錄

7.禁用TCP/IP上的NetBIOS

網(wǎng)上鄰居-屬性-本地連接-屬性-Internet協(xié)議(TCP/IP)屬性-高級-WINS面板-NetBIOS設置-禁用TCP/IP上的NetBIOS。這樣cracker就無(wú)法用nbtstat命令來(lái)讀取你的NetBIOS信息和網(wǎng)卡MAC地址了。

8.把Administrator改名為cytz_admin_ip尾數.

9.修改3389端口

1.運行Regedt32并轉到此項：

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp

及:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\Wds\rdpwd\Tds\tcp

注意：上面的注冊表項是一個(gè)路徑;它已換行以便于閱讀。

2.找到“PortNumber”子項，您會(huì )看到值00000D3D，它是3389的十六進(jìn)制表示形式。使用十六進(jìn)制數值修改此端口號(F79D)即十進(jìn)制的63389，并保存新值。

10.運行g(shù)pedit.msc=>計算機管理=>Windows設置=>安全設置=>本地策略=>審核策略按如下設置:

賬戶(hù)管理成功失敗

登錄事件成功失敗

對象訪(fǎng)問(wèn)失敗

策略更改成功失敗

特權使用失敗

系統事件成功失敗

目錄服務(wù)訪(fǎng)問(wèn)失敗

賬戶(hù)登錄事件成功失敗

11.安裝mcafree或卡巴斯基服務(wù)器版,vnc安裝blackice防火墻.打開(kāi)21,80,443,6900,10000-10020,63389.并設置serv-u使用10000-10020端口進(jìn)行pasv傳送.防火墻里第二頁(yè)選擇鏈接的網(wǎng)卡,把里面FTP服務(wù)器的勾一定要去掉.

12.運行權限設置腳本priv.bat

13.禁用以下服務(wù)

14.ComputerBrowser維護網(wǎng)絡(luò )上計算機的最新列表以及提供這個(gè)列表

RoutingandRemoteAccess在局域網(wǎng)以及廣域網(wǎng)環(huán)境中為企業(yè)提供路由服務(wù)

Removablestorage管理可移動(dòng)媒體、驅動(dòng)程序和庫

RemoteRegistryService允許遠程注冊表操作

PrintSpooler將文件加載到內存中以便以后打印。要用打印機的朋友不能禁用這項

IPSECPolicyAgent管理IP安全策略以及啟動(dòng)ISAKMP/OakleyIKE)和IP安全驅動(dòng)程序

DistributedLinkTrackingClient當文件在網(wǎng)絡(luò )域的NTFS卷中移動(dòng)時(shí)發(fā)送通知

Com+EventSystem提供事件的自動(dòng)發(fā)布到訂閱COM組件

Alerter通知選定的用戶(hù)和計算機管理警報

ErrorReportingService收集、存儲和向Microsoft報告異常應用程序

Messenger傳輸客戶(hù)端和服務(wù)器之間的NETSEND和警報器服務(wù)消息

Telnet允許遠程用戶(hù)登錄到此計算機并運行程序

15.　　防止SYN洪水攻擊

WindowsRegistryEditorVersion5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

"SynAttackProtect"=dword:00000002

"EnablePMTUDiscovery"=dword:00000000

"NoNameReleaseOnDemand"=dword:00000001

"EnableDeadGWDetect"=dword:00000000

"KeepAliveTime"=dword:00300000

"PerformRouterDiscovery"=dword:00000000

"TcpMaxConnectResponseRetransmissions"=dword:00000003

"TcpMaxHalfOpen"=dword:00000100

"TcpMaxHalfOpenRetried"=dword:00000080

"TcpMaxPortsExhausted"=dword:00000005

"EnableICMPRedirects"=dword:00000000

禁止IPC空連接：

cracker可以利用netuse命令建立空連接，進(jìn)而入侵，還有netview，nbtstat這些都是基于空連接的，禁止空連接就好了。打開(kāi)注冊表，找到Local_Machine/System/CurrentControlSet/Control/LSARestrictAnonymous把這個(gè)值改成”1”即可。

更改TTL

HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameter

DefaultTTLREG_DWORD0-0xff(0-255十進(jìn)制,默認值128)改成一個(gè)莫名其妙的數字如258

刪除默認共享

有人問(wèn)過(guò)我一開(kāi)機就共享所有盤(pán)，改回來(lái)以后，重啟又變成了共享是怎么回事，這是2K為管理而設置的默認共享，必須通過(guò)修改注冊表的方式取消它：HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/LanmanServer/Parameters

AutoShareServer類(lèi)型是REG_DWORD把值改為0即可

重起后檢查共享目錄是否還存在.ipc$,c$,d$,e$,f$,admin$等

禁止建立空連接

默認情況下，任何用戶(hù)通過(guò)通過(guò)空連接連上服務(wù)器，進(jìn)而枚舉出帳號，猜測密碼。我們可以通過(guò)修改注冊表來(lái)禁止建立空連接：

Local_Machine/System/CurrentControlSet/Control/LSA-RestrictAnonymous的值改成”1”即可。