我在电信局做网管,原来管理过三十多台服务器,从多年积累的经验,写出以下详细的Windows2003服务系统的安全方案,我应用以下方案,安全运行了二年,无黑客有成功入侵的记录,也有黑客入侵成功的在案,但最终还是没有拿到肉鸡的最高管理员身份,只是可以浏览跳转到服务器上所有客户的网站。 服务器安全设置 >> IIS6.0的安装 开始菜单—>控制面板—>添加或删除程序—>添加/删除Windows组件 应用程序 ———ASP.NET(可选) |——启用网络 COM+ 访问(必选) |——Internet 信息服务(IIS)———Internet 信息服务管理器(必选) |——公用文件(必选) |——万维网服务———Active Server pages(必选) |——Internet 数据连接器(可选) |——WebDAV 发布(可选) |——万维网服务(必选) |——在服务器端的包含文件(可选) >> 在”网络连接”里,把不需要的协议和服务都删掉,这里只安装了基本的Internet协议(TCP/IP)和Microsoft网络客户端。在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS(S)"。 >>在“本地连接”打开Windows 2003 自带的防火墙,可以屏蔽端口,基本达到一个IPSec的功能,只保留有用的端口,比如远程(3389)和 Web(80),Ftp(21),邮件服务器(25,110),https(443),SQL(1433) >> IIS (Internet信息服务器管理器) 在"主目录"选项设置以下 读 允许 写 不允许 脚本源访问 不允许 目录浏览 建议关闭 记录访问 建议关闭 索引资源 建议关闭 执行权限 推荐选择 “纯脚本” >> 建议使用W3C扩充日志文件格式,每天记录客户IP地址,用户名,服务器端口,方法,URI字根,HTTP状态,用户代理,而且每天均要审查日志。 (最好不要使用缺省的目录,建议更换一个记日志的路径,同时设置日志的访问权限,只允许管理员和system为Full Control)。 >> 在IIS6.0 -本地计算机 - 属性- 允许直接编辑配置数据库在IIS中 属性->主目录->配置->选项中。 >> 在网站把”启用父路径“前面打上勾 >> 在IIS中的Web服务扩展中选中Active Server Pages,点击“允许” >> 优化IIS6应用程序池 1、取消“在空闲此段时间后关闭工作进程(分钟)” 2、勾选“回收工作进程(请求数目)” 3、取消“快速失败保护” >> 解决SERVER 2003不能上传大附件的问题 在“服务”里关闭 iis admin service 服务。 找到 windows\system32\inetsrv\ 下的 metabase.xml 文件。 找到 ASPMaxRequestEntityAllowed 把它修改为需要的值(可修改为20M即:20480000) 存盘,然后重启 iis admin service 服务。 >> 解决SERVER 2003无法下载超过4M的附件问题 在“服务”里关闭 iis admin service 服务。 找到 windows\system32\inetsrv\ 下的 metabase.xml 文件。 找到 AspBufferingLimit 把它修改为需要的值(可修改为20M即:20480000) 存盘,然后重启 iis admin service 服务。 >> 超时问题 解决大附件上传容易超时失败的问题 在IIS中调大一些脚本超时时间,操作方法是: 在IIS的“站点或虚拟目录”的“主目录”下点击“配置”按钮, 设置脚本超时时间为:300秒 (注意:不是Session超时时间) 解决通过WebMail写信时间较长后,按下发信按钮就会回到系统登录界面的问题 适当增加会话时间(Session)为 60分钟。在IIS站点或虚拟目录属性的“主目录”下点击“配置-->选项”, 就可以进行设置了(Windows 2003默认为20分钟) >> 修改3389远程连接端口 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp] "PortNumber"=dword:0000端口号 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp] "PortNumber"=dword:0000端口号 设置这两个注册表的权限, 添加“IUSR”的完全拒绝 禁止显示端口号 >> 本地策略--->用户权限分配 关闭系统:只有Administrators组、其它全部删除。 通过终端服务允许登陆:只加入Administrators,Remote Desktop Users组,其他全部删除 >> 在安全设置里 本地策略-用户权利分配,通过终端服务拒绝登陆 加入 ASPNET IUSR_ IWAM_ NETWORK SERVICE (注意不要添加进user组和administrators组 添加进去以后就没有办法远程登陆了) >> 在安全设置里 本地策略-安全选项 网络访问:可匿名访问的共享; 网络访问:可匿名访问的命名管道; 网络访问:可远程访问的注册表路径; 网络访问:可远程访问的注册表路径和子路径; 将以上四项全部删除 >> 不允许 SAM 账户的匿名枚举 更改为"已启用" >> 不允许 SAM 账户和共享的匿名枚举 更改为"已启用" ; >> 网络访问: 不允许存储网络身份验证的凭据或 .NET Passports 更改为"已启用" ; >> 网络访问.限制匿名访问命名管道和共享,更改为"已启用" ; 将以上四项通通设为“已启用”
>> 计算机管理的本地用户和组 禁用终端服务(TsInternetUser), SQL服务(SQLDebugger), SUPPORT_388945a0
>> 禁用不必要的服务 sc config AeLookupSvc start= AUTO sc config Alerter start= DISABLED sc config ALG start= DISABLED sc config AppMgmt start= DEMAND sc config aspnet_state start= DEMAND sc config AudioSrv start= DISABLED sc config BITS start= DEMAND sc config Browser start= DEMAND sc config CiSvc start= DISABLED sc config ClipSrv start= DISABLED sc config clr_optimization_v2.0.50727_32 start= DEMAND sc config COMSysApp start= DEMAND sc config CryptSvc start= AUTO sc config DcomLaunch start= AUTO sc config Dfs start= DEMAND sc config Dhcp start= AUTO sc config dmadmin start= DEMAND sc config dmserver start= AUTO sc config Dnscache start= AUTO sc config ERSvc start= DISABLED sc config Eventlog start= AUTO sc config EventSystem start= AUTO sc config helpsvc start= DISABLED sc config HidServ start= AUTO sc config HTTPFilter start= DEMAND sc config IISADMIN start= AUTO sc config ImapiService start= DISABLED sc config IsmServ start= DISABLED sc config kdc start= DISABLED sc config lanmanworkstation start= DISABLED sc config LicenseService start= DISABLED sc config LmHosts start= DISABLED sc config Messenger start= DISABLED sc config mnmsrvc start= DISABLED sc config MSDTC start= AUTO sc config MSIServer start= DEMAND sc config MSSEARCH start= AUTO sc config MSSQLSERVER start= AUTO sc config MSSQLServerADHelper start= DEMAND sc config NetDDE start= DISABLED sc config NetDDEdsdm start= DISABLED sc config Netlogon start= DEMAND sc config Netman start= DEMAND sc config Nla start= DEMAND sc config NtFrs start= DEMAND sc config NtLmSsp start= DEMAND sc config NtmsSvc start= DEMAND sc config PlugPlay start= AUTO sc config PolicyAgent start= AUTO sc config ProtectedStorage start= AUTO sc config RasAuto start= DEMAND sc config RasMan start= DEMAND sc config RDSessMgr start= DEMAND sc config RemoteAccess start= DISABLED sc config RemoteRegistry start= DISABLED sc config RpcLocator start= DEMAND sc config RpcSs start= AUTO sc config RSoPProv start= DEMAND sc config sacsvr start= DEMAND sc config SamSs start= AUTO sc config SCardSvr start= DEMAND sc config Schedule start= AUTO sc config seclogon start= AUTO sc config SENS start= AUTO sc config SharedAccess start= DISABLED sc config ShellHWDetection start= AUTO sc config SMTPSVC start= AUTO sc config Spooler start= DISABLED sc config SQLSERVERAGENT start= AUTO sc config stisvc start= DISABLED sc config swprv start= DEMAND sc config SysmonLog start= AUTO sc config TapiSrv start= DEMAND sc config TermService start= AUTO sc config Themes start= DISABLED sc config TlntSvr start= DISABLED sc config TrkSvr start= DISABLED sc config TrkWks start= AUTO sc config Tssdis start= DISABLED sc config UMWdf start= DEMAND sc config UPS start= DEMAND sc config vds start= DEMAND sc config VSS start= DEMAND sc config W32Time start= AUTO sc config W3SVC start= AUTO sc config WebClient start= DISABLED sc config WinHttpAutoProxySvc start= DEMAND sc config winmgmt start= AUTO sc config WmdmPmSN start= DEMAND sc config Wmi start= DEMAND sc config WmiApSrv start= DEMAND sc config wuauserv start= DISABLED sc config WZCSVC start= DISABLED sc config xmlprov start= DEMAND
出处:蓝色理想
责任编辑:bluehearts
上一页 下一页 windows 2003系统安全权限方案 [2]
◎进入论坛计算机技术版块参加讨论
|