网络服务器的安全防范对策

网络服务器的安全防范对策

网络服务器存储着大量重要的数据，加强服务器的安全是提高网络安全的重要环节。服务器操作系统本身的安全性还是很高的，但是我们如果不进行相应的安全配置，则达不到可信任计算机系统评估标准。我们需要在基本配置、用户密码安全设置、系统安全设置、服务安全设置、安全管理制度等方面进行相应的设置。

一基本安装配置(1)安装操作系统时注意安装正版的英文版的的操作系统，并且在服务器上只安装一种操作系统，过多的操作系统只会给入侵者更多的机会攻击服务器，致使服务器重新启动到没有安全配置的操作系统，从而破坏操作系统。(2)给服务器硬盘分区时一定要使用NTFS分区。对于黑客来说存储在FAT格式的磁盘分区里的数据要比存储在NTFS格式的磁盘分区的数据更容易访问，也更容易破坏。因此我们在进行分区和格式化时一定要采用NTFS分区格式，这种分区格式比FAT格式具有更多的安全配置功能，可以针对不通的文件夹设置不同的访问权限，大大提高服务器的访问安全。(3)做好数据的备份策略，提高硬盘数据安全性。在考虑服务器服务器硬盘配置时，应该考虑多个硬盘通过RAID方式进行数据的冗余。另外，为避免硬盘损坏或者被盗，按照“不要把所有鸡蛋放到同一个篮子”的理论我们应该使用单独的专门设备保存这些珍贵数据。如多机备份、磁带备份等。(4)安装各种应用软件完成后，尽快安装补丁程序。(5)安装杀毒软件和软件防火墙，及时升级病毒库，可以有效清除病毒、木马、后门程序等。二用户密码安全设置 2.1 用户安全配置(1)禁用guest帐号。有很多入侵都是通过这个账号进一步获得管理员密码或者权限的。如果不想把自己的计算机给别人当玩具，那还是禁止的好。(2)创建两个管理员帐号。创建一个一般权限用户用来收信以及处理一些日常事物，另一个拥有Administrators权限的用户只在需要的时候使用。(3)限制不必要的用户。去掉所有的DuplicateUser用户、测试用户、共享用户等等。用户组策略设置相应权限，并且经常检查系统的用户，删除已经不再使用的用户。这些用户很多时候都是黑客们入侵系统的突破口。(4)把系统administrator用户改名。大家都知道，Windows server的Administrator用户是不能被停用的，这意味着别人可以一遍又一遍地尝试这个用户的密码。尽量把它伪装成普通用户，将Administrator账号改名可以防止黑客知道自己的管理员账号，这会在很大程度上保证计算机安全。(5)创建一个陷阱用户。什么是陷阱用户?即创建一个名为“Administrator”的本地用户，把它的权限设置成最低，什么事也干不了的那种，并且加上一个超过1O位的超级复杂密码。这样可以让那些黑客们忙上一段时间，借此发现它们的入侵企图。(6)把共享文件的权限从everyone组改成授权用户。任何时候都不要把共享文件的用户设置成“Everyone”组，包括打印共享，默认的属性就是“Everyone”组的，一定不要忘了改。(7)开启用户策略。使用用户策略，分别设置复位用户锁定计数器时间为20分钟，用户锁定时间为20分钟，用户锁定阈值为3次。

(8)不让系统显示上次登录的用户名。默认情况下，登录对话框中会显示上次登录的用户名。这使得别人可以很容易地得到系统的一些用户名，进而做密码猜测。可以通过修改注册表不让对话框里显示上次登录的用户名。 2.2 密码安全设置(1)使用安全密码，注意密码的复杂性。一些公司的管理员创建账号的时候往往用公司名、计算机名做用户名，然后又把这些用户的密码设置得太简单，比如“welcome”等等。因此，要注意密码的复杂性，还要记住经常改密码。(2)设置屏幕保护密码。这是一个很简单也很有必要的操作。设置屏幕保护密码也是防止内部人员破坏服务器的一个屏障。(3)考虑使用智能卡来代替密码。对于密码，总是使安全管理员进退两难，密码设置简单容易受到黑客的攻击，密码设置复杂又容易忘记。如果条件允许，用智能卡来代替复杂的密码是一个很好的解决方法。

(4)开启密码策略控制。密码策略控制是否允许用户重新使用旧的密码，在两次更改密码之间

的时间，最小密码长度，以及用户是否必须混合使用大小写字母、数字和特殊字符。最低要求，您应该要求每45天更改一次密码，或要求至少8个字符的密码，并确保开启了密码必须满足复杂性要求设置。 2.3 系统安全设置(1)关闭默认共享。微软的初衷是便于网管进行远程管理，它虽然方便了局域网用户，但对我们来说这样的设置是不安全的。如果电脑联网，网络上的任何人都可以通过共享硬盘，随意进入你的电脑。更为可怕的是，黑客可以通过连接你的电脑实现对这些默认共享的访问。所以我们有必要关闭这些共享。可以使用建立一个批处理文件放在启动项目里面的方法来删除默认共享。方法如下：打开记事本，输入或复制以下内容：netshareipc$/delete netshareadmin$/delete netsharec$/delete netshared$/delete netsharee$/delete保存为NotShare.bat(注意后缀)，然后把这个批处理文件拖到“程序”至“启动”项，这样每次开机就会运行它，也就是通过net命令关闭共享。如果哪一天你需要开启某个或某些共享，只要重新编辑这个批处理文件即可。(2)禁止用户从软盘和光驱启动系统。一些第三方的工具能通过引导系统来绕过原有的安全机制。如果你的服务器对安全要求非常高，可以考虑使用可移动软盘和光驱。三在服务安全设置方面(1)把敏感文件存放在另外的文件服务器中。虽然现在服务器的硬盘都很大，但还是应该考虑是否有必要把一些重要的用户数据存放在另外一个安全的服务器中，并且经常备份它们。(2)禁止建立空连接，在默认情况下，任何用户都可以通过空连接连上服务器，进而枚举出帐号，猜测密码，可以通过修改注册表来禁止建立空连接。(3)关闭不必要的端口，开放的端口越多，入侵者通过这些端口入侵的机会越多。我们可以根据相应的服务开相应的端口，比如说一台WEB 服务器需要开放80端口，其他端口就关闭。我们可以通过本地网络自带的windows防火墙、核心交换机的ACL来设置什么服务就允许访问什么端口。(4)根据“最少的服务+最小的权限=最大的安全”的原则，可以把一些不需要的服务停止，减少入侵者入侵的机会。服务器和人一样，做的事越多了，就越容易出现差错，做的事越少则越专精，不必要的错误就不会发生了。四制定相应的安全管理制度从管理的角度，通过一些文字性的规章制度规范、制约各种与网络服务有关的行为。加强网络服务器的实体安全，如防水、防震、防盗、防火等，如服务器机房的安全制度、上网行为管理制度、应急方案等等，另外，有条件的应该实施24小时机房值班制度。五结语网络服务器的安全一直都是个新的课题，安全和应用是一对矛盾，如果安全妨碍了系统的应用，那么这个安全原则就不是一个好的原则，因此要求我们需要建立有机的、智能化的安全防范体系来保护网络服务器中的重要数据和信息，不受病毒损坏和黑客的偷盗，用作不利我们的用途。