服务器安全设置的规范
服务器安全设置的规范服务器安装
Administrators
完全控制
该文件夹，子文件夹及文件
完全控制
服务器安全设置
目前流行的挂木马的基本步骤（可能有个别地方不准确）： 1、利用杰奇系统的漏洞，上传具有一定危险功能的文件，表现为：zh.php、cmd.exe、*.asp， 这几个文件都具有不同的目的，只要被上传了这几个文件，相应的js文件就会被修改，然后就被挂马了。 2、上传了文件后，如果你的权限设置的不对，比如多给了运行权限，该黑客就可以利用这 几个文件进行提权，直接可以创建管理员账号，然后通过*.asp文件获得你的远程连接的端口，然后利用注入的管理员账号登录系统，进入系统了，那就随便改啦。 所以针对上面的步骤，我们可以这样做： 1、权限一定要设置好，大部分网站目录只给读取权限即可，个别的多给写入权限。 2、所有的js文件都改成只读的 3、删除系统的以下三个文件，执行脚本如下：（开始-运行里面就可以直接执行） regsvr32 /u %SystemRoot%\System32\wshom.ocx regsvr32 /u %SystemRoot%\System32\shell32.dll regsvr32 /u %SystemRoot%\System32\wshext.dll 4、修改远程链结默认的3389端口，改成12345 12323等等类似的。群共享里有软件直接修改重启机器生效。 设置好了以上的几步后，针对杰奇的漏洞产生的木马，基本上就能防止了。当然，其他的漏洞还是得需要好好设置，可以参考群共享里的一篇word文档，服务器安全设置 贴一下这次挂马的代码，请大家仔细检查自己的js文件中是否有下面的代码： 晕，我的都被我删除了，没了。谁能提供我一个被修改过的js文件。 已经中木马的人的找马步骤： 1、在杰奇网站的所有目录下寻找这样的文件zh.php、zp.php、*.asp、cmd.exe等文件，直 接删除即可。 2、检查你的所有js文件，如果发现下面这样的代码，那就是木马代码。删除这些木马代码。 本文档的服务器安全设置分三个部分 （一）服务器的基本安全设置 本配置仅适合Win2003，部分内容也适合于Win2000。很多人觉得3389不安全，其实只要设置好，密码够长，攻破3389也不是件容易的事情，我觉得别的远程软件都很慢，还是使用了3389连接。
服务器机房安全管理操作规程
中心机房安全管理操作规程 一、机房安保规程 1.出入机房应注意关闭机房门。对于有客人进出机房，机房相关的工作人员应负责该客人的安全防范工作，最后离开机房的人员必须自觉检查和关闭所有机房门窗、锁定门禁系统，拒绝陌生人进出机房。 2.工作人员离开工作区域前，应保证工作区域内保存的重要文件、资料、设备、数据处于安全保护状态（如检查并锁上自己工作柜、锁定工作电脑、并将桌面重要资料和数据妥善保存等等）。 3.工作人员和到访人员需填写《机房出入管理登记表》，外来人员进入必须有专门的工作人员全面负责其行为安全，禁止带领与机房工作无关的人员进出机房。 4.未经主管领导批准，禁止将机房相关的钥匙、密码透露给其它人员，同时有责任对信息保密；对于遗失物品的情况要即时上报，并积极主动采取措施保证机房安全。 5.机房人员对机房安全制度上的漏洞和不完善的地方应及时提出改善建议，绝不允许与机房工作无关的人员直接或间接操纵机房任何设备。 6.出现机房盗窃、破门、水浸等严重事件时，机房工作人员有义务以最快的速度和最短的时间到达现场，协助处理相关
的事件。 二、机房用电安全操作规程 1.机房人员应学习常规的用电安全操作和知识，掌握机房用电应急处理步骤、措施和要领，了解机房内部的供电、用电设施的操作规程。 2.机房应安排专业人员定期检查供电、用电设备，如发现用电安全隐患，应采取措施解决，不能解决的必须及时联系相关负责人解决；严禁随意对设备断电、更改设备线路。 3.外来人员需要用电，必须得到机房管理人员允许，并使用安全和不对机房设备影响的供电方式。 4.在使用功率超过特定瓦数的用电设备前，必须得到上级主管批准，并在保证线路安全的基础上使用。 5.在危险性高的位置应张贴相应的安全操作方法、警示以及指引，实际操作时应严格执行。 6.在外部供电系统停电时，机房工作人员应全力配合完成停电应急工作。 三、机房消防安全操作规程 1.机房工作人员应熟悉机房内部消防安全操作，了解消防设备操作原理、掌握消防应急处理步骤、措施和要领。
Windows服务器安全加固方案
P43页 Windows 2008服务器安全加固方案 来源：中国红盟时间：2010-1-27 9:09:00 点击：201 今日评论：0 条Windows 2008服务器安全加固方案(一）因为IIS(即Internet Information Server)的方便性和易用性，使它成为最受欢迎的Web 服务器软件之一。但是，IIS的安全性却一直令人担忧。如何利用IIS建立一个安全的Web 服务器，是很多人关心的话题。要创服务器安全检测建一个安全可靠的Web服务器，必须要实现Windows 2003和IIS的双重安全，因为IIS的用户同时也是Windows 2003的用户，并且IIS目录的权限依赖Windows的NTFS文件系统的权限控制，所以保护IIS安全的第一步就是确保Windows 2000操作系统的安全，所以要对服务器进行安全加固，以免遭到黑客的攻击，造成严重的后果。 我们通过以下几个方面对您的系统进行安全加固： 1. 系统的安全加固：我们通过配置目录权限，系统安全策略，协议栈加强，系统服务和访问控制加固您的系统，整体提高服务器的安全性。 2. IIS手工加固：手工加固iis可以有效的提高iweb站点的安全性服务器安全加固，合理分配用户权限，配置相应的安全策略，有效的防止iis用户溢出提权。 3. 系统应用程序加固，提供应用程序的安全性，例如sql的安全配置以及服务器应用软件的安全加固。 系统的安全加固： 1.目录权限的配置： 1.1 除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权，之后再对其下的子目录作单独的目录权限，如果WEB站点目录，你要为其目录权限分配一个与之对应的匿名访问帐号并赋予它有修改权限，如果想使网站更加坚固，可以分配只读权限并对特殊的目录作可写权限。 1.2 系统所在分区下的根目录都要设置为不继承父权限，之后为该分区只赋予Administrators 和SYSTEM有完全控制权。 1.3 因为服务器只有管理员有本地登录权限，所在要配置Documents and Settings这个目录权限只保留Administrators和SYSTEM有完全控制权，其下的子目录同样。另外还有一个隐藏目录也需要同样操作。因为如果你安装有PCAnyWhere那么他的的配置信息都保存在其下，使用webshell或FSO可以轻松的调取这个配置文件。 1.4 配置Program files目录，为Common Files目录之外的所有目录赋予Administrators和SYSTEM有完全控制权。
2003服务器安全设置
一、先关闭不需要的端口 我比较小心，先关了端口。只开了3389、21、80、1433，有些人一直说什么默认的3389不安全，对此我不否认，但是利用的途径也只能一个一个的穷举爆破，你把帐号改了密码设置为十五六位，我估计他要破上好几年，哈哈！办法：本地连接--属性--Internet协议（TCP/IP）--高级--选项--TCP/IP筛选--属性--把勾打上，然后添加你需要的端口即可。PS一句：设置完端口需要重新启动！
当然大家也可以更改远程连接端口方法： Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE \ SYSTEM\ Current ControlSet \ Control \ Terminal Server\WinStations\RDP-Tcp] "PortNumber"=dword:00002683 保存为.REG文件双击即可！更改为9859，当然大家也可以换别的端口，直接打开以上注册表的地址，把值改为十进制的输入你想要的端口即可！重启生效！
还有一点，在2003系统里，用TCP/IP筛选里的端口过滤功能，使用FTP服务器的时候，只开放21端口，在进行FTP传输的时候，FTP 特有的Port模式和Passive模式，在进行数据传输的时候，需要动态的打开高端口，所以在使用TCP/IP过滤的情况下，经常会出现连接上后无法列出目录和数据传输的问题。所以在2003系统上增加的Windows连接防火墙能很好的解决这个问题，不推荐使用网卡的TCP/IP过滤功能。 做FTP下载的用户看仔细，如果要关闭不必要的端口，在 \system32\drivers\etc\services中有列表，记事本就可以打开的。如果懒的话，最简单的方法是启用WIN2003的自身带的网络防火墙，并进行端口的改变。功能还可以！
服务器机房安全管理制度标准范本
管理制度编号：LX-FS-A64088 服务器机房安全管理制度标准范本 In The Daily Work Environment, The Operation Standards Are Restricted, And Relevant Personnel Are Required To Abide By The Corresponding Procedures And Codes Of Conduct, So That The Overall Behavior Can Reach The Specified Standards 编写：_________________________ 审批：_________________________ 时间：________年_____月_____日 A4打印/ 新修订/ 完整/ 内容可编辑
服务器机房安全管理制度标准范本 使用说明：本管理制度资料适用于日常工作环境中对既定操作标准、规范进行约束，并要求相关人员共同遵守对应的办事规程与行动准则，使整体行为或活动达到或超越规定的标准。资料内容可按真实状况进行条款调整，套用时请仔细阅读。 为科学、有效地管理服务器机房，促进网络系统安全的应用、高效运行，特制定本规章制度，请遵照执行。 一、机房管理 1、路由器、交换机和服务器以及通信设备是网络的关键设备，须放置服务器机房内，不得自行配置或更换，更不能挪作它用。 2、服务器房要保持清洁、卫生，并由专人7×24负责管理和维护(包括温度、湿度、电力系统、网络设备等)，无关人员未经管理人员批准严禁进入机房。
3、严禁易燃易爆和强磁物品及其它与机房工作无关的物品进入机房。 4、建立机房登记制度，对本地局域网络、广域网的运行，建立档案。未发生故障或故障隐患时当班人员不可对中继、光纤、网线及各种设备进行任何调试，对所发生的故障、处理过程和结果等做好详细登记。 6、做好操作系统的补丁修正工作。 7、网管人员统一管理服务器及其相关设备，完整保存服务器及其相关设备的驱动程序、保修卡及重要随机文件。 8、服务器及其相关设备的报废需经过管理部门或专职人员鉴定，确认不符合使用要求后方可申请报废。 二、服务器病毒防范制度
服务器安全管理制度
服务器安全管理制度 1. 执行服务器管理制度目的 为安全有效地管理机房及服务器，促进网络系统安全的应用.高效运行，特制定本规章制度，请遵照执行。 2. 服务器管理 2.1 服务器监控 2.1.1 服务器日志监控 每天检查服务器系统日志，安全日志进行检查对错误、异常、警告等日志进行分析判断 并将判断结果进行有效解决处理并记录到《服务器监控记录表》，若服务器故障请按服务器故障处理流程及时处理并记录到《服务器维护及故障处理记录表》。 2.1.2 服务器面板信息监控 每天检查负责机房内所有服务器、存储、UPS及其他机房设备面板信息，对异常的指示信息及时作出分析判断并将判断结果进行有效解决处理并记录到《服务器监控记录表》，若服务器故障请按服务器故障处理流程及时处理并记录到《服务器维护及故障处理记录表》。 2.1.3 服务器操作系统信息监控 每天检查所有服务器系统信息，包括磁盘空间使用率、系统资源使用率、杀毒软件、服务器进程、必须启动的服务、用户访问记录、服务器时间。若有异常进行分析判断并将判断结果进行有效解决处理并记录到《服务器监控记录表》，若服务器故障请按服务器故障处理流程及时处理并记录到《服务器维护及故障处理记录表》。2.1.4 服务器数据库信息监控 每天检查服务器所有数据库运行状态。包括数据库定时代理运行、数据库备份计划、数据库日志及归档、数据库表空间使用率。若有异常进行分析判断并将判断结果进行有效解决处理并记录到《服务器监控记录表》，若服务器故障请按服务器故障处理流程及时处理并记录到《服务器维护及故障处理记录表》。 若监控数据库时发现数据库文件或日志增长过快等情况及时与负责系统的程序员检查是否为程序异常导致。 2.1.5 服务器数据备份监控 每天检查服务器数据备份情况，定期维护备份空间，若有异常及时处理。 2.2 服务器日常维护及故障处理 2.2.1 服务器定期维护 根据《服务器管理方案表》定期对服务器进行维护，维护内容如下： 2.2.1.1 在停止所有用户会话的情况下进行重启服务器释放资源使用。 2.2.1.2 检查数据库使用状态、裸设备,清理僵死进程、临时表空间等。 2.2.1.3 清理过期的数据库归档日志释放数据库归档日志空间，并收缩数据库。 2.2.1.4 根据数据库每天监控得到的数据适当调整表空间大小、临时表空间大小、内存使用调整、归档日 志库大小等。 2.2.1.5 清除数据库中无效的索引、存储过程、定时代理等。 2.2.1.6 每月备份一次服务器及数据库系统文件、并清理一次系统及安全日志（先备份再清除）。 2.2.1.7 每月对服务器进行一次硬件检测维护，主要包括安全隐患、性能等方面、如机器温度、使用率等。 2.2.1.8 每周每台服务器杀毒软件至少升级一次、全盘杀毒一次。 2.2.1.9 服务器必须启动服务必须设置为自动启动，人为重启服务器后必须检查各项系统运行必须服务是 否启动正常。
服务器基本安全配置
服务器基本安全配置 1.用户安全 (1)运行lusrmgr.msc,重命名原Administrator用户为自定义一定长度的名字，并新建同名 Administrator普通用户，设置超长密码去除所有隶属用户组。 (2)运行gpedit.msc——计算机配置—安全设置—账户策略—密码策略 启动密码复杂性要求，设置密码最小长度、密码最长使用期限，定期修改密码保证服务器账户的密码安全。 (3)运行gpedit.msc——计算机配置—安全设置—账户策略—账户锁定策略 启动账户锁定，设置单用户多次登录错误锁定策略，具体设置参照要求设置。
(4)运行gpedit.msc——计算机配置—安全设置—本地策略—安全选项 交互式登录:不显示上次的用户名；——启动 交互式登录：回话锁定时显示用户信息；——不显示用户信息 (5)运行gpedit.msc——计算机配置—安全设置—本地策略—安全选项 网络访问：可匿名访问的共享；——清空 网络访问：可匿名访问的命名管道；——清空 网络访问：可远程访问的注册表路径；——清空 网络访问：可远程访问的注册表路径和子路径；——清空 (6)运行gpedit.msc——计算机配置—安全设置—本地策略 通过终端服务拒绝登陆——加入一下用户（****代表计算机名）ASPNET Guest IUSR_***** IWAM_***** NETWORK SERVICE SQLDebugger 注：用户添加查找如下图：
(7)运行gpedit.msc——计算机配置—安全设置—本地策略—策略审核 即系统日志记录的审核消息，方便我们检查服务器的账户安全，推荐设置如下： (8)
服务器机房安全管理制度标准版本
文件编号：RHD-QB-K1372 （管理制度范本系列） 编辑：XXXXXX 查核：XXXXXX 时间：XXXXXX 服务器机房安全管理制 度标准版本
服务器机房安全管理制度标准版本操作指导：该管理制度文件为日常单位或公司为保证的工作、生产能够安全稳定地有效运转而制定的，并由相关人员在办理业务或操作时必须遵循的程序或步骤。，其中条款可根据自己现实基础上调整，请仔细浏览后进行编辑与保存。 为科学、有效地管理服务器机房，促进网络系统安全的应用、高效运行，特制定本规章制度，请遵照执行。 一、机房管理 1、路由器、交换机和服务器以及通信设备是网络的关键设备，须放置服务器机房内，不得自行配置或更换，更不能挪作它用。 2、服务器房要保持清洁、卫生，并由专人7×24负责管理和维护(包括温度、湿度、电力系统、网络设备等)，无关人员未经管理人员批准严禁进入机房。
3、严禁易燃易爆和强磁物品及其它与机房工作无关的物品进入机房。 4、建立机房登记制度，对本地局域网络、广域网的运行，建立档案。未发生故障或故障隐患时当班人员不可对中继、光纤、网线及各种设备进行任何调试，对所发生的故障、处理过程和结果等做好详细登记。 6、做好操作系统的补丁修正工作。 7、网管人员统一管理服务器及其相关设备，完整保存服务器及其相关设备的驱动程序、保修卡及重要随机文件。 8、服务器及其相关设备的报废需经过管理部门或专职人员鉴定，确认不符合使用要求后方可申请报废。 二、服务器病毒防范制度
1、网络管理人员应有较强的病毒防范意识，定期进行病毒检测(特别是邮件服务器)，发现病毒立即处理并通知管理部门或专职人员。 2、采用国家许可的正版防病毒软件并及时更新软件版本。 3、未经上级管理人员许可，当班人员不得在服务器上安装新软件，若确为需要安装，安装前应进行病毒例行检测。 4、经远程通信传送的程序或数据，必须经过检测确认无病毒后方可使用。 三、机房安全保密制度 1. 机房所有人员必须严格遵守单位各项安全保密制度，高度重视信息系统的安全保密工作，积极参加各种形式的安全保密工作的学习培训活动，接受安全检查。机房信息系统涉及全单位的管理、业务等企
互联网服务器安全解决方案
1.1.1服务器安全解决方案 Trend Micro Deep Security发大发发大发啊方案是一种在虚拟、云计算和传统的数据中心环境之间统一安全性的服务器和应用程序防护软件。它帮助组织预防数据泄露和业务中断，符合包括 PCI 在内的关键法规和标准，并有助于应当今经济形势之要求降低运营成本。Deep Security 解决方案使系统能够自我防御，并经过优化，能够帮助您保护机密数据并确保应用程序的可用性。趋势科技的基于服务器的安全防护软件主要在服务器群上实现以下6大模块的安全控制： 1.基于主机的IDS/IPS ●防护未知漏洞，被未知攻击 ●防护已知攻击 ●防护零日攻击，确保未知漏洞不会被利用 2.Web应用防护 ●防护web应用程序的弱点和漏洞 ●防护Web应用程序的历史记录 ●支持PCI规范。 3.应用程序控制 ●侦测通过非标准端口进行通讯相关协议 ●限制和设定哪些应用程序能通过网络被访问 ●侦测和阻断恶意软件通过网络进行访问 4.基于主机的防火墙 5.一致性检查和监控 ●重要的操作系统和应用程序文件控制（文件，目录，注册表以及键值等等） ●监控制定的目录 ●灵活并且主动实用的监控 ●审计日志和报表 6.日志检查和审计 ●搜集操作系统和应用程序的日志，便于安全检查和审计 ●可疑行为侦测
●搜集安全行为相关的管理员设定 1.1.1.1 产品特点 数据中心服务器安全架构必须解决不断变化的 IT 架构问题，包括虚拟化和整合、新服务交付模式以及云计算。对于所有这些数据中心模式，Deep Security 解决方案可帮助： 1.1.1.1.1通过以下方式预防数据泄露和业务中断 ?在服务器自身位置提供一道防线–无论是物理服务器、虚拟服务器还是云服务器 ?针对 Web 和企业应用程序以及操作系统中的已知和未知漏洞进行防护，并阻止对这些系统的攻击 ?帮助您识别可疑活动及行为，并采取主动或预防性的措施 1.1.1.1.2通过以下方式实现合规性 ?满足六大 PCI 合规性要求（包括 Web 应用程序安全、文件完整性监控和服务器日志收集）及其他各类合规性要求 ?提供记录了所阻止的攻击和策略合规性状态的详细可审计报告，缩短了支持审计所需的准备时间 1.1.1.1.3通过以下方式支持降低运营成本 ?提供漏洞防护，以便能够对安全编码措施排定优先级，并且可以更具成本效益地实施未预定的补丁 ?为组织充分利用虚拟化或云计算并实现这些方法中固有的成本削减提供 必要的安全性 ?以单个集中管理的软件代理提供全面的防护–消除了部署多个软件客 户端的必要性及相关成本 1.1.1.1.4全面易管理的安全性 Deep Security 解决方案使用不同的模块满足了关键服务器和应用程序的防护要求：
网络服务器主机安全规范
网络服务器主机安全规范 启用防火墙 阿里云windows Server 2008 R2默认居然没有启用防火墙。2012可能也是这样的，不过这个一定要检查！ 补丁更新 启用windows更新服务，设置为自动更新状态，以便及时打补丁。 阿里云windows Server 2008 R2默认为自动更新状态，2012可能也是这样的，不过这个一定要检查！ 账号口令 优化账号 口令策略
网络服务 优化服务（1）
优化服务（2） ?在"网络连接"里，把不需要的协议和服务都移除 2去掉Qos数据包计划程序 2关闭Netbios服务（关闭139端口） 网络连接->本地连接->属性->Internet协议版本4->属性->高级->WINS->禁用TCP/IP上的NetBIOS。 说明：关闭此功能，你服务器上所有共享服务功能都将关闭，别人在资源管理器中将看不到你的共享资源。这样也防止了信息的泄露。 2Microsoft网络的文件和打印机共享 网络连接->本地连接->属性，把除了“Internet协议版本4”以外的东西都勾掉。 2ipv6协议 先关闭网络连接->本地连接->属性->Internet协议版本 6 (TCP/IPv6) 然后再修改注册表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters，增加一个Dword项，名字：DisabledComponents，值：ffffffff（十六位的8个f） 重启服务器即可关闭ipv6 2microsoft网络客户端（主要是为了访问微软的网站） ?关闭445端口
Windows_Server_2003_安全设置手册
Windows Server 2003安全设置 一、用户账户安全 1.Administrator账户的安全性 a)重命名adminstrator，并将其禁用 b)创建一个用户账户并将其加入管理员组，日常管理工作使 用这个账户完成 2.启用账户锁定策略 开始——程序——管理工具——本地安全策略——账户 策略——账户锁定策略——设置“账户锁定阈值为3” 3.创建一个日常登录账户 通过Runas或者鼠标右键“运行方式”切换管理员权限 4.修改本地策略限制用户权限 开始——程序——管理工具——本地安全策略——本地策略 ——用户权限分配——设置“拒绝从网络访问这台计算机”， 限制从网络访问该服务器的账户
二、服务器性能优化，稳定性优化 1.“我的电脑”右键属性——高级——性能——设置——设置 为“性能最佳” 2.“我的电脑”右键属性——高级——性能——设置——高级 页面为如图设置
3.停止暂时未用到的服务 a)在开始运行中输入:services.msc b)停止并禁用以下服务 https://www.360docs.net/doc/5e17959811.html,puter Browser 2.Distributed Link Tracking Client 3.Print Spooler（如果没有打印需求可以停止该服务） 4.Remote Registry 5.Remote Registry（如果没有无线设备可以停止该服 务） 6.TCP/IP NetBIOS Helper 三、系统安全及网络安全设置 1.开启自动更新 我的电脑右键属性——自动更新 Windows Server 2003会自动下载更新，无须人为打补丁。
2.关闭端口，减少受攻击面（此处以仅提供HTTP协议为例） a)开始运行中输入cmd，运行命令提示符 b)在命令提示符中输入netstat -an命令察看当前打开端 口 图片中开放了TCP 135,139,445,1026四个端口，可以通过禁用TCP/IP 上的NetBIOS和禁用SMB来关闭它们。 c)禁用TCP/IP 上的NetBIOS 1.从“开始”菜单，右键单击“我的电脑”，然后 单击“属性”。 2.点选“硬件”选项卡后，单击“设备管理器”按 钮。
服务器安全方案
服务器安全方案 一、操作系统安全配 置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。1 1安装操作系统(NTFS分区)。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2 2.安装系统补丁，扫描漏洞全面杀毒。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2 3.删除Windows Server 2003默认共享。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2 4.禁用IPC连接。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2 5.删除"网络连接"里的协议和服务。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2 6.启用windows连接防火墙。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2 7.磁盘权限。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。3 8.本地安全策略设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。3 系统检查检测。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。4 二iis配置(包括网站所在目录)。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5 1.新建自己的网站。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5 2.删掉系统盘\inetpub目录。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5 3.删除不用的映射。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5 4.为网站创建系统用户。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5 5.设置应用程及子目录的执行权限。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5 6.应用程序池设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5 Iis检查检测。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5 1.密码设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。6 2.删除危险的扩展存储过程和相关.dll。。。。。。。。。。。。。。。。。。。。。。。。。。。。6 四、远程访问配置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。7 第一步，远程桌面设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。7 第二步.设客户端。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。8 第三步，远程连接。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。8 远程访问检查检测。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。9 五、其它设置(选用)。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。10 六、可以关闭的系统服务列表。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。10 七、禁止或卸载危险组件。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。11 八、windows自带防火墙设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。12 九、天网防火墙设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。15
(完整版)WindowsServer2008R2WEB服务器安全设置指南(四)之禁用不必要的服务和关闭端口
Windows Server 2008 R2 WEB 服务器安全设置指南(四)之禁用不必要的服务和关闭端口 安全是重中之重，以最少的服务换取最大的安全。通过只启用需要用到的服务、关闭暂时用不到的服务或不用的服务，这样最大程度来提高安全性。 作为web服务器，并不是所有默认服务都需要的，所以像打印、共享服务都可以禁用。当然了，你的系统补丁也需要更新到最新，一些端口的漏洞已经随着补丁的更新而被修复了。网上的一些文章都是相互复制且是基于win2003系统较多，而win2008相比win2003本身就要安全很多。 那我们为什么还要谈关闭端口呢，因为我们要防患于未然，万一服务器被黑就不好玩了。 禁用不必要的服务 控制面板―――管理工具―――服务：把下面的服务全部停止并禁用。 TCP/IP NetBIOS Helper Server 这个服务器需要小心。天翼云主机需要用到这个服务，所以在天翼云主机上不能禁用。 Distributed Link Tracking Client Microsoft Search 如果有，则禁用
Print Spooler Remote Registry 因为我们使用的是云主机，跟单机又不一样，所以有些服务并不能一概而论，如上面的Server服务。例如天翼云的主机，上海1和内蒙池的主机就不一样，内蒙池的主机需要依赖Server服务，而上海1的不需要依赖此服务，所以上海1的可以禁用，内蒙池就不能禁用了。 所以在禁用某一项服务时必须要小心再小心。 删除文件打印和共享 本地连接右击属性，删除TCP/IPV6、Microsoft网络客户端、文件和打印共享。
服务器安全使用指引规范
服务器安全使用指引规范 撰写：杨胜灵 日期：2007/01/22 为了确保服务器安全、服务器性能以及服务器连接带宽，提高机房资源使用效率，提升客户满意度，特制定此服务器使用指引规范。 1,服务器范围 机房服务器是指公司所需要提供服务的所有客户的网络设备，不仅包括公司电信机房的服务器、交换机、带宽等，还包括部署有公司产品的客户自建机房的服务器。 2,服务器管理 服务器由专人管理，负责服务器的日常安全、数据备份、例行检查、域名解析、项目部署(研发人员指导支撑)、网络分析、带宽管理、设备扩容等，需要两名责任人，每个责任人负责制定各自负责领域的详细执行细则； 第一名责任人由客服中心王元超承担，负责服务器数据备份、日常运行情况监控、例行检查、域名解析、网络分析、带宽管理、设备扩容等； 第二名责任人由研发人员承担，负责服务器的系统配置、日常项目的发布部署等；目前暂定由王嵛田同志整理具体执行细则； 3,服务器使用 3.1,使用原则： 1)责任人统一管理服务器账号密码；除责任人授权外，其它任何人不允许拥有服务器账号 密码信息。 2)中小企业网站，逐步迁移到阿里云服务器等专业托管商；带宽分流，减少使用成本； 3)政府类项目根据情况，需要独享服务器的尽量推荐使用独享服务器；后续根据访问流量， 该收费的需要收费；避免公司买单，客户无偿、无限制使用，影响其它付费优质客户的使用。 4)研发测试类、临时演示类项目使用单独服务器，不允许放到正式服务器，避免运营商封 闭IP。责任人可以给每个技术部门负责人创建账号，并对账号进行管理和监控； 5)数据库服务器，如果条件可行，单独配置专用服务器，同其它应用服务分开；避免性能 问题。
详解Windows_Server_2003_Web服务器安全设置
一、Windows 2003安全配置 确保所有磁盘分区为NTFS分区、操作系统、Web主目录、日志分别安装在不同的分区不要安装不需要的协议，比如IPX/SPX, NetBIOS? 不要安装其它任何操作系统 安装所有补丁（用瑞星安全漏洞扫描下载） 关闭所有不需要的服务
二、IIS的安全配置
三、删除Windows Server 2003默认共享
以上文件的内容用户可以根据自己需要进行修改。保存为delshare.bat，存放到系统所在文件夹下的 system32GroupPolicyUserScriptsLogon目录下。然后在开始菜单→运行中输入gpe dit.msc…回车即可打开组策略编辑器。点击用户配置→Windows设置→脚本（登录/注销）→登录在出现的“登录属性”窗口中单击“添加”，会出现“添加脚本”对话框，在该窗口的“脚本名”栏中输入delshare.bat，然后单击“确定”按钮即可。重新启动计算机系统，就可以自动将系统所有的隐藏共享文件夹全部取消了，这样就能将系统安全隐患降低到最低限度。 2、禁用IPC连接 IPC$(Internet Process Connection)是共享“命名管道”的资源，它是为了让进程间通信而开放的命名管道，通过提供可信任的用户名和口令，连接双方计算机即可以建立安全的通道并以此通道进行加密数据的交换，从而实现对远程计算机的访问。它是Windows NT/2000/XP/2003特有的功能，但它有一个特点，即在同一时间内，两个IP之间只允许建立一个连接。NT/2000/XP/2003在提供了ipc$功能的同时，在初次安装系统时还打开了默认共享，即所有的逻辑共享 （c$,d$,e$……）和系统目录winnt或windows（admin$）共享。所有的这些，微软的初衷都是为了方便管理员的管理，但也为简称为IPC入侵者有意或无意的提供了方便条件，导致了系统安全性能的降低。在建立IPC的连接中不需要任何黑客工具，在命令行里键入相应的命令就可以了，不过有个前提条件，那就是你需要知道远程主机的用户名和密码。打开CMD后输入如下命令即可进行连接：net use\ipipc$ password /user:usernqme。我们可以通过修改注册表来禁用IPC连接。打开注册表编辑器。找到如下组建HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa中的restrictanonymous子键，将其值改为1即可禁用IPC连接。 四、清空远程可访问的注册表路径 大家都知道，Windows 2003操作系统提供了注册表的远程访问功能，只有将远程可访问的注册表路径设置为空，这样才能有效的防止黑客利用扫描器通过远程注册表读取计算机的系统信息及其它信息。 打开组策略编辑器，依次展开“计算机配置→Windows 设置→安全设置→本地策略→安全选项”，在右侧窗口中找到“网络访问：可远程访问的注册表路径”，然后在打开的窗口中，将可远程访问的注册表路径和子路径内容全部设置为空即可。 五、关闭不必要的端口 对于个人用户来说安装中默认的有些端口确实是没有什么必要的，关掉端口也就是关闭无用的服务。139端口是NetBIOS协议所使用的端口，在安装了TCP/IP 协议的同时，NetBIOS 也会被作为默认设置安装到系统中。139端口的开放意味着硬盘可能会在网络中共享;网上黑客也可通过NetBIOS知道你的电脑中的一切!在以前的Windows版本中，只要不安装Microsoft网络的文件和打印共享协议，就可关闭139端口。但在Windows Server 2003中，只这样做是不行的。 如果想彻底关闭139端口，具体步骤如下：鼠标右键单击“网络邻居”，选择“属性”，进入“网络和拨号连接”，再用鼠标右键单击“本地连接”，选择“属性”，打开“本地连接属性”页，然后去掉“Microsoft网络的文件和打印共享”前面的
Windows 服务器安全加固方案
Windows 2003服务器安全加固方案【桓文】培训包就业考试包通过 NA599 21世纪IT人才网热门招聘职位 系统集成系统维护工程师系统分析员嵌入式程序开发教程 Windows高级工程师的培训地 【就业】先实习后上岗，入职年薪5-10万！中国IT实验室收集整理佚名 2010-4-19 保存本文推荐给好友收藏本页欢迎进入Windows社区论坛，与200万技术人员互动交流 >>进入 因为IIS(即Internet Information Server)的方便性和易用性，使它成为最受欢迎的Web服务器软件之一。但是，IIS的安全性却一直令人担忧。如何利用IIS建立一个安全的Web服务器，是很多人关心的话题。要创建一个安全可靠的Web服务器，必须要实现Windows 2003和IIS的双重安全，因为IIS的用户同时也是Windows 2003的用户，并且IIS目录的权限依赖Windows的NTFS文件系统的权限控制，所以保护IIS安全的第一步就是确保Windows 2000操作系统的安全，所以要对服务器进行安全加固，以免遭到黑客的攻击，造成严重的后果。 我们通过以下几个方面对您的系统进行安全加固： 1. 系统的安全加固：我们通过配置目录权限，系统安全策略，协议栈加强，系统服务和访问控制加固您的系统，整体提高服务器的安全性。 2. IIS手工加固：手工加固iis可以有效的提高iweb站点的安全性，合理分配用户权限，配置相应的安全策略，有效的防止iis用户溢出提权。 3. 系统应用程序加固，提供应用程序的安全性，例如sql的安全配置以及服务器应用软件的安全加固。 系统的安全加固： 1.目录权限的配置： 1.1 除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权，之后再对其下的子目录作单独的目录权限，如果WEB站点目录，你要为其目录权限分配一个与之对应的匿名访问帐号并赋予它有修改权限，如果想使网站更加坚固，可以分配只读权限并对特殊的目录作可写权限。 1.2 系统所在分区下的根目录都要设置为不继承父权限，之后为该分区只赋予Administrators和SYSTEM有完全控制权。 1.3 因为服务器只有管理员有本地登录权限，所在要配置Documents and Settings这个目录权限只保留Administrators和SYSTEM有完全控制权，其下的子目录同样。另外还有一个隐藏目录也需要同样操作。因为如果你安装有PCAnyWhere那么他的的配置信息都保存在其下，使用webshell或FSO可以轻松的调取这个配置文件。
服务器安全防护措施
随着网络技术的发展，服务器面临着越来越多的安全威胁。因此，加强服务器的安全防护成为一项迫切需要解决的问题。那么到底该怎么做才能使服务器更安全呢？今天，我们来谈一谈具体的防护措施，可以从以下五大方面入手： 一、安全设置 1、加强服务器的安全设置 以Linux为操作平台的服务器安全设置策略，能够有效降低服务器的安全隐患，以确保它的安全性。安全设置主要包括：登录用户名与密码的安全设置、系统口令的安全设置、BIOS的安全设置、使用SSL通信协议、命令存储的修改设置、隐藏系统信息、启用日志记录功能以及设置服务器有关目录的权限等。 2、加强内网和外网的安全防范 服务器需要对外提供服务，它既有域名,又有公网IP，显然存在着一些安全隐患。因此，可以给服务器分配私有的IP地址，并且运用防火墙来做NAT （网络地址转换），可将其进行隐藏。 有些攻击来源于内网，如果把内网计算机和服务器放置在相同的局域网之内，则在一定程度上会增加很多安全隐患，所以必须把它划分为不同的虚拟局域网。运用防火墙的“网络地址转换”来提供相互间的访问，这样就能极大提
高服务器的安全性和可靠性。 把服务器连接至防火墙的DMZ（隔离区）端口，将不适宜对外公布的重要信息的服务器，放在内部网络，进而在提供对外服务的同时，可以最大限度地保护好内部网络。 3、网络管理员，要不断加强网络日常安全的维护与管理 要对“管理员用户名与密码”定期修改；要对服务器系统的新增用户情况进行定时核对，并且需要认真仔细了解网络用户的各种功能；要及时更新服务器系统的杀毒软件以及病毒数据库，必要时，可针对比较特殊的病毒，安装专门的杀毒程序，同时要定期查杀服务器的系统病毒，定期查看CPU的正常工作使用状态、后台工作进程以及应用程序等。如若发现异常情况，需要及时给予妥当处理。因为很多“病毒与木马程序”，都是运用系统漏洞来进行攻击的，所以需要不断自动更新服务器系统，以及定期扫描服务器系统的漏洞。 很多服务器已经成为了“病毒、木马程序”感染的重灾区。不但企业的门户网站被篡改、资料被窃取，而且本身还成为了“病毒与木马程序”的传播者。有些服务器管理员采取了一些措施，虽然可以保证门户网站的主页不被篡改，但是却很难避免自己的网站被当作“肉鸡”，来传播“病毒、恶意插件、木马程序”等等。这很大一部分原因是，网络管理员在网站安全的防护上太被动。他们只是被动的防御，而没有进行主动防御和检测。为了彻底提高服务器的安全等级，网站安全需要主动出击。、
服务器主机安全规范
服务器主机安全规范 启用防火墙 阿里云windows Server 2008 R2默认居然没有启用防火墙。2012可能也是这样的，不过这个一定要检查！ 补丁更新 启用windows更新服务，设置为自动更新状态，以便及时打补丁。 阿里云windows Server 2008 R2默认为自动更新状态，2012可能也是这样的，不过这个一定要检查！ 账号口令 优化账号 口令策略
网络服务 优化服务（1） 操作目的关闭不需要的服务，减小风险 加固方法“Win+R”键调出“运行”->services.msc，以下服务改为禁用： Application Layer Gateway Service（为应用程序级协议插件提供支持并启用网 络/协议连接） Background Intelligent Transfer Service（利用空闲的网络带宽在后台传输文 件。如果服务被停用，例如Windows Update 和 MSN Explorer的功能将无法自动 下载程序和其他信息） Computer Browser（维护网络上计算机的更新列表，并将列表提供给计算机指定浏 览） DHCP Client Diagnostic Policy Service Distributed Transaction Coordinator DNS Client Distributed Link Tracking Client Remote Registry（使远程用户能修改此计算机上的注册表设置） Print Spooler（管理所有本地和网络打印队列及控制所有打印工作） Server（不使用文件共享可以关闭，关闭后再右键点某个磁盘选属性，“共享”这个 页面就不存在了） Shell Hardware Detection TCP/IP NetBIOS Helper（提供 TCP/IP (NetBT) 服务上的NetBIOS 和网络 上客户端的NetBIOS 名称解析的支持，从而使用户能够共享文件、打印和登录到网 络）