服安最新信息资讯

服安资讯热点推荐

服安资讯阅览排行

信息安全法律法规

服务器安全技术资讯

服安解决方案

您当前的位置是：服务器安全资讯网>系统安全>Windows Server>2003安全>

如何加固Win2003服务器安全设置

来源：服安资讯时间:2009-06-13 作者：fuancn 点击：次责任编辑：Flyfox
TAG: 服务器安全设置加固 WIN2003 服务器安全应急处理中心:让您的服务器更安全! 进入安全讨论社区

摘要:

本文是我做服务器维护的点击经验，部份是我根据入侵手段所做的相应配置调整!大部份的内容网上都有，可能有人认为是抄袭，无所谓了，只要对大家有帮助就OK了，如果大家对本文有不同的看

本文是我做服务器维护的点击经验，部份是我根据入侵手段所做的相应配置调整!大部份的内容网上都有，可能有人认为是抄袭，无所谓了，只要对大家有帮助就OK了，如果大家对本文有不同的看法，非常欢迎大家与我交流!

还有一点我想说的是，本文内容讨论的重点是服务器安全设置加固，是在有一定安全设置的基础上进行讨论的，并且，对于基础的内容我在本文最后也列出了标题，只是网上的好文章挺多的，我就不想再费劲写了!所以，大家看后不要再说一些对于磁盘之类设置没有做之类的话!

1、修改管理员帐号名称与来宾帐号名称

此步骤主要是为了防止入侵者使用默认的系统用户名或者来宾帐号马上进行暴利特别(合法性请自查)，在更改完后，不要忘记修改强悍的密码。

控制面板――管理工具――本地安全策略――本地策略――安全选项

在右边栏的最下方，如图所示：

2、修改远程桌面连接端口

运行 Regedt32 并转到此项:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

找到“PortNumber”子项，您会看到值 00000D3D，它是 3389 的十六进制表示形式。使用十六进制数值修改此端口号，并保存新值。

小巧门：各位，别一看到是十六进制就头疼，在修改键值的时候也同样支持十进制

3、禁止不常用服务

禁用不必要的服务不但可以降低服务器的资源占用减轻负担，而且可以增强安全性。下面列出了可以禁用的服务:

Application Experience Lookup Service

Automatic Updates

BITS

Computer Browser

DHCP Client

Error Reporting Service

Help and Support

Network Location Awareness

Print Spooler

Remote Registry

Secondary Logon

Server

Smartcard

TCP/IP NetBIOS Helper

Workstation

Windows Audio

Windows Time

Wireless Configuration

4、设置组策略，加强系统安全策略

设置帐号锁定阀值为5次无效登录，锁定时间为30分钟;

从通过网络访问此计算机中删除Everyone组;

在用户权利指派下，从通过网络访问此计算机中删除Power Users和Backup Operators;

为交互登录启动消息文本。

启用不允许匿名访问SAM帐号和共享;

启用不允许为网络验证存储凭据或Passport;

启用在下一次密码变更时不存储LANMAN哈希值;

启用清除虚拟内存页面文件;

禁止IIS匿名用户在本地登录;

启用交互登录:不显示上次的用户名;

从文件共享中删除允许匿名登录的DFS$和COMCFG;

禁用活动桌面。

5、强化TCP协议栈

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

"SynAttackProtect"=dword:00000001

"EnablePMTUDiscovery"=dword:00000000

"NoNameReleaseOnDemand"=dword:00000001

"EnableDeadGWDetect"=dword:00000000

"KeepAliveTime"=dword:00300000

"PerformRouterDiscovery"=dword:00000000

"TcpMaxConnectResponseRetransmissions"=dword:00000003

"TcpMaxHalfOpen"=dword:00000100

"TcpMaxHalfOpenRetried"=dword:00000080

"TcpMaxPortsExhausted"=dword:00000005

6、加固IIS

进入Windows组件安装，找到应用程序服务器，进入详细信息，勾选ASP.NET后，IIS必须的组件就会被自动选择，如果你的服务器需要运行ASP脚本，那么还需要进入Internet信息服务(IIS)-万维网服务下勾选Active Server Pages。完成安装后，应当在其他逻辑分区上单独建立一个目录用来存储WEB网站程序及数据。

一台WEB服务器上都运行着多个网站，他们之间可能互不相干，所以为了起到隔离和提高安全性，需要建立一个匿名WEB用户组，为每一个站点创建一个匿名访问账号，将这些匿名账号添加到之前建立的匿名WEB用户组中，并在本地计算机策略中禁止此组有本地登录权限。

最后优化IIS6应用程序池设置:

禁用缺省应用程序池的空闲超时;