一、先關(guān)閉不需要的端口
端口限制通常是網(wǎng)絡(luò)管理的基本手段之一,具體端口的開放與關(guān)閉,需要根據(jù)實際情況來考慮。關(guān)閉端口操作:本地連接--屬性--Internet協(xié)議(TCP/IP)--高級--選項--TCP/IP篩選--屬性--把勾打上,然后添加你需要的端口,重新啟動即可。
當(dāng)然也可以更改遠(yuǎn)程連接端口方法:
我們可以寫一個.REG文件,如下:
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE \ SYSTEM\ Current ControlSet \ Control \ Terminal Server\WinStations\RDP-Tcp] "PortNumber"=dword:00002683 |
雙擊我們生成的文件,更改數(shù)據(jù)值,確認(rèn)重啟即可生效。
在2003系統(tǒng)里,用TCP/IP篩選里的端口過濾功能,使用FTP
如果要關(guān)閉不必要的端口,在\system32\drivers\etc\services用記事本打開修改。另外還有一中更簡單的方法,啟用WIN2003的自身帶的網(wǎng)絡(luò)防火墻,并進(jìn)行端口的改變。
Internet 連接防火墻可以有效地攔截對Windows 2003
二.服務(wù)與審核策略管理
是系統(tǒng)就必然需要服務(wù),然而不是每一個服務(wù)都適用于所有用戶的,合理的關(guān)閉一些服務(wù),可以減輕系統(tǒng)很多的負(fù)擔(dān)。通常情況下,如下服務(wù)可以關(guān)閉:
Computer Browser 維護網(wǎng)絡(luò)上計算機的最新列表以及提供這個列表 Task scheduler 允許程序在指定時間運行 Messenger 傳輸客戶端和服務(wù)器之間的 NET SEND 和 警報器服務(wù)消息 Distributed File System: 局域網(wǎng)管理共享文件,不需要禁用 Distributed linktracking client:用于局域網(wǎng)更新連接信息,不需要禁用 Error reporting service:禁止發(fā)送錯誤報告 Microsoft Serch:提供快速的單詞搜索,不需要可禁用 NTLMSecuritysupportprovide:telnet服務(wù)和Microsoft Serch用的,不需要禁用 PrintSpooler:如果沒有打印機可禁用 Remote Registry:禁止遠(yuǎn)程修改注冊表 Remote Desktop Help Session Manager:禁止遠(yuǎn)程協(xié)助 Workstation關(guān)閉的話遠(yuǎn)程NET命令列不出用戶組。 |
在"網(wǎng)絡(luò)連接"里,把不需要的協(xié)議和服務(wù)都刪掉,這里只安裝了基本的Internet協(xié)議(TCP/IP),由于要控制帶寬流量服務(wù),額外安裝 了Qos數(shù)據(jù)包計劃程序。在高級tcp/ip設(shè)置里--"NetBIOS"設(shè)置"禁用tcp/IP上的NetBIOS(S)"。在高級選項里,使用 "Internet連接防火墻",這是windows 2003 自帶的防火墻,在2000系統(tǒng)里沒有的功能,雖然沒什么功能,但可以屏蔽端口,這樣已經(jīng)基本達(dá)到了一個IPSec的功能。
在運行中輸入gpedit.msc回車,打開組策略編輯器,選擇計算機配置-Windows設(shè)置-安全設(shè)置-審核策略在創(chuàng)建審核項目時需要注意 的是如果審核的項目過多,那么要想發(fā)現(xiàn)嚴(yán)重的事件也越難,當(dāng)然如果審核的太少也會影響你發(fā)現(xiàn)嚴(yán)重的事件,你需要根據(jù)情況在這二者之間做出選擇。
推薦的要審核的項目主要有:
登錄事件 賬戶登錄事件 系統(tǒng)事件 策略更改 對象訪問 目錄服務(wù)訪問 特權(quán)使用 |
三、關(guān)閉默認(rèn)共享的空連接
這個就不必多說了,敞開門讓別人拿,用戶一定不會干!
四、磁盤權(quán)限設(shè)置
C盤只給administrators和system權(quán)限,其他的盤也可以這樣設(shè)置。Windows目錄要加上給users的默認(rèn)權(quán)限,否則ASP和ASPX等應(yīng)用程序就無法運行。以前有朋友單獨設(shè)置Instsrv和temp等目錄權(quán)限,其實沒有這個必要的。
另外在c:/Documents and Settings/這里相當(dāng)重要,后面的目錄里的權(quán)限根本不會繼承從前的設(shè)置,如果僅僅只是設(shè)置了C盤給administrators權(quán)限,而在All Users/Application Data目錄下會 出現(xiàn)everyone用戶有完全控制權(quán)限,這樣入侵這可以跳轉(zhuǎn)到這個目錄,寫入腳本或只文件,再結(jié)合其他漏洞來提升權(quán)限;譬如利用serv-u的本地溢出 提升權(quán)限,或系統(tǒng)遺漏有補丁,數(shù)據(jù)庫的弱點,甚至社會工程學(xué)等等N多方法。曾經(jīng)有牛人云:"只要給我一個webshell,我就能拿到system",防 微杜漸還是塌實些。在用做web/ftp服務(wù)器的系統(tǒng)里,建議是將這些目錄都設(shè)置的鎖死,每個盤都只給adimistrators權(quán)限。
另外,還需要將:
net.exe NET命令 cmd.exe tftp.exe netstat.exe regedit.exe 注冊表啦 用電腦的人都知道 at.exe attrib.exe cacls.exe ACL用戶組權(quán)限設(shè)置,此命令可以在NTFS下設(shè)置任何文件夾的任何權(quán)限。 format.exe 超級強悍,還是不說了 |
這些文件都設(shè)置只允許administrator訪問。
五、防火墻、殺毒軟件的安裝
曾經(jīng)還有人炫耀自己的裸機,但如今真的沒多少人敢如此忽視殺毒軟件的存在。由于對殺毒軟件各方看法不一,這里就迎各位的喜好了!
六、SQL2000 SERV-U FTP安全設(shè)置
SQL安全方面
1、System Administrators 角色最好不要超過兩個
2、如果是在本機最好將身份驗證配置為Win登陸
3、不要使用Sa賬戶,或為其配置一個超級復(fù)雜的密碼
4、刪除以下的擴展存儲過程格式為:
use master sp_dropextendedproc ‘?dāng)U展存儲過程名‘ xp_cmdshell:是進(jìn)入操作系統(tǒng)的最佳捷徑,刪除 訪問注冊表的存儲過程,刪除 Xp_regaddmultistringXp_regdeletekeyXp_regdeletevalueXp_regenumvalues Xp_regread Xp_regwrite Xp_regremovemultistring OLE自動存儲過程,不需要,刪除 Sp_OACreate Sp_OADestroySp_OAGetErrorInfoSp_OAGetProperty Sp_OAMethodSp_OASetPropertySp_OAStop |
5、隱藏 SQL Server、更改默認(rèn)的1433端口。
右擊選屬性-常規(guī)-網(wǎng)絡(luò)配置中選擇TCP/IP協(xié)議的屬性,選擇隱藏 SQL Server 實例,并改原默認(rèn)的1433端口。
serv-u的幾點常規(guī)安全需要設(shè)置下:
選中"Block "FTP_bounce"attack and
FXP"。什么是FXP呢?通常,當(dāng)使用FTP協(xié)議進(jìn)行文件傳輸時,客戶端首先向FTP服務(wù)器發(fā)出一個"PORT"命令,該命令中包含此用戶的IP地址和
將被用來進(jìn)行數(shù)據(jù)傳輸?shù)亩丝谔枺?wù)器收到后,利用命令所提供的用戶地址信息建立與用戶的連接。大多數(shù)情況下,上述過程不會出現(xiàn)任何問題,但當(dāng)客戶端是一
名惡意用戶時,可能會通過在PORT命令中加入特定的地址信息,使FTP服務(wù)器與其它非客戶端的機器建立連接。雖然這名惡意用戶可能本身無權(quán)直接訪問某一
特定機器,但是如果FTP服務(wù)器有權(quán)訪問該機器的話,那么惡意用戶就可以通過FTP服務(wù)器作為中介,仍然能夠最終實現(xiàn)與目標(biāo)
七、IIS安全設(shè)置
IIS的安全:
1、不使用默認(rèn)的Web站點,如果使用也要將IIS目錄與系統(tǒng)磁盤分開。
2、刪除IIS默認(rèn)創(chuàng)建的Inetpub目錄(在安裝系統(tǒng)的盤上)。
3、刪除系統(tǒng)盤下的虛擬目錄,如:_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。
4、刪除不必要的IIS擴展名映射。
右鍵單擊“默認(rèn)Web站點→屬性→主目錄→配置”,打開應(yīng)用程序窗口,去掉不必要的應(yīng)用程序映射。主要為.shtml、.shtm、 .stm。
5、更改IIS日志的路徑
右鍵單擊“默認(rèn)Web站點→屬性-網(wǎng)站-在啟用日志記錄下點擊屬性
6、如果使用的是2000可以使用iislockdown來保護IIS,在2003運行的IE6.0的版本不需要。
八、其它
1、系統(tǒng)升級、打操作系統(tǒng)補丁,尤其是IIS 6.0補丁、SQL SP3a補丁,甚至IE 6.0補丁也要打。同時及時跟蹤最新漏洞補丁;
2、停掉Guest 賬號、并給guest 加一個異常復(fù)雜的密碼,把Administrator改名或偽裝!
3、隱藏重要文件/目錄
可以修改注冊表實現(xiàn)完全隱藏:
“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsCurrent-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL”,鼠標(biāo)右擊 “CheckedValue”,選擇修改,把數(shù)值由1改為0。
4、啟動系統(tǒng)自帶的Internet連接防火墻,在設(shè)置服務(wù)選項中勾選Web服務(wù)器。
5、防止SYN洪水攻擊。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值,名為SynAttackProtect,值為2
6. 禁止響應(yīng)ICMP路由通告報文
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet\ Services\Tcpip\Parameters\Interfaces\interface
新建DWORD值,名為PerformRouterDiscovery 值為0。
7. 防止ICMP重定向報文的攻擊
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
將EnableICMPRedirects 值設(shè)為0
8. 不支持IGMP協(xié)議
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值,名為IGMPLevel 值為0。
9、禁用DCOM:
運行中輸入Dcomcnfg.exe?;剀嚕瑔螕?#8220;控制臺根節(jié)點”下的“組件服務(wù)”。 打開“計算機”子文件夾。
對于本地計算機,請以右鍵單擊“我的電腦”,然后選擇“屬性”。選擇“默認(rèn)屬性”選項卡。
清除“在這臺計算機上啟用分布式 COM”復(fù)選框。
最后,建議用戶在配置每一步時,需要進(jìn)行相關(guān)的測試,避免意外的發(fā)生。
聯(lián)系客服