固若金湯 Windows 2003服務(wù)器加固方案

1、因?yàn)镮IS(即Internet Information Server)的方便性和易用性，使它成為最受歡迎的Web服務(wù)器軟件之一。但是，IIS的安全性卻一直令人擔(dān)憂。如何利用IIS建立一個(gè)安全的Web服務(wù)器，是很多人關(guān)心的話題。要?jiǎng)?chuàng)建一個(gè)安全可靠的Web服務(wù)器，必須要實(shí)現(xiàn)Windows 2003和IIS的雙重安全，因?yàn)镮IS的用戶同時(shí)也是Windows 2003的用戶，并且IIS目錄的權(quán)限依賴Windows的NTFS文件系統(tǒng)的權(quán)限控制，所以保護(hù)IIS安全的第一步就是確保Windows 2000操作系統(tǒng)的安全，所以要對(duì)服務(wù)器進(jìn)行安全加固，以免遭到黑客的攻擊，造成嚴(yán)重的后果。 二我們通過一下幾個(gè)方面

2、對(duì)您的系統(tǒng)進(jìn)行安全加固： 1 系統(tǒng)的安全加固：我們通過配置目錄權(quán)限，系統(tǒng)安全策略，協(xié)議棧加強(qiáng)，系統(tǒng)服務(wù)和訪問控制加固您的系統(tǒng)，整體提高服務(wù)器的安全性。 2 IIS手工加固：手工加固iis可以有效的提高iweb站點(diǎn)的安全性，合理分配用戶權(quán)限，配置相應(yīng)的安全策略，有效的防止iis用戶溢出提權(quán)。 3 系統(tǒng)應(yīng)用程序加固，提供應(yīng)用程序的安全性，例如sql的安全配置以及服務(wù)器應(yīng)用軟件的安全加固。 三系統(tǒng)的安全加固： 1目錄權(quán)限的配置： 1.1 除系統(tǒng)所在分區(qū)之外的所有分區(qū)都賦予Administrators和SYSTEM有完全控制權(quán)，之后再對(duì)其下的子目錄作單獨(dú)的目錄權(quán)限，如果WEB站點(diǎn)目錄，你要為其目錄權(quán)限

3、分配一個(gè)與之對(duì)應(yīng)的匿名訪問帳號(hào)并賦予它有修改權(quán)限，如果想使網(wǎng)站更加堅(jiān)固，可以分配只讀權(quán)限并對(duì)特殊的目錄作可寫權(quán)限。 1.2 系統(tǒng)所在分區(qū)下的根目錄都要設(shè)置為不繼承父權(quán)限，之后為該分區(qū)只賦予Administrators和SYSTEM有完全控制權(quán)。 1.3 因?yàn)榉?wù)器只有管理員有本地登錄權(quán)限，所在要配置Documents and Settings這個(gè)目錄權(quán)限只保留Administrators和SYSTEM有完全控制權(quán)，其下的子目錄同樣。另外還有一個(gè)隱藏目錄也需要同樣操作。因?yàn)槿绻惆惭b有PCAnyWhere那么他的的配置信息都保存在其下，使用webshell或FSO可以輕松的調(diào)取這個(gè)配置文件。 1

4、.4 配置Program files目錄，為Common Files目錄之外的所有目錄賦予Administrators和SYSTEM有完全控制權(quán)。 1.5 配置Windows目錄，其實(shí)這一塊主要是根據(jù)自身的情況如果使用默認(rèn)的安全設(shè)置也是可行的，不過還是應(yīng)該進(jìn)入SYSTEM32目錄下，將 cmd.exe、ftp.exe、net.exe、scrrun.dll、shell.dll這些殺手锏程序賦予匿名帳號(hào)拒絕訪問。 16審核MetBase.bin，C:WINNTsystem32inetsrv目錄只有administrator只允許Administrator用戶讀寫。 2組策略配置: 在用戶權(quán)利指派下

5、，從通過網(wǎng)絡(luò)訪問此計(jì)算機(jī)中刪除Power Users和Backup Operators； 啟用不允許匿名訪問SAM帳號(hào)和共享； 啟用不允許為網(wǎng)絡(luò)驗(yàn)證存儲(chǔ)憑據(jù)或Passport； 從文件共享中刪除允許匿名登錄的DFS$和COMCFG； 啟用交互登錄：不顯示上次的用戶名； 啟用在下一次密碼變更時(shí)不存儲(chǔ)LANMAN哈希值； 禁止IIS匿名用戶在本地登錄； 3.本地安全策略設(shè)置: 開始菜單管理工具本地安全策略 A、本地策略審核策略 審核策略更改成功失敗 審核登錄事件成功失敗 審核對(duì)象訪問失敗 審核過程跟蹤無審核 審核目錄服務(wù)訪問失敗 審核特權(quán)使用失敗 審核系統(tǒng)事件成功失敗 審核賬戶登錄事件成功失敗 審核賬戶管理成功失敗 注：在設(shè)置審核登陸事件時(shí)選擇記失敗，這樣在事件查看器里的安全日志就會(huì)記錄登陸失敗的信息。 B、本地策略用戶權(quán)限分配 關(guān)閉系統(tǒng)：只有Administrators組、其它全部刪除。 通過終端服務(wù)拒絕登陸：加入Guests、User組 通過終端服務(wù)允許登陸：只加入Administrators組，其他全部刪除 C、本地策略安全選項(xiàng) 交互式登陸：不顯示上次的用戶名啟用 網(wǎng)絡(luò)訪問：不允許SAM帳戶和共享的匿名枚舉啟用 網(wǎng)絡(luò)訪問：不允許為網(wǎng)絡(luò)身份驗(yàn)證儲(chǔ)存憑證啟用 網(wǎng)絡(luò)訪問：可匿名訪問的共享全部刪除 網(wǎng)絡(luò)訪問：可匿名訪