構建windows服務器的安全防護林

1、1 / 9構建Windows 2000服務器的安全防護林中小學校的校園網普遍應用Windows 2000作為服務器的操 作系統(tǒng)，但有些學校剛開始運行就遭到網絡黑客的攻擊，造成網絡 崩潰。那么，安全問題如何解決？事實上不需要任何的軟硬件的介 入，僅靠系統(tǒng)本身我們就能構建一個安全防護林。設置禁用，構建第一道防線在安裝完Windows 2000后，首先要裝上最新的系統(tǒng)補丁。但即使裝上了，在因特網上的任何一臺機器上只要輸入“你的IP地址c$”，然后輸入用戶名Guest，密碼空，就能進入你的C盤， 你依舊完全暴 露了。解決的方 法是禁用Guest賬號， 為Administrator設置一個安全的密碼，將

2、各驅動器的共享設為不共 享。同時你還要關閉不需要的服務。你能夠在治理工具的服務中將 它們設置為禁用，但要提醒的是一定要慎重， 有的服務是不能禁用 的。 一般能夠禁用的服務有Telnet、Task Scheduler（同意程序在指 定時刻運行）、Remote Registry Service（同意遠程注冊表操作）等。 這是你構建的服務器的第一道防線。設置IIS，構建第二道防線作為校園網的服務器， 專門多學校將該服務器同時作為網站服 務器， 而IIS2 / 9的漏洞也是一個棘手的問題。實際上，你能夠通過簡 單的設置，完全能夠將網站的漏洞補上。你能夠將IIS默認的服務 都停止（如圖1, FTP服務你

3、是不需要的，要的話推舉用Serv-U; “治 理Web站點”和“默認Web站點”都會給你帶來苦惱；SMTP-般也不用），然后再新建一個Web站點。圖1設置好常規(guī)內容后，在“屬性-主目錄”的配置中對應用程序 映射進行設置， 刪除不需要的映射（如圖2），這些映射是IIS受到攻 擊的直接緣故。假如你需要CGI和PHP的話，可參閱一些資料進行 設置。3 / 9圖2如此，配合常規(guī)設置，你的IIS就能夠安全運行了，你的服務 器就有了第二道防線。運用掃描程序，堵住安全漏洞要做到全面解決安全問題，你需要掃描程序的關心。推舉使用X-Sean（如圖3），它能夠關心你檢測服務器的安全問題。圖3掃描完成后，你要看一下

4、，是否存在口令漏洞，若有，則立即 要修改口令設置；再看一下是否存在IIS漏洞，若有，請檢查IIS的設置。其他漏洞一般專門少存在，要提醒大伙兒的是注意開放的 端口，你能夠將掃描到的端口記錄下來，以方便進行下一步設置。4 / 9封鎖端口，全面構建防線 黑客大多通過端口進行入侵，因此你的服務器只能開放你需要 的端口，那么你需要哪些端口呢？以下是常用端口，你可依照需要 取舍：80為Web網站服務；21為FTP服務；25為E-mail SMTP服務;110為Email POP3服務。其他還有SQL Server的端口1433等，你可到網上查找相關資5 / 9料。那些不用的端口一定要關閉！關閉這些端口，我

5、們能夠通過Windows 2000的安全策略進行。 借助它的安全策略，完全能夠阻止入侵者的攻擊。你能夠通過“治理工具f本地安全策略”進入， 右擊“IP安全策略”，選擇“創(chuàng) 建IP安全策略”，點下一步。輸入安全策略的名稱，點下一步, 一直到完成，你就創(chuàng)建了一個安全策略（如圖4）：圖4接著你要做的是右擊“IP安全策略”， 進入治理IP篩選器和篩 選器操作，在治理IP篩選器列表中，你能夠添加要封鎖的端口，那 個地點以關閉ICMP和139端口為例講明。關閉了ICMP黑客軟件假如沒有強制掃描功能就不能掃描到你 的機器，6 / 9也Ping不到你的機器。關閉ICMP的具體操作如下：點添 加，然后在名稱中輸

6、入“關閉ICMP，點右邊的添加，再點下 一步。在源地址中選“任何IP地址”，點下一步。在目標地址 中選擇“我的IP地址”，點下一步。在協(xié)議中選擇“ICMP，點下一步。回到關閉ICMP屬性窗口，即關閉了ICMP.下面我們再設置關閉139，同樣在治理IP篩選器列表中點“添 加”，名稱設置為“關閉139”，點右邊的“添加”，點下一步。 在源地址中選擇“任何IP地址”，點下一步。在目標地址中選擇 “我的IP地址”，點下一步。在協(xié)議中選擇“TCP，點下一步。 在設置IP協(xié)議端口中選擇從任意端口到此端口，在此端口中輸入139，點下一步。即完成關閉139端口，其他的端口也同樣設置，結 果如圖5。特不指出的是

7、關閉UDP4000能夠禁止校園網中的機器使用QQ7 / 9圖5然后進入設置治理篩選器操作，點“添加”，點下一步，在名 稱中輸入“拒絕”，點下一步。選擇“阻止”，點下一步。 如圖6。圖6結果8 / 9然后關閉該屬性頁，右擊新建的IP安全策略“安全”，打開屬性頁。在規(guī)則中選擇“添加”，點下一步。選擇“此規(guī)則不指定 隧道”，點下一步。在選擇網絡類型中選擇“所有網絡連接”，點 下一步。在IP篩選器列表中選擇“關閉ICMP，點下一步。在篩 選器操作中選擇“拒絕”，點下一步。如此你就將“關閉ICMP的篩選器加入到名為“安全”的IP安全策略中。同樣的方法，你能夠 將“關閉139”等其他篩選器加入進來。添加后的結果如圖7。最后要做的