win2k3新系統(tǒng)的比較全面安全設(shè)置超詳細(xì)版
2020-07-10 20:44:46
供稿：網(wǎng)友
首先從以下幾個(gè)方面入手
1、新系統(tǒng)安裝后，先進(jìn)行全面的windows updata 打全所有官方公布的補(bǔ)丁程序。(很關(guān)鍵的步驟，不能省略)
2、系統(tǒng)服務(wù)中的各項(xiàng)服務(wù)進(jìn)行優(yōu)化和篩選。(看操作把，我已經(jīng)設(shè)置過了，我會(huì)告訴的)
Computer Browser此服務(wù)最好關(guān)閉，防止局域網(wǎng)之間的瀏覽
Messenger沒用的服務(wù)，自然是停止了
Print Spooler沒用的服務(wù)，自然是停止了
Remote Procedure Call (RPC) 此服務(wù)可不能停，要把恢復(fù)項(xiàng)中的失敗全部設(shè)置為不操作
Remote Registry此項(xiàng)服務(wù)可以遠(yuǎn)程操作本地注冊表，自然僅用了
Server此項(xiàng)沒有，自然禁用了
TCP/IP NetBIOS Helper此項(xiàng)服務(wù)也是沒用了，禁用。
Telnet 終端，不用說了禁用。
Terminal Services 遠(yuǎn)程訪問控制（3389端口），根據(jù)情況開啟
Windows Firewall/Internet Connection Sharing (ICS)此項(xiàng)為系統(tǒng)自帶的防火墻，根據(jù)情況最好開啟
Windows Time此項(xiàng)沒有，自然禁用了
Windows User Mode Driver Framework此項(xiàng)沒有，自然禁用了
WinHTTP Web Proxy Auto-Discovery Service 此項(xiàng)沒有，自然禁用了
Wireless Configuration此項(xiàng)沒有，自然禁用了
Workstation此項(xiàng)最好關(guān)閉
主要項(xiàng)關(guān)閉后，系統(tǒng)的常規(guī)共享、IPC$等等都關(guān)閉了，還有網(wǎng)卡的設(shè)置，看wins中選擇禁用，這是最好了同時(shí)也關(guān)閉了137/138端口
3、本地安全策略進(jìn)行端口和ICMP設(shè)置（關(guān)閉常用端口及防止PING攻擊）操作此項(xiàng)根據(jù)個(gè)人的習(xí)慣，最好進(jìn)行處理
重新設(shè)置一下，首先禁用ICMP，即PING
這樣就設(shè)置好了icmp，如果希望通過指定IP地址來登陸3389如何設(shè)置那，看操作，這里以本機(jī)IP地址為例192.168.210.252這樣就設(shè)置好了
還可以關(guān)閉常用的端口，操作例關(guān)閉1000-1080端口這樣就好了，最后選擇指派，就生效了
4、TCP/IP 篩選(這個(gè)也是對網(wǎng)卡進(jìn)行操作，可以選擇)
5、IIS設(shè)置(略，如果希望講解，TCP端口可以設(shè)置常用的開放端口，UDP可以全部不開放，如果提供DNS服務(wù)，開放53端口就行了)，還要對本地計(jì)算機(jī)的組策略進(jìn)行設(shè)置 gpedit.msc，計(jì)算機(jī)配置中的帳戶策略，密碼策略，密碼最小長度最好超過8位以上，以后就算被入侵了，不知道密碼的最小長度，也沒有辦法添加用戶，帳戶鎖定策略 鎖定闞值必須設(shè)置，最好2次不要超過3次，鎖定時(shí)間自定，本地策略，根據(jù)自己本身情況設(shè)置，其他的根據(jù)自己的情況酌量而行
下面的內(nèi)容還是要酌量而行，如果權(quán)限設(shè)置的過于BT有可能要出問題，所以看情況
6、常用命令及控件的權(quán)限分配(CMD.EXE/NET.EXE/NET1.EXE/SHELL32.DLL/wshom.ocx/ftp.EXE/tftp.EXE/cacls.EXE/NETSTAT.EXE/wshext.dll/scrrun.DLL)
這些命令或組件都是危險(xiǎn)的東西，根據(jù)自己的實(shí)際環(huán)境，不必要?jiǎng)h除或卸載，可以把它們的users組權(quán)限取消，同時(shí)對C盤的主要目錄進(jìn)行權(quán)限分配
下面以CMD.EXE為例，大家看到了沒有users組，我已經(jīng)刪掉了，下面是常用的反注冊危險(xiǎn)組件的方法
卸載Wscript.Network對象，在cmd下或直接運(yùn)行：regsvr32 /u c:/windows/system32/WSHom.ocx
WScript.Shell: regsvr32/u wshext.dll
Shell.Application: regsvr32.exe/u shell32.dll
卸載FSO對象,在cmd下或直接運(yùn)行：regsvr32.exe /u c:/windows/system32/scrrun.dll
卸載stream對象,在cmd下或直接運(yùn)行： regsvr32 /s /u "C:/Program Files/Common Files/System/ado/msado15.dll"
下面是對硬盤的安全設(shè)置
，我就不操作了，權(quán)限都有了，也可以根據(jù)情況對 windows/program files/serv-u目錄進(jìn)行設(shè)置也可以。
Windows 2003 硬盤安全設(shè)置
c:/
administrators 全部
system 全部
iis_wpg 只有該文件夾
列出文件夾/讀數(shù)據(jù)
讀屬性
讀擴(kuò)展屬性
讀取權(quán)限
c:/inetpub/mailroot
administrators 全部
system 全部
service 全部
c:/inetpub/ftproot
everyone 只讀和運(yùn)行
c:/windows
administrators 全部
Creator owner
不是繼承的
只有子文件夾及文件
完全
Power Users
修改，讀取和運(yùn)行，列出文件夾目錄，讀取，寫入
system 全部
IIS_WPG 讀取和運(yùn)行，列出文件夾目錄，讀取
Users 讀取和運(yùn)行(此權(quán)限最后調(diào)整完成后可以取消)
C:/WINDOWS/Microsoft.Net
administrators 全部
Creator owner
不是繼承的
只有子文件夾及文件
完全
Power Users
修改，讀取和運(yùn)行，列出文件夾目錄，讀取，寫入
system 全部
Users 讀取和運(yùn)行，列出文件夾目錄，讀取
'www.knowsky.com
C:/WINDOWS/Microsoft.Net
administrators 全部
Creator owner
不是繼承的
只有子文件夾及文件
完全
Power Users
修改，讀取和運(yùn)行，列出文件夾目錄，讀取，寫入
system 全部
Users 讀取和運(yùn)行，列出文件夾目錄，讀取
C:/WINDOWS/Microsoft.Net/temporary ASP.NET Files
administrators 全部
Creator owner
不是繼承的
只有子文件夾及文件
完全
Power Users
修改，讀取和運(yùn)行，列出文件夾目錄，讀取，寫入
system 全部
Users 全部
c:/Program Files
Everyone 只有該文件夾
不是繼承的
列出文件夾/讀數(shù)據(jù)
administrators 全部
iis_wpg 只有該文件夾
列出文件/讀數(shù)據(jù)
讀屬性
讀擴(kuò)展屬性
讀取權(quán)限
c:/windows/temp
Administrator 全部權(quán)限
System全部權(quán)限
users 全部權(quán)限
c:/Program Files/Common Files
administrators 全部
Creator owner
不是繼承的
只有子文件夾及文件
完全
Power Users
修改，讀取和運(yùn)行，列出文件夾目錄，讀取，寫入
system 全部
TERMINAL SERVER Users(如果有這個(gè)用戶)
修改，讀取和運(yùn)行，列出文件夾目錄，讀取，寫入
Users 讀取和運(yùn)行，列出文件夾目錄，讀取
c:/Program Files/Dimac(如果有這個(gè)目錄)
Everyone 讀取和運(yùn)行，列出文件夾目錄，讀取
administrators 全部
c:/Program Files/ComPlus Applications (如果有)
administrators 全部
c:/Program Files/GflSDK (如果有)
administrators 全部
Creator owner
不是繼承的
只有子文件夾及文件
完全
Power Users
修改，讀取和運(yùn)行，列出文件夾目錄，讀取，寫入
system 全部
TERMINAL SERVER Users
修改，讀取和運(yùn)行，列出文件夾目錄，讀取，寫入
Users 讀取和運(yùn)行，列出文件夾目錄，讀取
Everyone 讀取和運(yùn)行，列出文件夾目錄，讀取
c:/Program Files/InstallShield Installation Information (如果有)
c:/Program Files/Internet Explorer (如果有)
c:/Program Files/NetMeeting (如果有)
administrators 全部
c:/Program Files/WindowsUpdate
Creator owner
不是繼承的
只有子文件夾及文件
完全
administrators 全部
Power Users
修改，讀取和運(yùn)行，列出文件夾目錄，讀取，寫入
system 全部
c:/Program Files/Microsoft SQL(如果SQL安裝在這個(gè)目錄)
administrators 全部
Service 全部
system 全部
d:/ (如果用戶網(wǎng)站內(nèi)容放置在這個(gè)分區(qū)中)
administrators 全部權(quán)限
d:/FreeHost (如果此目錄用來放置用戶網(wǎng)站內(nèi)容)
administrators 全部權(quán)限
SERVICE 讀取與運(yùn)行
經(jīng)過以上的設(shè)置后，我相信服務(wù)器的安全會(huì)很大的提高了，就算有漏洞服務(wù)器上傳了ASP或其他的木馬，也沒有運(yùn)行的機(jī)會(huì)了。好了，
希望本教學(xué)會(huì)對大家有所幫助，謝謝了。
這里不能上傳附件，需要全程錄像可以聯(lián)系我，不知道發(fā)我的論壇地址會(huì)不會(huì)被算做AD，我的QQ：908166
