Win2003网站服务器的安全配置一.pdfVIP

经测试，本配置在 Win2003 + IIS6.0 + Serv-U + SQL Server 的单服务器多网站中一切正常。 以下配置中打勾的为推荐进行配置，打叉的为可选配置。 一、系统权限的设置 1、磁盘权限 系统盘只给 Administrators 组和 SYSTEM 的完全控制权限 其他磁盘只给 Administrators 组完全控制权限 系统盘\Documents and Settings 目录只给 Administrators 组和 SYSTEM 的完全控制权限 系统盘\Documents and Settings\All Users 目录只给 Administrators 组和 SYSTEM 的完全控 制权限 系统盘\windows\system32\config\ 禁止 guests 组 系统盘\Documents and Settings\All Users\ 「开始」菜单\程序\ 禁止 guests 组 系统盘\windowns\system32\inetsrv\data\ 禁止 guests 组 系统盘\Windows\System32\ at.exe 、attrib.exe、cacls.exe、net.exe、net1.exe、netstat.exe、 regedit.exe 文件只给 Administrators 组和 SYSTEM 的完全控制权限 系统盘\Windows\System32\ cmd.exe 、 仅 Administrators 组完全控制权限 把所有（Windows\system32 和 Windows\ServicePackFiles\i386 ） 更名为 format_ 2、本地安全策略设置 开始菜单-管理工具-本地安全策略 A 、本地策略--审核策略 审核策略更改 成功 失败 审核登录事件 成功 失败 审核对象访问失败 审核过程跟踪 无审核 审核目录服务访问失败 审核特权使用失败 审核系统事件 成功 失败 审核账户登录事件 成功 失败 审核账户管理 成功 失败 B、本地策略--用户权限分配 关闭系统：只有 Administrators 组、其它全部删除。 通过终端服务拒绝登陆：加入 Guests 组 通过终端服务允许登陆：加入 Administrators 、Remote Desktop Users 组，其他全部删除 C、本地策略--安全选项 交互式登陆：不显示上次的用户名 启用 网络访问：不允许SAM 帐户和共享的匿名枚举 启用 网络访问：不允许为网络身份验证储存凭证 启用 网络访问：可匿名访问的共享 全部删除 网络访问：可匿名访问的命全部删除 网络访问：可远程访问的注册表路径全部删除 网络访问：可远程访问的注册表路径和子路径全部删除 帐户：重命名来宾帐户重命名一个帐户 帐户：重命名系统管理员帐户 重命名一个帐户 D、账户策略--账户锁定策略 将账户设为“5 次登陆无效”，“锁定时间为 30 分钟”，“复位锁定计数设为 30 分钟” 二、其他配置 √·把 Administrator 账户更改 管理工具→本地安全策略→本地策略→安全选项 √·新建一无任何权限的假 Administrator 账户 管理工具→计算机管理→系统工具→本地用户和组→用户 更改描述：管理计算机(域)的内置帐户 ×·重命名 IIS 来宾账户 1、管理工具→计算机管理→系统工具→本地用户和组→用户→重命名 IUSR_ComputerName 2、打开 IIS 管理器→本地计算机→属性→允许直接编辑配置数据库 3、进入Windows\system32\inetsrv 文件夹→MetaBase.xml→右键编辑→找到 AnonymousUserName→写入IUSR_新名称→保存 4 、关闭允许直接编辑配置数据库 √·禁止文件共享 本地连接属性→去掉Microsoft 网络的文件和打印共享和Microsoft 网络客户端前面的√ √·禁止 NetBIOS （关闭139 端口） 本地连接属性→TCP/IP 属性→高级→WINS→禁用 TCP/IP 上的 NetBIOS 管理工具→计算机管理→设备管理器→查看→显示隐藏的设备→非即插即用驱动程序→禁用 NetBios over tcpip→重启 √·防火墙的设置 本地连接属性→高级→Windows 防火墙设置→高级→第一个设置，勾选 FTP、HTTP、远程桌 面服务 √·禁止 ADMIN$缺省共享、磁盘默认共享、