Windows 2000 server的安全设置.docVIP

Windows 2000 server的安全设置 一、基本的安全设定 （1）文件系统的设定 windows2000server 支持多种文件系统，最安全的要数NTFS文件系统，如果你的windows2000server要用作服务器，最好将所有的分区都格式化为NTFS文件系统，fat32是不能用的 （2）补丁（pack) 微软的作风就是三天一小补，五天一大补，漏洞太多，补一点就好一点，使用“开始-Windows Update 然后把所有的补丁都装进去,目前windows2000已经到sp4了，这个大补丁一定要装的，安装sp4后再到网络上升级，将微软提供的各种重要系统安全更新全部都升级，不要怕麻烦，这是防病毒和黑客攻击的非常重要安全设置步骤。 （3）帐号安全 帐号是windows2000server的重要的安全保证，要注意区分一些工作组的权限： administrators是系统管理员组，administrator是系统默认的管理帐号，administrator最好设置一个复杂的密码，复杂到什么程度呢？简单的说，自己都要记不住这个密码，这个密码可以是字符、数字、符号、大小写的组合（如：AGgF!452KhtUN)，密码不要让别人猜得到，不要用自己得电话号码啦之类的东西，最好在笔记本上将密码设定好后再设置，设好密码后妥善保管记录密码的笔记本，每隔一段时间更改自己的密码 guest帐号最好禁止使用，如果没有必要，不要添加其他的系统管理员帐号 2.删除默认共享 　 2.1删除IPC$共享 Win2k的缺省安装很容易被攻击者取得帐号列表，即使安装了最新的Service ack也是如此。在Win2k中有一个缺省共享IPC$，并且还有诸如admin$ C$ D$等等,而IPC$允许匿名用户（即未经登录的用户）访问，利用这个缺省共享可以取得用户列表。如何防范这东东，很简单在管理工具\本地安全策略\安全设置\本地策略\安全选项中的对匿名连接的额外限制可修改为不允许枚举SAM帐号和共享。就可以防止大部分此类连接，但是还没完，如果使用NetHacker只要使用一个存在的帐号就又可以顺利取得所有的帐号名称。所以，我们还需要另一种方法做后盾， (1)：创建一个文件startup.cmd，内容就是以下的一行命令net share ipc$ delete(不包括引号) (2)：在Windows的计划任务中增加一项任务执行以上的startup.cmd，时间安排为计算机启动时执行。或者把这个文件放到开始-程序-启动中　让他一启动就删除ipc$共享 (3)：重新启动服务器。 　 2.2删除admin$共享 修改注册表: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters增加AutoShareWks子键（REG_DWORD），键值为0 　 2.3清除默认磁盘共享(C$,D$等) 修改注册表:　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 ：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters增加AutoShareServer子键（REG_DWORD），键值为0 　 3.修改默认用户名 管理工具\本地安全策略\安全设置\本地策略\安全选项中重命名来宾帐户就是把guest改个名字而已，改成abc或者其他名字，下面机器登陆名字也设为abc或其他的名字，然后再把重命名系统管理员帐户也改一下，有一次我闲着无聊，用小榕的流光随便扫了一下我的IP段，就发现有N家网吧服务器的管理员名称是默认的Administrator,并且是简单密码。如果有人想搞个肉机的话，实在是很简单。 　 至此下来，服务器已经可以很安全稳定的运行下去了，当然别忘了要一两天重启一下你的服务器， （4）关闭不必要的服务 在服务中将一些不常用的服务关闭（比如打印、远程注册表*作，信息发送等不必要的服务） （5）网络协议 如果没有其他的用途，windows2000server只需要安装tcp/ip协议，其他不必要的协议统统删除 （6）如果没必要，IIS一定不要安装（如果需要安装iis，那么看后面的设置） IIS是windows2000server中最不安全的组件，不装IIS，windows2000将是很安全的 (7)默认共享的删除 windows2000server默认的共享有以下几种 c$ d$ e$ ..... IPC$ ADMIN$ 这些默认共享一定要关，否者hk利用简单的Net use命令就可以将你的服务器黑掉