WindowsServer2003Web服务器的十五项安全设置.docVIP

详解Windows Server 2003 Web服务器的十五项安全设置 一、 Windows 2003安全配置 确保所有磁盘分区为NTFS分区、操作系统、Web主目录、日志分别安装在不同的分区 不要安装不需要的协议，比如IPX/SPX, NetBIOS? 不要安装其它任何操作系统 安装所有补丁(用瑞星安全漏洞扫描下载) 关闭所有不需要的服务 　　 　　 二、IIS的安全配置 　　 　　 　　 三、删除Windows Server 2003默认共享 1、首先编写如下内容的批处理文件： @echo off net share C$ /del net share D$ /del net share E$ /del net share F$ /del net share admin$ /del 以 上文件的内容用户可以根据自己需要进行修改。保存为delshare.bat，存放到系统所在文件夹下的 system32GroupPolicyUserScriptsLogon目录下。然后在开始菜单→运行中输入gpedit.msc‘回车即可打开组策略 编辑器。点击用户配置→Windows设置→脚本(登录/注销)→登录在出现的“登录 属性”窗口中单击“添加”，会出现“添加脚本”对话框，在该窗口的“脚本名”栏中输入delshare.bat，然后单击“确定”按钮即可。重新启动计算 机系统，就可以自动将系统所有的隐藏共享文件夹全部取消了，这样就能将系统安全隐患降低到最低限度。 2、禁用IPC连接 IPC$(Internet Process Connection)是共享“命名管道”的资源，它是为了让进程间通信而开放的命名管道，通过提供可信任的用户名和口令，连接双方计算机即可以建立安全 的通道并以此通道进行加密数据的交换，从而实现对远程计算机的访问。它是Windows NT/2000/XP/2003特有的功能，但它有一个特点，即在同一时间内，两个IP之间只允许建立一个连接。NT/2000/XP/2003在提供了 ipc$功能的同时，在初次安装系统时还打开了默认共享，即所有的逻辑共享(c$,d$,e$……)和系统目录winnt或 windows(admin$)共享。所有的这些，微软的初衷都是为了方便管理员的管理，但也为简称为IPC入侵者有意或无意的提供了方便条件，导致了系 统安全性能的降低。在建立IPC的连接中不需要任何黑客工具，在命令行里键入相应的命令就可以了，不过有个前提条件，那就是你需要知道远程主机的用户名和 密码。打开CMD后输入如下命令即可进行连接：net use\ipipc$ password /user:usernqme。我们可以通过修改注册表来禁用IPC连接。打开注册表编辑器。找到如下组建 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa中的restrictanonymous子 键，将其值改为1即可禁用IPC连接。 四、清空远程可访问的注册表路径 大家都知道，Windows 2003操作系统提供了注册表的远程访问功能，只有将远程可访问的注册表路径设置为空，这样才能有效的防止黑客利用扫描器通过远程注册表读取计算机的系统信息及其它信息。 打开组策略编辑器，依次展开“计算机配置→Windows 设置→安全设置→本地策略→安全选项”，在右侧窗口中找到“网络访问：可远程访问的注册表路径”，然后在打开的窗口中，将可远程访问的注册表路径和子路径内容全部设置为空即可。 五、关闭不必要的端口 对 于个人用户来说安装中默认的有些端口确实是没有什么必要的，关掉端口也就是关闭无用的服务。139端口是NetBIOS协议所使用的端口，在安装了 TCP/IP 协议的同时，NetBIOS 也会被作为默认设置安装到系统中。139端口的开放意味着硬盘可能会在网络中共享;网上黑客也可通过NetBIOS知道你的电脑中的一切!在以前的 Windows版本中，只要不安装Microsoft网络的文件和打印共享协议，就可关闭139端口。但在Windows Server 2003中，只这样做是不行的。 如果想彻底关闭139端口，具体步骤如下： 鼠标右键单击“网络邻居”，选择“属性”，进入“网络和拨号连接”，再用鼠标右键单击“本地连接”，选择“属性”，打开“本地连接 属性”页 ，然后去掉“Microsoft网络的文件和打印共享”前面的“√”。接下来选中“Internet协议(TCP/IP)”，单击“属性”→“高 级”→“WINS”，把“禁用TCP/IP上的NetBIOS”选中，即任务完成。对于个人用户来说，可以在各项服务属性设置中设为“禁用”，以免下次重 启服务也重新启动，端口也开放了。 假如你的电脑中