windows server2003安全设置总结.docxVIP

Win2003网站服务器的安全配置系统权限设置磁盘权限系统盘赋给administrators 和system用户组权限，删除其他用户组，其它盘也可以同样设置。2、Windows目录要加上给users的默认权限，否则ASP和ASPX等应用程序就无法运行。3、系统盘\Documents and Settings 目录只给 Administrators 组和 SYSTEM 的完全控制权限4、系统盘\Documents and Settings\All Users 目录只给 Administrators 组和 SYSTEM 的完全控制权限5、系统盘\Windows\System32\cacls.exe、cmd.exe、net.exe、net1.exe、ftp.exe、tftp.exe、telnet.exe 、?netstat.exe、regedit.exe、at.exe、attrib.exe、、del文件只给 Administrators 组和SYSTEM 的完全控制权限6、如果安装了其他运行环境，比如PHP等，则根据PHP的环境功能要求来设置硬盘权限，一般是安装目录加上users读取运行权限就足够了，比如c:\php的话，就在根目录权限继承的情况下加上users读取运行权限，需要写入数据的比如tmp文件夹，则把users的写删权限加上，运行权限不要，然后把虚拟主机用户的读权限拒绝即可7、删除c:\inetpub目录，删除C:\WINDOWS\Web\printers目录，此目录的存在会造成IIS里加入一个.printers的扩展名，可溢出攻击，删除iisadmpwd目录，该文件夹内文件是用来更改密码之类的脚本，在作服务器的情况下，该文件夹不应该还存在，将其删除。注意，删除改文件夹的时候需要关闭IIS。本地安全策略设置开始菜单—运行输入gpedit.msc依次展开计算机配置—windows 设置—安全设置　　A、本地策略——审核策略　　审核策略更改　　　成功　失败　　　　审核登录事件　　　成功　失败　　审核对象访问　　　　　　失败　　审核过程跟踪　　　无审核　　审核目录服务访问　　　　失败　　审核特权使用　　　　　　失败　　审核系统事件　　　成功　失败　　审核账户登录事件　成功　失败　　审核账户管理　　　成功　失败　　B、本地策略——用户权限分配　　关闭系统：只有Administrators组、其它全部删除。　　通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除　　C、本地策略——安全选项　　交互式登陆：不显示上次的用户名　　　　　　　启用　　网络访问：不允许SAM帐户和共享的匿名枚举　启用　　网络访问：不允许为网络身份验证储存凭证　　　启用　　网络访问：可匿名访问的共享　　　　　　　　　全部删除　　网络访问：可匿名访问的命名管道　　　　　　　全部删除　　网络访问：可远程访问的注册表路径　　　　　　全部删除　　网络访问：可远程访问的注册表路径和子路径　　全部删除　　帐户：重命名来宾帐户　　　　　　　　　　　　重命名一个帐户（可选）　　帐户：重命名系统管理员帐户　　　　　　　　　重命名一个帐户（可选）D、账户策略--账户锁定策略将账户设为“5次登陆无效”，“锁定时间为30分钟”，“复位锁定计数设为30分钟（注：可根据实际情况设定时间限定）禁用不必要的服务（注：可根据实际的情况进行操作）开始-运行-services.mscTCP/IPNetBIOS Helper提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享文件、打印和登录到网络Server支持此计算机通过网络的文件、打印、和命名管道共享Computer Browser 维护网络上计算机的最新列表以及提供这个列表Task scheduler 允许程序在指定时间运行Messenger 传输客户端和服务器之间的 NET SEND 和警报器服务消息Distributed File System: 局域网管理共享文件，不需要可禁用Distributed linktracking client：用于局域网更新连接信息，不需要可禁用Error reporting service：禁止发送错误报告Microsoft Serch：提供快速的单词搜索，不需要可禁用NTLMSecuritysupportprovide：telnet服务和Microsoft Serch用的，不需要可禁用PrintSpooler：如果没有打印机可禁用Remote Registry：禁止远程修改注册表Remote Desktop Help Session Manager：禁止远程协助Workstation