windows2003服务器安全配置实战(经过验证).doc

最小的权限,请根据需要设置 A. NTFS系统权限设置 在使用之前将每个硬盘根加上 Administrators 用户为全部权限(可选加入SYSTEM用户)删除其它用户. B. 进入系统盘:权限如下 C:\WINDOWS Administrators SYSTEM用户全部权限 Users 用户默认权限不作修改. 其它目录删除Everyone用户，注意以下文件夹保留Everyone用户,C:\Documents and Settings下All Users\Default User目录及其子目录如C:\Documents and Settings\All Users\Application Data 目录默认配置保留了Everyone用户权限,C:\WINDOWS\PCHealth、C:\windows\Installer也是保留了Everyone权限. 删除C:\WINDOWS\Web\printers目录，此目录的存在会造成IIS里加入一个.printers的扩展名，可溢出攻击. 默认IIS错误页面已基本上没多少人使用了。建议删除C:\WINDOWS\Help\iisHelp目录. 删除C:\WINDOWS\system32\inetsrv\iisadmpwd，此目录为管理IIS密码之用，如一些因密码不同步造成500,这里可以删掉,下面设置将会杜绝因系统问题. C, 打开C:\Windows 搜索(可以不做) net.exe cmd.exe tftp.exe netstat.exe regedit.exe at.exe attrib.exe cacls.exe regsvr32.exe xcopy.exe wscript.exe cscript.exe ftp.exe telnet.exe arp.exe edlin.exe ping.exe route.exe finger.exe posix.exe rsh.exe atsvc.exe qbasic.exe runonce.exe syskey.exe 修改权限，删除所有的用户只保存Administrators 和SYSTEM为所有权限 D. 关闭445端口 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\netBT\Parameters 新建 “DWORD值”值名为 “SMBDeviceEnabled” 数据为默认值“0” 禁止建立空连接 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa 新建 “DWORD值”值名为 “RestrictAnonymous” 数据值为“1” [2003默认为1] 禁止系统自动启动服务器共享 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters 新建 “DWORD值”值名为 “AutoShareServer” 数据值为“0” 禁止系统自动启动管理共享 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters 新建 “DWORD值”值名为 “AutoShareWks” 数据值为“0” 禁止dump file的产生 dump文件在系统崩溃和蓝屏的时候是一份很有用的查找问题的资料。然而，它也能够给黑客提供一些敏感信息比如一些应用程序的密码等。 控制面板系统属性高级启动和故障恢复把 写入调试信息 改成无。 E. 本地安全策略配置 开始 程序 管理工具 本地安全策略 账户策略 密码策略 密码最短使用期限 改成0天[即密码不过期，上面我讲到不会造成IIS密码不同步] 账户策略 账户锁定策略 账户锁定阈值 5 次 账户锁定时间 10分钟 [个人推荐配置] 本地策略 审核策略 账户管理 成功 失败 登录事件 成功 失败 对象访问 失败 策略更改 成功 失败 特权使用 失败 系统事件 成功 失败 目录服务访问 失败 账户登录事件 成功 失败 本地策略 安全选项 清除虚拟内存页面文件 更改为已启用 不显示上次的用户名 更改为已启用 不需要按CTRL+ALT+DEL 更改为已启用 不允许 SAM 账户的匿名枚举 更改为已启用 不允许 SAM 账户和共享的匿名枚举 更改为已启用