暴露于internet的服务器安全配置步骤-华夏新达维护资料.docVIP

第 PAGE 18页（共 NUMPAGES 18页） 暴露于Internet中的服务器安全配置步骤 目录 TOC \o 2-2 \h \z \t 标题 1,1 HYPERLINK \l _To1. 配置 Windows 2000 Server PAGEREF _To\h 3 HYPERLINK \l _To2. 配置防火墙 PAGEREF _To\h 3 HYPERLINK \l _To2.1 天网防火墙个人版（自定义 IP 规则） PAGEREF _To\h 3 HYPERLINK \l _To3. 修改本地用户 PAGEREF _To\h 5 HYPERLINK \l _To4. 设置本地安全策略 PAGEREF _To\h 6 HYPERLINK \l _To4.1 账户锁定策略 PAGEREF _To\h 6 HYPERLINK \l _To4.2 审核策略 PAGEREF _To\h 7 HYPERLINK \l _To4.3 用户权利指派 PAGEREF _To\h 7 HYPERLINK \l _To4.4 安全选项 PAGEREF _To\h 8 HYPERLINK \l _To5. 配置路由和远程访问 PAGEREF _To\h 9 HYPERLINK \l _To6. 配置 VPN PAGEREF _To\h 14 HYPERLINK \l _To7. 日常例行检查 PAGEREF _To\h 14 请在任何时候都记住：再好的安全措施、防火墙，也无法抵御来自内部的攻击，特别是具有管理员权限内部人员的恶意攻击。 配置 Windows 2000 Server 必须安装直到目前的所有补丁：sp1、sp2、sp3。 经常使用“开始”“Windows Updata”功能进行安全更新。 配置应用程序 如果系统中的应用程序有补丁，必须全部打上补丁，特别是SQL SERVER2000,必须依次打到SP3以上。 IIS的处理 在一般情况下，请去掉IIS服务。 请将C:\INTEPUB这个文件夹改名。 配置防火墙 我们一般建议使用诺顿网络特警2003（请见《诺顿网络特警2003操作手册》） 修改本地用户 打开“开始－程序－管理工具－计算机管理”，展开“计算机管理（本地）－系统工具－本地用户和组”。 设置所有属于“administrator”组的用户密码必须在18位以上。 双击“组”，建立组 VPN。 双击“用户” 新建“sql”帐号，专用于SQL SERVER2000服务启动使用。并加入administrator 组。密码至少 18 位长并且必须包含字母和数字，并修改其拨入属性为“拒绝访问”。“终端服务配置文件”—“允许登录到终端服务”的选项必须去掉。 设置 administrator 密码至少 18 位长并且必须包含字母和数字，并修改其拨入属性为“拒绝访问”。 禁用 guest 账户。并修改其拨入属性为“拒绝访问”。“终端服务配置文件”—“允许登录到终端服务”的选项必须去掉。 禁用 SQLDebugger 账户。并修改其拨入属性为“拒绝访问”。“终端服务配置文件”—“允许登录到终端服务”的选项必须去掉。 禁用 IUSR_xx 和IWAM_xx账户。并修改其拨入属性为“拒绝访问”。“终端服务配置文件”—“允许登录到终端服务”的选项必须去掉。 禁用 TsInternetUser 账户。并修改其拨入属性为“拒绝访问”。“终端服务配置文件”—“允许登录到终端服务”的选项必须去掉。 建立用户 hxxddialin，密码至少 18 位长并且必须包含字母和数字，属于本机 VPN 组和 users 组，拨入属性为“允许访问”。“终端服务配置文件”—“允许登录到终端服务”的选项必须去掉。 设置本地安全策略 设置密码策略 打开“开始－程序－管理工具－本地安全策略”，展开“安全设置－账户策略－密码策略”。 “密码必须符合复杂性要求”-设置为“启用”。 “密码长度最小值”为：10位。 账户锁定策略 “复位帐号锁定计数器”定义为：30分钟； “帐号锁定时间”定义为：0分钟（特别重要）； “帐号锁定阀值”定义为2次。 本项设