WEB服务器安全配置说明文档
网络安全界有句名言:最少的服务加最小的权限等于最大的安全。
公司服务器配置情况如下:
67、68、69、70的服务器安装的系统是WIN2000 Advance Server版本,采用了IIS5.0作为虚拟主机系统,为保证系统的安全和数据的可靠,特将硬盘划分为系统盘与数据盘,WIN2000安装于系统盘上,数据库系统安装在数据盘上.
服务器上采取的安全防护措施如下:
1. 所有的分区都格式化成NTFS格式,保证对用户权限的控制.给予administrators 和system完全控制的权限,将系统默认的everyone的完全控制权限删除,根据不同用户再分别授予相应的权限。
2. 将硬盘空间分成系统分区(安装操作系统),网站分区(运行虚拟主机和客户网站,后台数据库的分区),备份分区(做数据与程序的备份存储用)。
3. 开启了事件审核功能,对用户登录,策略改动以及程序运行情况进行实时监控,保证在系统被破坏的情况下也能有案可查。
4. 对于后台数据库中的用户数据,在SQLSERVER中进行了设置,每天晚上会自动执行一次所有后台数据库数据的备份工作,即使当天客户的数据库被误删除了,也能找到前天晚上备份的所有数据,保证客户数据的安全可靠。
5. 对于前台网站,我们采用系统自带的备份功能,设置了每周的备份计划,将客户的网站在每周日进行一次完全备份.保证了客户网站的数据完整。
6. 在IIS安装时只安装了WEB服务,其余的FTP、SMTP、NNTP均未安装。
7. FTP服务器采用了Ser-U服务器程序,运行稳定且可靠,并升级到了最新的版本,禁止匿名用户的登陆,给每个用户分配了一个强健的密码,并设定了只能访问其自身的目录。
8. 操作系统安装好以后,及时打好了SP4和系统安全补丁,防止了病毒感染和黑客攻击的可能性,保证了系统的正常安全运行.在微软的漏洞被发现以后,及时升级系统,打好系统补丁。
9. 同时安装了微软自带的终端服务和SYMANTEC公司的pcanywhere远程控制软件,即使一个远程控制服务没能开启,也可以保证采用另一个远程登陆方式能连接上服务器。
10. 防病毒软件采用了SYMANTEC公司的norton防病毒软件,并每周按时升级后杀毒,保证了系统的无毒和安全。
11. 禁用了来宾用户帐号,对系统管理员帐号进行了重命名,最大限度地减少了系统被攻击的可能性。
12. 对系统的用户的密码进行了控制,管理员的密码采用了字母与数字以及特殊字符相结合的办法,防范暴力破解密码的可能性,保证服务器的安全。
13. 对于测试法破解密码的方法,采取了五次密码输错即锁定用户30分钟的做法,防止测试法试探密码。
14. 采用了网络漏洞扫描工具定期对服务器进行网络安全的检查和测试,发现安全漏洞后及时修补,防止安全问题的产生。
15. SQL Server 2000数据库安装以后即升级到SP3的版本,减少数据库漏洞的产生,防止了蠕虫病毒的感染和黑客的破坏。
16. 数据库中的SA超级用户采用了个强健的密码,并对每个用户使用的数据库制定了一个用户名和密码,并设定了相应的权限。每个用户只能对本数据库进行操作,有效地防止了跨库操作的发生.危及数据库安全。 杭州网通互联公司
网管 刘蔚
2004年7月14日
Win2000服务器网络安全设置
一、帐户安全管理
1.帐户要尽可能少,并且经常用一些扫描工具检查系统帐户,帐号权限及密码,删除已经不再使用的帐户
2.停用Guest帐号,并给Guest加一个复杂的密码。
3.把系统 Administrator帐号改名,尽量把它伪装成普通用户,名称不要带有Admin字样。
4.不让系统显示上次登陆的用户名。
修改Win2000的本地安全策略
设置“本地安全策略-本地策略-选项”中的“登录屏幕上不要显示上次登陆的用户名”
二、网络服务安全管理
1.关闭不必要的服务
一些服务可能会给系统带来安全漏洞,如WIN2000的Terminal Services(终端服务),IIS和RAS(远程访问服务)等。
除非确有必要,关闭Task Scheduler,Telnet,Remote Registry Service,RunAs Service,Print Spooler等不必要的服务。
2.关闭不必要的端口
当服务器只提供较单一的功能时,可考虑只开放某些端口。
具体方法为:按顺序打开“网上邻居-属性-本地连接-属性-INTERNET协议(TCP/IP)属性-高级-选项-TCP/IP筛选-属性”,打开TCP/IP筛选,添加需要的TCP,UDP协议即可。
3.禁止建立空连接
默认情况下,任何用户可通过空连接连上服务器,枚举帐号并猜测帐号。
修改WIN2000的本地安全策略
设置“本地安全策略-本地策略-选项”中的“匿名连接的额外限制”-为“不容许枚举帐号和共享”。
三、网络服务安全设置
1.打开策略审核功能,对一些重要的系统改动事件进行监控和记录。其中包括审核帐号管理,审核帐号登陆事件,审核策略更改,审核登陆事件,以便在被攻击和破坏后,能及时发现入侵者的痕迹,采取相应的补救措施。
2.服务管理器安全设置
1)更改服务主目录,右键单击“默认站点-属性-主目录-本地路径”,将本地路径指向其他目录。
2)删除原默认安装的目录以及其下的所有虚拟目录。
3)删除不必要的IIS扩展名映射。方法是:右键单击“默认站点-属性-主目录-配置”,打开应用程序窗口,去掉不必要的应用程序映射,如不用到其他映射,只保留.asp,.asa即可。
4)备份IIS配置。可使用IIS的备份功能,将设定好的IIS配置全部备份下来,这样就可以随时恢复IIS的安全配置。
四、数据文件安全管理
1.备份
要经常将重要数据备份到专用的备份服务器,备份完毕后,可将备份服务器与网络隔离。
2.设置文件共享权限
设置共享文件时,注意将共享文件的权限从“everyone”组改成“授权用户”,包括打印共享。
系统盘必须要设置安全权限,将system和administrators用户组授予完全控制的权限。别的用户帐号全部删除。
用户盘的设置,将system和administrators用户组授予完全控制的权限。Everyone组授予“读取及运行,列出文件夹目录”权限即可。
3.关闭默认共享
2000安装好以后,系统会创建一些隐藏的共享,在可用命令查看他们,要禁止这些共享,方法是,打开“管理工具-计算机管理-共享文件夹-共享”在相应的共享文件夹上按右键,点“停止共享”即可,不过当机器重新启动后,这些共享又会重新开启。可做一个删除默认共享的脚本文件,在系统启动时自动加载即可。
4.防止文件名欺骗
设置一下选项可放置文件名欺骗,如防止以.txt或.exe为后缀的恶意文件被显示为,从而使人大意打开该文件,操作方法是:双击“我的电脑-工具-文件夹选项-查看”,选择“显示所有文件和文件夹”属性设置,去掉“隐藏已知文件类型扩展名”属性设置。
网络安全界有句名言:最少的服务加最小的权限等于最大的安全。
公司服务器配置情况如下:
67、68、69、70的服务器安装的系统是WIN2000 Advance Server版本,采用了IIS5.0作为虚拟主机系统,为保证系统的安全和数据的可靠,特将硬盘划分为系统盘与数据盘,WIN2000安装于系统盘上,数据库系统安装在数据盘上.
服务器上采取的安全防护措施如下:
1. 所有的分区都格式化成NTFS格式,保证对用户权限的控制.给予administrators 和system完全控制的权限,将系统默认的everyone的完全控制权限删除,根据不同用户再分别授予相应的权限。
2. 将硬盘空间分成系统分区(安装操作系统),网站分区(运行虚拟主机和客户网站,后台数据库的分区),备份分区(做数据与程序的备份存储用)。
3. 开启了事件审核功能,对用户登录,策略改动以及程序运行情况进行实时监控,保证在系统被破坏的情况下也能有案可查。
4. 对于后台数据库中的用户数据,在SQLSERVER中进行了设置,每天晚上会自动执行一次所有后台数据库数据的备份工作,即使当天客户的数据库被误删除了,也能找到前天晚上备份的所有数据,保证客户数据的安全可靠。
5. 对于前台网站,我们采用系统自带的备份功能,设置了每周的备份计划,将客户的网站在每周日进行一次完全备份.保证了客户网站的数据完整。
6. 在IIS安装时只安装了WEB服务,其余的FTP、SMTP、NNTP均未安装。
7. FTP服务器采用了Ser-U服务器程序,运行稳定且可靠,并升级到了最新的版本,禁止匿名用户的登陆,给每个用户分配了一个强健的密码,并设定了只能访问其自身的目录。
8. 操作系统安装好以后,及时打好了SP4和系统安全补丁,防止了病毒感染和黑客攻击的可能性,保证了系统的正常安全运行.在微软的漏洞被发现以后,及时升级系统,打好系统补丁。
9. 同时安装了微软自带的终端服务和SYMANTEC公司的pcanywhere远程控制软件,即使一个远程控制服务没能开启,也可以保证采用另一个远程登陆方式能连接上服务器。
10. 防病毒软件采用了SYMANTEC公司的norton防病毒软件,并每周按时升级后杀毒,保证了系统的无毒和安全。
11. 禁用了来宾用户帐号,对系统管理员帐号进行了重命名,最大限度地减少了系统被攻击的可能性。
12. 对系统的用户的密码进行了控制,管理员的密码采用了字母与数字以及特殊字符相结合的办法,防范暴力破解密码的可能性,保证服务器的安全。
13. 对于测试法破解密码的方法,采取了五次密码输错即锁定用户30分钟的做法,防止测试法试探密码。
14. 采用了网络漏洞扫描工具定期对服务器进行网络安全的检查和测试,发现安全漏洞后及时修补,防止安全问题的产生。
15. SQL Server 2000数据库安装以后即升级到SP3的版本,减少数据库漏洞的产生,防止了蠕虫病毒的感染和黑客的破坏。
16. 数据库中的SA超级用户采用了个强健的密码,并对每个用户使用的数据库制定了一个用户名和密码,并设定了相应的权限。每个用户只能对本数据库进行操作,有效地防止了跨库操作的发生.危及数据库安全。 杭州网通互联公司
网管 刘蔚
2004年7月14日
Win2000服务器网络安全设置
一、帐户安全管理
1.帐户要尽可能少,并且经常用一些扫描工具检查系统帐户,帐号权限及密码,删除已经不再使用的帐户
2.停用Guest帐号,并给Guest加一个复杂的密码。
3.把系统 Administrator帐号改名,尽量把它伪装成普通用户,名称不要带有Admin字样。
4.不让系统显示上次登陆的用户名。
修改Win2000的本地安全策略
设置“本地安全策略-本地策略-选项”中的“登录屏幕上不要显示上次登陆的用户名”
二、网络服务安全管理
1.关闭不必要的服务
一些服务可能会给系统带来安全漏洞,如WIN2000的Terminal Services(终端服务),IIS和RAS(远程访问服务)等。
除非确有必要,关闭Task Scheduler,Telnet,Remote Registry Service,RunAs Service,Print Spooler等不必要的服务。
2.关闭不必要的端口
当服务器只提供较单一的功能时,可考虑只开放某些端口。
具体方法为:按顺序打开“网上邻居-属性-本地连接-属性-INTERNET协议(TCP/IP)属性-高级-选项-TCP/IP筛选-属性”,打开TCP/IP筛选,添加需要的TCP,UDP协议即可。
3.禁止建立空连接
默认情况下,任何用户可通过空连接连上服务器,枚举帐号并猜测帐号。
修改WIN2000的本地安全策略
设置“本地安全策略-本地策略-选项”中的“匿名连接的额外限制”-为“不容许枚举帐号和共享”。
三、网络服务安全设置
1.打开策略审核功能,对一些重要的系统改动事件进行监控和记录。其中包括审核帐号管理,审核帐号登陆事件,审核策略更改,审核登陆事件,以便在被攻击和破坏后,能及时发现入侵者的痕迹,采取相应的补救措施。
2.服务管理器安全设置
1)更改服务主目录,右键单击“默认站点-属性-主目录-本地路径”,将本地路径指向其他目录。
2)删除原默认安装的目录以及其下的所有虚拟目录。
3)删除不必要的IIS扩展名映射。方法是:右键单击“默认站点-属性-主目录-配置”,打开应用程序窗口,去掉不必要的应用程序映射,如不用到其他映射,只保留.asp,.asa即可。
4)备份IIS配置。可使用IIS的备份功能,将设定好的IIS配置全部备份下来,这样就可以随时恢复IIS的安全配置。
四、数据文件安全管理
1.备份
要经常将重要数据备份到专用的备份服务器,备份完毕后,可将备份服务器与网络隔离。
2.设置文件共享权限
设置共享文件时,注意将共享文件的权限从“everyone”组改成“授权用户”,包括打印共享。
系统盘必须要设置安全权限,将system和administrators用户组授予完全控制的权限。别的用户帐号全部删除。
用户盘的设置,将system和administrators用户组授予完全控制的权限。Everyone组授予“读取及运行,列出文件夹目录”权限即可。
3.关闭默认共享
2000安装好以后,系统会创建一些隐藏的共享,在可用命令查看他们,要禁止这些共享,方法是,打开“管理工具-计算机管理-共享文件夹-共享”在相应的共享文件夹上按右键,点“停止共享”即可,不过当机器重新启动后,这些共享又会重新开启。可做一个删除默认共享的脚本文件,在系统启动时自动加载即可。
4.防止文件名欺骗
设置一下选项可放置文件名欺骗,如防止以.txt或.exe为后缀的恶意文件被显示为,从而使人大意打开该文件,操作方法是:双击“我的电脑-工具-文件夹选项-查看”,选择“显示所有文件和文件夹”属性设置,去掉“隐藏已知文件类型扩展名”属性设置。