做一个服务器安全策略

通通领航服务器设置经验总结

一 取消匿名访问功能

默认情况下，Windows 2003系统的FTP服务器是允许匿名访问的，虽然匿名访问为用户上传、下载文件提供方便，但却存在极大的安全隐患。用户不需要申请合法的账号，就能访问FTP服务器，甚至还可以上传、下载文件，特别对于一些存储重要资料的FTP服务器，很容易出现泄密的情况，因此建议用户取消匿名访问功能。

在Windows 2003系统中，点击“开始→程序→管理工具→Internet服务管理器”，弹出管理控制台窗口。然后展开窗口左侧的本地计算机选项，就能看到IIS50自带的FTP服务器，下面通通网络以默认FTP站点为例，介绍如何取消匿名访问功能。

右键点击“默认FTP站点”项，在右键菜单中选择“属性”，接着弹出默认FTP站点属性对话框，切换到“安全账号”标签页，取消“允许匿名连接”前的勾选，最后点击“确定”按钮，这样用户就不能使用匿名账号访问FTP服务器了，必须拥有合法账号才行。

二 启用日志记录

Windows日志记录着系统运行的一切信息，但很多管理员对日志记录功能不够重视，为了节省服务器资源，禁用了FTP服务器日志记录功能，这是万万要不得的。FTP服务器日志记录着所有用户的访问信息，如访问时间、客户机IP地址、使用的登录账号等，这些信息对于FTP服务器的稳定运行具有很重要的意义，一旦服务器出现问题，就可以查看FTP日志，找到故障所在，及时排除。因此一定要启用FTP日志记录。

在默认FTP站点属性对话框中，切换到“FTP站点”标签页，一定要确保“启用日志记录”选项被选中，这样就可以在“事件查看器”中查看FTP日志记录了。

当然，通通网络现在说的只是最基本最简单的安全设置，并不能完全的防范病毒木马以及黑客入侵，如果要加强服务器的安全性，还要更进一步的对服务器进行设置。

1 使用NTFS文件系统，以便对文件和目录进行管理。

2 关闭默认共享

打开注册表编辑器，展开“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters”项，添加键值AutoShareServer，类型为REG_DWORD，值为0。 这样就可以彻底关闭“默认共享”。

3 修改共享权限

建立新的共享后立即修改Everyone的缺省权限，不让Web服务器访问者得到不必要的权限。

4 为系统管理员账号更名，避免非法用户攻击。

鼠标右击[我的电脑]→[管理]→启动“计算机管理”程序，在“本地用户和组”中，鼠标右击“管理员账号（Administrator）”→选择“重命名”，将管理员账号修改为一个很普通的用户名。

5 禁用TCP/IP 上的NetBIOS

鼠标右击桌面上[网络邻居] →[属性] →[本地连接] →[属性]，打开“本地连接属性”对话框。选择[Internet协议(TCP/IP)]→[属性]→[高级]→[WINS]，选中下侧的“禁用TCP/IP上的NetBIOS”一项即可解除TCP/IP上的NetBIOS。

6 TCP/IP上对进站连接进行控制

鼠标右击桌面上[网络邻居] →[属性] →[本地连接] →[属性]，打开“本地连接属性”对话框。选择[Internet协议(TCP/IP)]→[属性]→[高级]→[选项]， 在列表中单击选中“TCP/IP筛选”选项。单击[属性]按钮，选择“只允许”，再单击[添加]按钮（如图1），只填入80端口。

7 修改注册表，减小拒绝服务攻击的风险。

打开注册表：将HKLM\System\

CurrentControlSet\Services\Tcpip\Parameters下的SynAttackProtect的值修改为2，使连接对超时的响应更快。

保证IIS自身的安全性

IIS安全安装

要构建一个安全的IIS服务器，必须从安装时就充分考虑安全问题。

1 不要将IIS安装在系统分区上。

2 修改IIS的安装默认路径。

3 打上Windows和IIS的最新补丁。

IIS的安全配置

1 删除不必要的虚拟目录

IIS安装完成后在wwwroot下默认生成了一些目录，包括IISHelp、IISAdmin、IISSamples、MSADC等，这些目录都没有什么实际的作用，可直接删除。

2 删除危险的IIS组件

默认安装后的有些IIS组件可能会造成安全威胁，例如 Internet服务管理器（HTML）、SMTP Service和NNTP Service、样本页面和脚本，大家可以根据自己的需要决定是否删除。

3 为IIS中的文件分类设置权限

除了在操作系统里为IIS的文件设置必要的权限外，还要在IIS管理器中为它们设置权限。一个好的设置策略是：为Web 站点上不同类型的文件都建立目录，然后给它们分配适当权限。例如：静态文件文件夹允许读、拒绝写，ASP脚本文件夹允许执行、拒绝写和读取，EXE等可执行程序允许执行、拒绝读写。

4 删除不必要的应用程序映射

ISS中默认存在很多种应用程序映射，除了ASP的这个程序映射，其他的文件在网站上都很少用到。

在“Internet服务管理器”中，右击网站目录，选择“属性”，在网站目录属性对话框的“主目录”页面中，点击[配置]按钮，弹出“应用程序配置”对话框，在“应用程序映射”页面，删除无用的程序映射。如果需要这一类文件时，必须安装最新的系统修补补丁，并且选中相应的程序映射，再点击[编辑]按钮，在“添加/编辑应用程序扩展名映射”对话框中勾选“检查文件是否存在”选项（如图2）。这样当客户请求这类文件时，IIS会先检查文件是否存在，文件存在后才会去调用程序映射中定义的动态链接库来解析。

5 保护日志安全

日志是系统安全策略的一个重要环节，确保日志的安全能有效提高系统整体安全性。

● 修改IIS日志的存放路径

默认情况下，IIS的日志存放在%WinDir%\System32\LogFiles，黑客当然非常清楚，所以最好修改一下其存放路径。在“Internet服务管理器”中，右击网站目录，选择“属性”，在网站目录属性对话框的“Web站点”页面中，在选中“启用日志记录”的情况下，点击旁边的[属性]按钮，在“常规属性”页面，点击[浏览]按钮或者直接在输入框中输入日志存放路径即可。

● 修改日志访问权限，设置只有管理员才能访问。

通过以上的一些安全设置，相信你的Web服务器会安全许多。

作为服务器和网站管理员，遭遇黑客入侵是不可避免的事情。

很多管理员处理黑客入侵问题时，仅是安装一套防护软件，杀掉几个网页木马。这是治标不治本的办法，无法彻底解决安全问题，后期还会被黑客反复入侵。

一、与个人电脑的安全区别

对于个人电脑，安装一套杀毒软件就能解决99%的安全问题。然而服务器和个人电脑在安全方面有着天壤之别。

个人电脑因为在内网，黑客无法主动发现。一般只会在浏览网站或安装软件时被植入了木马程序，只要成功杀掉这个木马程序，电脑就安全了。

而针对服务器和网站的攻击，属于主动式攻击，敌人在暗处，我在明处。黑客找准目标后，为了突破防线，会尝试各种攻击手段。此时仅靠一套防护软件，无法应对多样化、复杂化的网络攻击，唯有做针对性的安全防护才能彻底解决安全问题。

二、为什么会被反复入侵

很多管理员把服务器和网站安全想得太过于简单，以为安装一套杀毒软件，再杀掉几个网页木马，服务器就安全了。这只能治标，不能治本。之所以会被入侵，是因为系统有漏洞；不解决漏洞永远无法根除安全威胁，黑客还会继续利用这个漏洞反复实施入侵。

唯有从根本上解决漏洞问题，才能有效解决入侵问题。

三、如何彻底解决安全威胁

服务器一般有三大漏洞体系：系统漏洞、软件漏洞和网站漏洞。

要打造安全的服务器，就必须解决这三方面的安全威胁。

1、系统漏洞加固

操作系统出厂时，厂商为了兼容性，不会对系统做严格的安全限制，因此需要做一些安全加固，方可防止黑客入侵。

系统加固主要有以下流程：更新系统补丁、禁用危险服务、卸载危险组件、删除危险权限、开启防火墙、设置复杂密码。具体操作方法请到护卫神了解。

2、软件漏洞加固

常用的Apache、Nginx、Tomcat、MySQL、SQL Server、Serv-U等大部分服务器软件，都存在安全隐患，需要进行安全加固。

可通过“降权”或“访问行为限制”两种办法解决，具体操作方法请到护卫神了解。

3、网站安全加固

几乎所有网站都存在漏洞，网站漏洞也是黑客最常用的入侵途径，因此做好网站安全加固刻不容缓。之所以网站普遍存在漏洞，一是大部分开发人员只注重功能和时间，不会在安全方面多加考虑；二是他们也没有安全防护技术和经验。

1）、网站漏洞类型

网站漏洞主要有下几种：SQL注入、在线上传、跨站入侵、Cookies欺骗、暴力破解，详细请到护卫神了解。

2）、网站漏洞处理

修复漏洞无疑是最好的办法，但这只能是奢想，有程序的地方就有漏洞，修复了一个漏洞，往往引出几个新的漏洞。因此部署安全防护系统成为必然之选。

4、部署安全产品

每台服务器放置的内容都不一样，存在的安全威胁也不一样，只有通过“软件+服务”组合的方式，才能最大限度提升服务器安全。

推荐部署“护卫神·高级安全防护”，工程师为您定制安全防护策略，杜绝所有网站漏洞，免疫所有网页木马。系统还会在黑客入侵的每一个环节进行拦截，通过远程监控、用户监控、进程监控、篡改保护、网站加固、木马查杀、SQL注入防护等模块，将一切不速之客拒之门外。

总而言之，安全无小事，提前做好防护很重要，不要等到被入侵了才后悔莫及。

1、服务器初始安全防护

安装服务器时，要选择绿色安全版的防护软件，以防有被入侵的可能性。对网站提供服务的服务器，软件防火墙的安全设置最高，防火墙只要开放服务器端口，其他的一律都关闭，你要访问网站时防火墙会提示您是否允许访问，在根据实际情况添加允许访问列表。这样至少给系统多一份安全。

2、修改服务器远程端口。

因为有不少不法分子经常扫描公网IP端口，如果使用默认的3389或者Linux的22端口，相对来说是不安全的，建议修改掉默认远程端口。

3、设置复杂密码。

一但服务器IP被扫描出来默认端口，非法分子就会对服务器进行暴力破解，利用第三方字典生成的密码来尝试破解服务器密码，如果您的密码足够复杂，非法分子就需要大量的时间来进行密码尝试，也许在密码未破解完成，服务器就已经进入保护模式，不允许登陆。

4、修补已知的漏洞

如果网站出现漏洞时不及时处理，网站就会出现一系列的安全隐患，这使得服务器很容易受到病毒入侵，导致网络瘫痪，所以，平时要养成良好的习惯，时刻关注是否有新的需修补的漏洞。

5、多服务器保护

一个网站可以有多个服务器，网站被攻击时，那么我们就可以选择不一样的方式进行防范，针对不同的服务器，我们应该设置不同的管理，这样即使一个服务器被攻陷，其他的服务还可以正常使用。

6、防火墙技术

现在防火墙发展已经很成熟了，防火墙可以选择安全性检验强的，检验的时间会较长，运行的过程会有很大负担。如果选择防护性低的，那么检验时间会比较短。我们在选择防护墙时，要根据网络服务器自身的特点选择合适的防火墙技术。

7、定时为数据进行备份。

定时为数据做好备份，即使服务器被破解，数据被破坏，或者系统出现故障崩溃，你只需要进行重装系统，还原数据即可，不用担心数据彻底丢失或损坏。

做好网站服务器的安全维护是一项非常重要的工作，只有做好了服务器安全工作，才能保证网站可以稳定运营。要想做好网站服务器安全维护，还要学习更多的维护技巧。

　1注销——最好让使用不频繁的或使用时间不长的服务器保持退出系统。当你的服务器上只有一个入口的时候，最好只登录一个服务。你可能认为不关闭服务器是为了节省时间，但这存在很大的安全隐患。

　　2使用强密码——强密码对于保护网上账户的作用是很重要的，同时对服务器的安全性也是尤为重要。所以要确保你的Windows OS服务器包含6～8个字母和数字结合的字符密码。另外运行可以找出破损密码的恢复系统。

　　3把服务器放在安全地方——公司里员工比较多，那就把服务器放在安全的实际位置，最好是可以锁的房间，把钥匙交给设备直接使用的专门人员。

　　4关掉不用的选项——删除或者关掉所有不必要的、不使用的程序，还有连接到服务器上的设备，包括FTP、简单的TCP/IP设备和不需要的网络通信协议。如果考虑到它是数据库或者邮件服务功能的单用途服务器，就需要删除服务器上其他功能的所有软件。

　　5建立防火墙——防火墙将会帮助建立一个架在你和同事还有外界之间的障碍物。这个可以是硬件也可以是建立在软件基础上的防火墙能免于Windows服务器遭受外界攻击。

　　6双重验证——如果一个验证方法是好的，那么两个验证方法就更好了。确保你的管理员至少有两个验证方法，包括一个用户名/密码端口和生物测定数据或者智能卡。

　　7尽快更新软件——一旦需要更新，那就尽快安装。Microsoft里有安全漏洞可能会让你的服务器很危险，等待维修是不现实的，也有可能会被黑客、垃圾邮件和恶意软件钻了空子。

　　8增加防护软件——这看上去和‘关掉不用选项’的建议相矛盾，但这款软件必须用在任何一个使用的软件上，才能发现并删除恶意软件和间谍软件，也可以增加反间谍软件过滤器和扫描器，增加预防软件来对抗攻击并维护系统文件完整性。

　　9分区操作——如果你的Windows OS服务器是用来发送、接收邮件的，请确保在彻底传输完成之前，对接收文件、上传文件和运行防毒软件进行分区操作。另外就是拒绝上传文件到服务器。

　　10时时关注安全性——将许多安全措施布置到位之后，有些计算机人士就认为万事大吉了，其实这是一个很大的误区--因为有许多黑客正在夜以继日的**你的信息，危害你服务器;所以时时关注你的安全措施是至关重要的。最好是安排专门人员每天检查使用记录，定期寻找更新方法和补丁，研究近期网络攻击的新闻，以便更好的维护服务器。

我说一下我的见解，首先电脑跟服务器不能随便放，如果你要露天放，请不要告诉我地点，最好放到机房里锁起来，加多几把锁，另外，装上报警器，非法操作的不但要自动发短信通知你，而且还要播放一些什么的吸引住人家，以达到拖延时间的目的，这个策略要你自己部署好，桌面可以搞得恐怖一点，让人一看到就想自杀的那种，装摄像头拍照，在机身上面涂满毒药，谁敢碰的一定要解药。此外，有些端口要用水泥浆堵上，协议呢要打印出来贴上云，让大家一眼就能看得到。还剩下其他的细节你自己优化一下吧

1、安装补丁程序任何操作系统都有漏洞，作为网络系统管理员就有责任及时地将“补丁”打上。大部分中小企业服务器使用的是微软的

Windows2000/2003操作系统，因为使用的人特别多，所以发现的Bug也比较多，同时，蓄意攻击它们的人也很多。微软公司为了弥补操作系统的

安全漏洞，在其网站上提供了许多补丁，可以到网上下载并安装相关升级包。对于Windows2003，至少要升级到SP1，对于Windows2000，

至少要升级至ServicePack2。

2、安装和设置防火墙现在有许多基于硬件或软件的防火墙，如华为、神州数码、联想、瑞星等厂商的产品。对于企业内

部网来说，安装防火墙是非常必要的。防火墙对于非法访问具有很好的预防作用，但是并不是安装了防火墙之后就万事大吉了，而是需要进行适当的设置才能起作

用。如果对防火墙的设置不了解，需要请技术支持人员协助设置。

3、安装网络杀毒软件现在网络上的病毒非常猖獗，这就需要在网络服务器上安装网络版的杀毒软

件来控制病毒的传播，目前，大多数反病毒厂商(如瑞星、冠群金辰、趋势、赛门铁克、熊猫等)都已经推出了网络版的杀毒软件。同时，在网络版的杀毒软件使用

中，必须要定期或及时升级杀毒软件。

4、账号和密码保护账号和密码保护可以说是系统的第一道防线，目前网上的大部分对系统的攻击都是从截获或猜测密码开始

的。一旦黑客进入了系统，那么前面的防卫措施几乎就没有作用，所以对服务器系统管理员的账号和密码进行管理是保证系统安全非常重要的措施。

5、监测系统日

志通过运行系统日志程序，系统会记录下所有用户使用系统的情形，包括最近登录时间、使用的账号、进行的活动等。日志程序会定期生成报表，通过对报表进行分

析，你可以知道是否有异常现象。

6、关闭不需要的服务和端口　　服务器操作系统在安装的时候，会启动一些不需要的服务，这样会占用系统的资源，而且也增加

了系统的安全隐患。对于假期期间完全不用的服务器，可以完全关闭;对于假期期间要使用的服务器，应关闭不需要的服务，如Telnet等。另外，还要关掉没

有必要开的TCP端口。

7、定期对服务器进行备份为防止不能预料的系统故障或用户不小心的非法操作，必须对系统进行安全备份。除了对全系统进行每月一次的

备份外，还应对修改过的数据进行每周一次的备份。