终级Win2017服务器安全配置篇(一)

终级Win2017服务器安全配置篇(一),标签：windows2003学习,windows2003知识,http://www.5ijcw.com
看下我开了些什么服务,大家可以参考设置一下.如果把不该禁用的服务禁了，事件查看器可能会出现一些报错.
9.设置IP筛选，只开放你所要用到的端口，这样可以防止别人的木马程序连接，因为任何一个网络程序要和你服务器通信，都要通过端口。查看本机所开的端口是用netstat -na 命令,这儿我们开放了80 1989 21 1433(sqlserver),5631(pcanywhere)和ip6端口,这样设置后，一般的后门程序就无法连接到本机了，注意要重新启动了才有效果
附常用服务的各个端口：
IIS 80
FTP 21 启用后需要FTP客户端关闭PSAV才能连接
SMTP 25
POP3 110
MS SQL 1433
Mysql 3306
PcAnywhere 5631
Windows远程客户端 3389
10.修改相关注册表，个人感觉这样的效果不大。没去修改，仅供参考：
A、防止SYN洪水攻击  
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters  
新建DWORD值，名为SynAttackProtect，值为2  
新建EnablePMTUDiscovery REG_DWORD 0  
新建NoNameReleaseOnDemand REG_DWORD 1  
新建EnableDeadGWDetect REG_DWORD 0  
新建KeepAliveTime REG_DWORD 300,000  
新建PerformRouterDiscovery REG_DWORD 0  
新建EnableICMPRedirects REG_DWORD 03. 禁止响应ICMP路由通告报文  
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface  
新建DWORD值，名为PerformRouterDiscovery 值为0  
B、防止ICMP重定向报文的攻击  
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters  
将EnableICMPRedirects 值设为0  
C、不支持IGMP协议  
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters  
新建DWORD值，名为IGMPLevel 值为0
D、禁止IPC空连接：
cracker可以利用net use命令建立空连接，进而入侵，还有net view，nbtstat这些都是基于空连接的，禁止空连接就好了。
Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous 把这个值改成”1”即可。
E、更改TTL值
cracker可以根据ping回的TTL值来大致判断你的操作系统，如：  
TTL=107(WINNT);  
TTL=108(win2000);  
TTL=127或128(win9x);  
TTL=240或241(linux);  
TTL=252(solaris);  
TTL=240(Irix);  
实际上你可以自己改的：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters：DefaultTTL REG_DWORD 0-0xff(0-255 十进制,默认值128)改成一个莫名其妙的数字如250
11.把系统Administrator账号改名,我的已经改成了 中央人民政府 。可以把硬盘的其它分区或重要目录设置成仅这个用户可以访问。这样即使入侵者把自己提升成了超级管理员组成员。也无法访问这些地方。 将Administrators组改名为其他，这样即使系统出现了溢出漏洞，但系 www.5ijcw.com 统盘下的net.exe程序已被转移删除，想加入管理员组基本难以实现。何况Administrators组已被改名，用那个net localgroup administrators xxx /add，不知道管理员组的名字，会提示指定的本地组不存在。这样即使net命令可用也加不上了。
最后给你的管理员帐户设定一个非常复杂的密码.
设置本地用户帐号，把管理员和来宾帐号重新命名，禁止不必用的帐号，最好还要建立一个管理员备用帐号,以防万一(提示：养成经常看一看本地用户帐号属性的习惯，以防后门帐号)
12.控制面板的设置：
修改*.cpl(控制面板文件)的权限为只有管理员可以访问
移动所有*.msc（管理控制台文件)到你的一个固定目录，并设置这个目录的访问权限(只有管理员可以防问，比如上面11中说的，把这个目录加上只有中央人民政府这个用户可以访问.这样就是别人进入你服务器也没办法操作,还有就是把net.exe改名或者移动.搜索net.exe;net1.exe只给管理员可以访问的权限

上一页  [1] [2] [3] [4] [5]  下一页

上一篇：Win2017操作技巧(一)