怎樣維護(hù)服務(wù)器的安全？

Windows2000安全配置教程

創(chuàng)新互聯(lián)專(zhuān)注于企業(yè)營(yíng)銷(xiāo)型網(wǎng)站建設(shè)、網(wǎng)站重做改版、池州網(wǎng)站定制設(shè)計(jì)、自適應(yīng)品牌網(wǎng)站建設(shè)、H5開(kāi)發(fā)、商城開(kāi)發(fā)、集團(tuán)公司官網(wǎng)建設(shè)、成都外貿(mào)網(wǎng)站建設(shè)、高端網(wǎng)站制作、響應(yīng)式網(wǎng)頁(yè)設(shè)計(jì)等建站業(yè)務(wù)，價(jià)格優(yōu)惠性?xún)r(jià)比高，為池州等各大城市提供網(wǎng)站開(kāi)發(fā)制作服務(wù)。

Windows2000絕版安全配置教程：前段時(shí)間，中美網(wǎng)絡(luò)大戰(zhàn)，我看了一些被黑的服務(wù)器，發(fā)現(xiàn)絕大部分被黑的服務(wù)器都是Nt/win2000的機(jī)器，真是慘不忍睹。Windows2000 真的那么不安全么？其實(shí)，Windows2000 含有很多的安全功能和選項(xiàng)，如果你合理的配置它們，那么windows 2000將會(huì)是一個(gè)很安全的操作系統(tǒng)。我抽空翻了一些網(wǎng)站，翻譯加湊數(shù)的整理了一篇checklist出來(lái)。希望對(duì)win2000管理員有些幫助。本文并沒(méi)有什么高深的東西，所謂的清單，也并不完善，很多東西要等以后慢慢加了，希望能給管理員作一參考。

具體清單如下：

初級(jí)安全篇

1.物理安全

服務(wù)器應(yīng)該安放在安裝了監(jiān)視器的隔離房間內(nèi)，并且監(jiān)視器要保留15天以上的攝像記錄。另外，機(jī)箱,鍵盤(pán)，電腦桌抽屜要上鎖，以確保旁人即使進(jìn)入房間也無(wú)法使用電腦，鑰匙要放在另外的安全的地方。

2.停掉Guest 帳號(hào)

在計(jì)算機(jī)管理的用戶(hù)里面把guest帳號(hào)停用掉，任何時(shí)候都不允許guest帳號(hào)登陸系統(tǒng)。為了保險(xiǎn)起見(jiàn)，最好給guest 加一個(gè)復(fù)雜的密碼，你可以打開(kāi)記事本，在里面輸入一串包含特殊字符,數(shù)字，字母的長(zhǎng)字符串，然后把它作為guest帳號(hào)的密碼拷進(jìn)去。

3．限制不必要的用戶(hù)數(shù)量

去掉所有的duplicate user 帳戶(hù), 測(cè)試用帳戶(hù), 共享帳號(hào)，普通部門(mén)帳號(hào)等等。用戶(hù)組策略設(shè)置相應(yīng)權(quán)限，并且經(jīng)常檢查系統(tǒng)的帳戶(hù)，刪除已經(jīng)不在使用的帳戶(hù)。這些帳戶(hù)很多時(shí)候都是黑客們?nèi)肭窒到y(tǒng)的突破口，系統(tǒng)的帳戶(hù)越多，黑客們得到合法用戶(hù)的權(quán)限可能性一般也就越大。國(guó)內(nèi)的nt/2000主機(jī)，如果系統(tǒng)帳戶(hù)超過(guò)10個(gè)，一般都能找出一兩個(gè)弱口令帳戶(hù)。我曾經(jīng)發(fā)現(xiàn)一臺(tái)主機(jī)197個(gè)帳戶(hù)中竟然有180個(gè)帳號(hào)都是弱口令帳戶(hù)。

4．創(chuàng)建2個(gè)管理員用帳號(hào)

雖然這點(diǎn)看上去和上面這點(diǎn)有些矛盾，但事實(shí)上是服從上面的規(guī)則的。 創(chuàng)建一個(gè)一般權(quán)限帳號(hào)用來(lái)收信以及處理一些日常事物，另一個(gè)擁有Administrators 權(quán)限的帳戶(hù)只在需要的時(shí)候使用。可以讓管理員使用 “ RunAS” 命令來(lái)執(zhí)行一些需要特權(quán)才能作的一些工作，以方便管理。

5．把系統(tǒng)administrator帳號(hào)改名

大家都知道，windows 2000 的administrator帳號(hào)是不能被停用的，這意味著別人可以一遍又一邊的嘗試這個(gè)帳戶(hù)的密碼。把Administrator帳戶(hù)改名可以有效的防止這一點(diǎn)。當(dāng)然，請(qǐng)不要使用Admin之類(lèi)的名字，改了等于沒(méi)改，盡量把它偽裝成普通用戶(hù)，比如改成：guestone 。

6．創(chuàng)建一個(gè)陷阱帳號(hào)

什么是陷阱帳號(hào)? Look!創(chuàng)建一個(gè)名為” Administrator”的本地帳戶(hù)，把它的權(quán)限設(shè)置成最低，什么事也干不了的那種，并且加上一個(gè)超過(guò)10位的超級(jí)復(fù)雜密碼。這樣可以讓那些 Scripts s忙上一段時(shí)間了，并且可以借此發(fā)現(xiàn)它們的入侵企圖。或者在它的login scripts上面做點(diǎn)手腳。嘿嘿，夠損！

7.把共享文件的權(quán)限從”everyone”組改成“授權(quán)用戶(hù)”

“everyone” 在win2000中意味著任何有權(quán)進(jìn)入你的網(wǎng)絡(luò)的用戶(hù)都能夠獲得這些共享資料。任何時(shí)候都不要把共享文件的用戶(hù)設(shè)置成”everyone”組。包括打印共享，默認(rèn)的屬性就是”everyone”組的，一定不要忘了改。

8.使用安全密碼

一個(gè)好的密碼對(duì)于一個(gè)網(wǎng)絡(luò)是非常重要的，但是它是最容易被忽略的。前面的所說(shuō)的也許已經(jīng)可以說(shuō)明這一點(diǎn)了。一些公司的管理員創(chuàng)建帳號(hào)的時(shí)候往往用公司名，計(jì)算機(jī)名，或者一些別的一猜就到的東西做用戶(hù)名，然后又把這些帳戶(hù)的密碼設(shè)置得N簡(jiǎn)單，比如 “welcome” “iloveyou” “l(fā)etmein”或者和用戶(hù)名相同等等。這樣的帳戶(hù)應(yīng)該要求用戶(hù)首此登陸的時(shí)候更改成復(fù)雜的密碼，還要注意經(jīng)常更改密碼。前些天在IRC和人討論這一問(wèn)題的時(shí)候，我們給好密碼下了個(gè)定義：安全期內(nèi)無(wú)法破解出來(lái)的密碼就是好密碼，也就是說(shuō)，如果人家得到了你的密碼文檔，必須花43天或者更長(zhǎng)的時(shí)間才能破解出來(lái)，而你的密碼策略是42天必須改密碼。

9.設(shè)置屏幕保護(hù)密碼

很簡(jiǎn)單也很有必要，設(shè)置屏幕保護(hù)密碼也是防止內(nèi)部人員破壞服務(wù)器的一個(gè)屏障。注意不要使用OpenGL和一些復(fù)雜的屏幕保護(hù)程序，浪費(fèi)系統(tǒng)資源，讓他黑屏就可以了。還有一點(diǎn)，所有系統(tǒng)用戶(hù)所使用的機(jī)器也最好加上屏幕保護(hù)密碼。

10． 使用NTFS格式分區(qū)

把服務(wù)器的所有分區(qū)都改成NTFS格式。NTFS文件系統(tǒng)要比FAT,FAT32的文件系統(tǒng)安全得多。這點(diǎn)不必多說(shuō)，想必大家得服務(wù)器都已經(jīng)是NTFS的了。

11．運(yùn)行防毒軟件

我見(jiàn)過(guò)的Win2000/Nt服務(wù)器從來(lái)沒(méi)有見(jiàn)到有安裝了防毒軟件的，其實(shí)這一點(diǎn)非常重要。一些好的殺毒軟件不僅能殺掉一些著名的病毒，還能查殺大量木馬和后門(mén)程序。這樣的話，“黑客”們使用的那些有名的木馬就毫無(wú)用武之地了。不要忘了經(jīng)常升級(jí)病毒庫(kù)

12．保障備份盤(pán)的安全

一旦系統(tǒng)資料被破壞，備份盤(pán)將是你恢復(fù)資料的唯一途徑。備份完資料后，把備份盤(pán)防在安全的地方。千萬(wàn)別把資料備份在同一臺(tái)服務(wù)器上，那樣的話，還不如不要備份。

中級(jí)安全篇：

1．利用win2000的安全配置工具來(lái)配置策略

微軟提供了一套的基于MMC(管理控制臺(tái))安全配置和分析工具，利用他們你可以很方便的配置你的服務(wù)器以滿(mǎn)足你的要求。具體內(nèi)容請(qǐng)參考微軟主頁(yè)：

2．關(guān)閉不必要的服務(wù)

windows 2000 的 Terminal Services（終端服務(wù)），IIS ,和RAS都可能給你的系統(tǒng)帶來(lái)安全漏洞。為了能夠在遠(yuǎn)程方便的管理服務(wù)器，很多機(jī)器的終端服務(wù)都是開(kāi)著的，如果你的也開(kāi)了，要確認(rèn)你已經(jīng)正確的配置了終端服務(wù)。有些惡意的程序也能以服務(wù)方式悄悄的運(yùn)行。要留意服務(wù)器上面開(kāi)啟的所有服務(wù)，中期性(每天)的檢查他們。下面是C2級(jí)別安裝的默認(rèn)服務(wù)：

Computer Browser service TCP/IP NetBIOS Helper

Microsoft DNS server Spooler

NTLM SSP Server

RPC Locator WINS

RPC service Workstation

Netlogon Event log

3．關(guān)閉不必要的端口

關(guān)閉端口意味著減少功能，在安全和功能上面需要你作一點(diǎn)決策。如果服務(wù)器安裝在防火墻的后面，冒的險(xiǎn)就會(huì)少些，但是，永遠(yuǎn)不要認(rèn)為你可以高枕無(wú)憂了。用端口掃描器掃描系統(tǒng)所開(kāi)放的端口，確定開(kāi)放了哪些服務(wù)是黑客入侵你的系統(tǒng)的第一步。\system32\drivers\etc\services 文件中有知名端口和服務(wù)的對(duì)照表可供參考。具體方法為：

網(wǎng)上鄰居屬性本地連接屬性internet 協(xié)議(tcp/ip)屬性高級(jí)選項(xiàng)tcp/ip篩選屬性 打開(kāi)tcp/ip篩選，添加需要的tcp,udp,協(xié)議即可。

4．打開(kāi)審核策略

開(kāi)啟安全審核是win2000最基本的入侵檢測(cè)方法。當(dāng)有人嘗試對(duì)你的系統(tǒng)進(jìn)行某些方式（如嘗試用戶(hù)密碼,改變帳戶(hù)策略，未經(jīng)許可的文件訪問(wèn)等等）入侵的時(shí)候，都會(huì)被安全審核記錄下來(lái)。很多的管理員在系統(tǒng)被入侵了幾個(gè)月都不知道，直到系統(tǒng)遭到破壞。下面的這些審核是必須開(kāi)啟的，其他的可以根據(jù)需要增加：

策略 設(shè)置

審核系統(tǒng)登陸事件 成功，失敗

審核帳戶(hù)管理 成功，失敗

審核登陸事件 成功，失敗

審核對(duì)象訪問(wèn) 成功

審核策略更改 成功，失敗

審核特權(quán)使用 成功，失敗

審核系統(tǒng)事件 成功，失敗

5.開(kāi)啟密碼密碼策略

策略 設(shè)置

密碼復(fù)雜性要求 啟用

密碼長(zhǎng)度最小值 6位

強(qiáng)制密碼歷史 5 次

強(qiáng)制密碼歷史 42 天

6．開(kāi)啟帳戶(hù)策略

策略 設(shè)置

復(fù)位帳戶(hù)鎖定計(jì)數(shù)器 20分鐘

帳戶(hù)鎖定時(shí)間 20分鐘

帳戶(hù)鎖定閾值 3次

7．設(shè)定安全記錄的訪問(wèn)權(quán)限

安全記錄在默認(rèn)情況下是沒(méi)有保護(hù)的，把他設(shè)置成只有Administrator和系統(tǒng)帳戶(hù)才有權(quán)訪問(wèn)。

8．把敏感文件存放在另外的文件服務(wù)器中

雖然現(xiàn)在服務(wù)器的硬盤(pán)容量都很大，但是你還是應(yīng)該考慮是否有必要把一些重要的用戶(hù)數(shù)據(jù)(文件，數(shù)據(jù)表，項(xiàng)目文件等)存放在另外一個(gè)安全的服務(wù)器中，并且經(jīng)常備份它們。

9.不讓系統(tǒng)顯示上次登陸的用戶(hù)名

默認(rèn)情況下，終端服務(wù)接入服務(wù)器時(shí)，登陸對(duì)話框中會(huì)顯示上次登陸的帳戶(hù)明，本地的登陸對(duì)話框也是一樣。這使得別人可以很容易的得到系統(tǒng)的一些用戶(hù)名，進(jìn)而作密碼猜測(cè)。修改注冊(cè)表可以不讓對(duì)話框里顯示上次登陸的用戶(hù)名，具體是：

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\DontDisplayLastUserName

把 REG_SZ 的鍵值改成 1 .

10．禁止建立空連接

默認(rèn)情況下，任何用戶(hù)通過(guò)通過(guò)空連接連上服務(wù)器，進(jìn)而枚舉出帳號(hào)，猜測(cè)密碼。我們可以通過(guò)修改注冊(cè)表來(lái)禁止建立空連接：

Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous 的值改成”1”即可。

10.到微軟網(wǎng)站下載最新的補(bǔ)丁程序

很多網(wǎng)絡(luò)管理員沒(méi)有訪問(wèn)安全站點(diǎn)的習(xí)慣，以至于一些漏洞都出了很久了，還放著服務(wù)器的漏洞不補(bǔ)給人家當(dāng)靶子用。誰(shuí)也不敢保證數(shù)百萬(wàn)行以上代碼的2000不出一點(diǎn)安全漏洞，經(jīng)常訪問(wèn)微軟和一些安全站點(diǎn)，下載最新的service pack和漏洞補(bǔ)丁，是保障服務(wù)器長(zhǎng)久安全的唯一方法。

高級(jí)篇

1. 關(guān)閉 DirectDraw

這是C2級(jí)安全標(biāo)準(zhǔn)對(duì)視頻卡和內(nèi)存的要求。關(guān)閉DirectDraw可能對(duì)一些需要用到DirectX的程序有影響（比如游戲，在服務(wù)器上玩星際爭(zhēng)霸？我暈..$%$^%^??），但是對(duì)于絕大多數(shù)的商業(yè)站點(diǎn)都應(yīng)該是沒(méi)有影響的。 修改注冊(cè)表 HKLM\SYSTEM\CurrentControlSet\Control\GraphicsDrivers\DCI 的Timeout(REG_DWORD)為 0 即可。

2.關(guān)閉默認(rèn)共享

win2000安裝好以后，系統(tǒng)會(huì)創(chuàng)建一些隱藏的共享，你可以在cmd下打 net share 查看他們。網(wǎng)上有很多關(guān)于IPC入侵的文章，相信大家一定對(duì)它不陌生。要禁止這些共享 ，打開(kāi) 管理工具計(jì)算機(jī)管理共享文件夾共享 在相應(yīng)的共享文件夾上按右鍵，點(diǎn)停止共享即可，不過(guò)機(jī)器重新啟動(dòng)后，這些共享又會(huì)重新開(kāi)啟的。

默認(rèn)共享目錄 路徑和功能

C$ D$ E$ 每個(gè)分區(qū)的根目錄。Win2000 Pro版中，只有Administrator

和Backup Operators組成員才可連接，Win2000 Server版本

Server Operatros組也可以連接到這些共享目錄

ADMIN$ %SYSTEMROOT% 遠(yuǎn)程管理用的共享目錄。它的路徑永遠(yuǎn)都

指向Win2000的安裝路徑，比如 c:\winnt

FAX$ 在Win2000 Server中，F(xiàn)AX$在fax客戶(hù)端發(fā)傳真的時(shí)候會(huì)到。

IPC$ 空連接。IPC$共享提供了登錄到系統(tǒng)的能力。

NetLogon 這個(gè)共享在Windows 2000 服務(wù)器的Net Login 服務(wù)在處

理登陸域請(qǐng)求時(shí)用到

PRINT$ %SYSTEMROOT%\SYSTEM32\SPOOL\DRIVERS 用戶(hù)遠(yuǎn)程管理打印機(jī)

3.禁止dump file的產(chǎn)生

dump文件在系統(tǒng)崩潰和藍(lán)屏的時(shí)候是一份很有用的查找問(wèn)題的資料(不然我就照字面意思翻譯成垃圾文件了)。然而，它也能夠給黑客提供一些敏感信息比如一些應(yīng)用程序的密碼等。要禁止它，打開(kāi) 控制面板系統(tǒng)屬性高級(jí)啟動(dòng)和故障恢復(fù) 把 寫(xiě)入調(diào)試信息 改成無(wú)。要用的時(shí)候，可以再重新打開(kāi)它。

4.使用文件加密系統(tǒng)EFS

Windows2000 強(qiáng)大的加密系統(tǒng)能夠給磁盤(pán)，文件夾，文件加上一層安全保護(hù)。這樣可以防止別人把你的硬盤(pán)掛到別的機(jī)器上以讀出里面的數(shù)據(jù)。記住要給文件夾也使用EFS,而不僅僅是單個(gè)的文件。 有關(guān)EFS的具體信息可以查看

5.加密temp文件夾

一些應(yīng)用程序在安裝和升級(jí)的時(shí)候，會(huì)把一些東西拷貝到temp文件夾，但是當(dāng)程序升級(jí)完畢或關(guān)閉的時(shí)候，它們并不會(huì)自己清除temp文件夾的內(nèi)容。所以，給temp文件夾加密可以給你的文件多一層保護(hù)。

6.鎖住注冊(cè)表

在windows2000中，只有administrators和Backup Operators才有從網(wǎng)絡(luò)上訪問(wèn)注冊(cè)表的權(quán)限。如果你覺(jué)得還不夠的話，可以進(jìn)一步設(shè)定注冊(cè)表訪問(wèn)權(quán)限，詳細(xì)信息請(qǐng)參考：

7.關(guān)機(jī)時(shí)清除掉頁(yè)面文件

頁(yè)面文件也就是調(diào)度文件，是win2000用來(lái)存儲(chǔ)沒(méi)有裝入內(nèi)存的程序和數(shù)據(jù)文件部分的隱藏文件。一些第三方的程序可以把一些沒(méi)有的加密的密碼存在內(nèi)存中，頁(yè)面文件中也可能含有另外一些敏感的資料。 要在關(guān)機(jī)的時(shí)候清楚頁(yè)面文件，可以編輯注冊(cè)表

HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management

把ClearPageFileAtShutdown的值設(shè)置成1。

8.禁止從軟盤(pán)和CD Rom啟動(dòng)系統(tǒng)

一些第三方的工具能通過(guò)引導(dǎo)系統(tǒng)來(lái)繞過(guò)原有的安全機(jī)制。如果你的服務(wù)器對(duì)安全要求非常高，可以考慮使用可移動(dòng)軟盤(pán)和光驅(qū)。把機(jī)箱鎖起來(lái)扔不失為一個(gè)好方法。

9.考慮使用智能卡來(lái)代替密碼

對(duì)于密碼，總是使安全管理員進(jìn)退兩難，容易受到 10phtcrack 等工具的攻擊，如果密碼太復(fù)雜，用戶(hù)把為了記住密碼，會(huì)把密碼到處亂寫(xiě)。如果條件允許，用智能卡來(lái)代替復(fù)雜的密碼是一個(gè)很好的解決方法。

10.考慮使用IPSec

正如其名字的含義，IPSec 提供 IP 數(shù)據(jù)包的安全性。IPSec 提供身份驗(yàn)證、完整性和可選擇的機(jī)密性。發(fā)送方計(jì)算機(jī)在傳輸之前加密數(shù)據(jù)，而接收方計(jì)算機(jī)在收到數(shù)據(jù)之后解密數(shù)據(jù)。利用IPSec可以使得系統(tǒng)的安全性能大大增強(qiáng)。

企業(yè)內(nèi)網(wǎng)怎么保證安全？

1、注意內(nèi)網(wǎng)安全與網(wǎng)絡(luò)邊界安全的不同

內(nèi)網(wǎng)安全的威脅不同于網(wǎng)絡(luò)邊界的威脅。網(wǎng)絡(luò)邊界安全技術(shù)防范來(lái)自Internet上的攻擊，主要是防范來(lái)自公共的網(wǎng)絡(luò)服務(wù)器如HTTP或SMTP的攻 擊。網(wǎng)絡(luò)邊界防范(如邊界防火墻系統(tǒng)等)減小了資深黑客僅僅只需接入互聯(lián)網(wǎng)、寫(xiě)程序就可訪問(wèn)企業(yè)網(wǎng)的幾率。內(nèi)網(wǎng)安全威脅主要源于企業(yè)內(nèi)部。惡性的黑客攻擊 事件一般都會(huì)先控制局域網(wǎng)絡(luò)內(nèi)部的一臺(tái)Server，然后以此為基地，對(duì)Internet上其他主機(jī)發(fā)起惡性攻擊。因此，應(yīng)在邊界展開(kāi)黑客防護(hù)措施，同時(shí) 建立并加強(qiáng)內(nèi)網(wǎng)防范策略。

2、限制VPN的訪問(wèn)

虛擬專(zhuān)用網(wǎng)(VPN)用戶(hù)的 訪問(wèn)對(duì)內(nèi)網(wǎng)的安全造成了巨大的威脅。因?yàn)樗鼈儗⑷趸淖烂娌僮飨到y(tǒng)置于企業(yè)防火墻的防護(hù)之外。很明顯VPN用戶(hù)是可以訪問(wèn)企業(yè)內(nèi)網(wǎng)的。因此要避免給每一位 VPN用戶(hù)訪問(wèn)內(nèi)網(wǎng)的全部權(quán)限。這樣可以利用登錄控制權(quán)限列表來(lái)限制VPN用戶(hù)的登錄權(quán)限的級(jí)別，即只需賦予他們所需要的訪問(wèn)權(quán)限級(jí)別即可，如訪問(wèn)郵件服 務(wù)器或其他可選擇的網(wǎng)絡(luò)資源的權(quán)限。

3、為合作企業(yè)網(wǎng)建立內(nèi)網(wǎng)型的邊界防護(hù)

合作企業(yè)網(wǎng)也是造成內(nèi)網(wǎng)安全問(wèn)題的一大原因。例如安全管理員雖然知道怎樣利用實(shí)際技術(shù)來(lái)完固防火墻，保護(hù)MS-SQL，但是Slammer蠕蟲(chóng)仍能侵入 內(nèi)網(wǎng)，這就是因?yàn)槠髽I(yè)給了他們的合作伙伴進(jìn)入內(nèi)部資源的訪問(wèn)權(quán)限。由此，既然不能控制合作者的網(wǎng)絡(luò)安全策略和活動(dòng)，那么就應(yīng)該為每一個(gè)合作企業(yè)創(chuàng)建一個(gè) DMZ，并將他們所需要訪問(wèn)的資源放置在相應(yīng)的DMZ中，不允許他們對(duì)內(nèi)網(wǎng)其他資源的訪問(wèn)。

4、自動(dòng)跟蹤的安全策略

智能的自動(dòng)執(zhí)行實(shí)時(shí)跟蹤的安全策略是有效地實(shí)現(xiàn)網(wǎng)絡(luò)安全實(shí)踐的關(guān)鍵。它帶來(lái)了商業(yè)活動(dòng)中一大改革，極大的超過(guò)了手動(dòng)安全策略的功效。商業(yè)活動(dòng)的現(xiàn)狀需要 企業(yè)利用一種自動(dòng)檢測(cè)方法來(lái)探測(cè)商業(yè)活動(dòng)中的各種變更，因此，安全策略也必須與相適應(yīng)。例如實(shí)時(shí)跟蹤企業(yè)員工的雇傭和解雇、實(shí)時(shí)跟蹤網(wǎng)絡(luò)利用情況并記錄與 該計(jì)算機(jī)對(duì)話的文件服務(wù)器。總之，要做到確保每天的所有的活動(dòng)都遵循安全策略。

5、關(guān)掉無(wú)用的網(wǎng)絡(luò)服務(wù)器

大型企業(yè)網(wǎng)可能同時(shí)支持四到五個(gè)服務(wù)器傳送e-mail，有的企業(yè)網(wǎng)還會(huì)出現(xiàn)幾十個(gè)其他服務(wù)器監(jiān)視SMTP端口的情況。這些主機(jī)中很可能有潛在的郵件服 務(wù)器的攻擊點(diǎn)。因此要逐個(gè)中斷網(wǎng)絡(luò)服務(wù)器來(lái)進(jìn)行審查。若一個(gè)程序(或程序中的邏輯單元)作為一個(gè)window文件服務(wù)器在運(yùn)行但是又不具有文件服務(wù)器作用 的，關(guān)掉該文件的共享協(xié)議。

6、首先保護(hù)重要資源

若一個(gè)內(nèi)網(wǎng)上連了千萬(wàn)臺(tái) (例如30000臺(tái))機(jī)子，那么要期望保持每一臺(tái)主機(jī)都處于鎖定狀態(tài)和補(bǔ)丁狀態(tài)是非常不現(xiàn)實(shí)的。大型企業(yè)網(wǎng)的安全考慮一般都有擇優(yōu)問(wèn)題。這樣，首先要對(duì)服 務(wù)器做效益分析評(píng)估，然后對(duì)內(nèi)網(wǎng)的每一臺(tái)網(wǎng)絡(luò)服務(wù)器進(jìn)行檢查、分類(lèi)、修補(bǔ)和強(qiáng)化工作。必定找出重要的網(wǎng)絡(luò)服務(wù)器(例如實(shí)時(shí)跟蹤客戶(hù)的服務(wù)器)并對(duì)他們進(jìn)行 限制管理。這樣就能迅速準(zhǔn)確地確定企業(yè)最重要的資產(chǎn)，并做好在內(nèi)網(wǎng)的定位和權(quán)限限制工作。

7、建立可靠的無(wú)線訪問(wèn)

審查網(wǎng)絡(luò)，為實(shí)現(xiàn)無(wú)線訪問(wèn)建立基礎(chǔ)。排除無(wú)意義的無(wú)線訪問(wèn)點(diǎn)，確保無(wú)線網(wǎng)絡(luò)訪問(wèn)的強(qiáng)制性和可利用性，并提供安全的無(wú)線訪問(wèn)接口。將訪問(wèn)點(diǎn)置于邊界防火墻之外，并允許用戶(hù)通過(guò)VPN技術(shù)進(jìn)行訪問(wèn)。

8、建立安全過(guò)客訪問(wèn)

對(duì)于過(guò)客不必給予其公開(kāi)訪問(wèn)內(nèi)網(wǎng)的權(quán)限。許多安全技術(shù)人員執(zhí)行的“內(nèi)部無(wú)Internet訪問(wèn)”的策略，使得員工給客戶(hù)一些非法的訪問(wèn)權(quán)限，導(dǎo)致了內(nèi)網(wǎng)實(shí)時(shí)跟蹤的困難。因此，須在邊界防火墻之外建立過(guò)客訪問(wèn)網(wǎng)絡(luò)塊。

9、創(chuàng)建虛擬邊界防護(hù)

主機(jī)是被攻擊的主要對(duì)象。與其努力使所有主機(jī)不遭攻擊(這是不可能的)，還不如在如何使攻擊者無(wú)法通過(guò)受攻擊的主機(jī)來(lái)攻擊內(nèi)網(wǎng)方面努力。于是必須解決企 業(yè)網(wǎng)絡(luò)的使用和在企業(yè)經(jīng)營(yíng)范圍建立虛擬邊界防護(hù)這個(gè)問(wèn)題。這樣，如果一個(gè)市場(chǎng)用戶(hù)的客戶(hù)機(jī)被侵入了，攻擊者也不會(huì)由此而進(jìn)入到公司的RD。因此 要實(shí)現(xiàn)公司RD與市場(chǎng)之間的訪問(wèn)權(quán)限控制。大家都知道怎樣建立互聯(lián)網(wǎng)與內(nèi)網(wǎng)之間的邊界防火墻防護(hù)，現(xiàn)在也應(yīng)該意識(shí)到建立網(wǎng)上不同商業(yè)用戶(hù)群之間 的邊界防護(hù)。

10、可靠的安全決策

網(wǎng)絡(luò)用戶(hù)也存在著安全隱患。有的用戶(hù)或 許對(duì)網(wǎng)絡(luò)安全知識(shí)非常欠缺，例如不知道RADIUS和TACACS之間的不同，或不知道代理網(wǎng)關(guān)和分組過(guò)濾防火墻之間的不同等等，但是他們作為公司的合作 者，也是網(wǎng)絡(luò)的使用者。因此企業(yè)網(wǎng)就要讓這些用戶(hù)也容易使用，這樣才能引導(dǎo)他們自動(dòng)的響應(yīng)網(wǎng)絡(luò)安全策略。

另外，在技術(shù)上，采用安全交換機(jī)、重要數(shù)據(jù)的備份、使用代理網(wǎng)關(guān)、確保操作系統(tǒng)的安全、使用主機(jī)防護(hù)系統(tǒng)和入侵檢測(cè)系統(tǒng)等等措施也不可缺少。

如何保證Web服務(wù)器安全？

一、在代碼編寫(xiě)時(shí)就要進(jìn)行漏洞測(cè)試。

二、對(duì)Web服務(wù)器進(jìn)行持續(xù)的監(jiān)控。

三、設(shè)置蜜罐，將攻擊者引向錯(cuò)誤的方向。

四、專(zhuān)人對(duì)Web服務(wù)器的安全性進(jìn)行測(cè)試。

在Web服務(wù)器的攻防戰(zhàn)上，這一個(gè)原則也適用。筆者建議，如果企業(yè)對(duì)于Web服務(wù)的安全比較高，如網(wǎng)站服務(wù)器上有電子商務(wù)交易平臺(tái)，此時(shí)最好設(shè)置一個(gè)專(zhuān)業(yè)的團(tuán)隊(duì)。他們充當(dāng)攻擊者的角色，對(duì)服務(wù)器進(jìn)行安全性的測(cè)試。這個(gè)專(zhuān)業(yè)團(tuán)隊(duì)主要執(zhí)行如下幾個(gè)任務(wù)。　

一是測(cè)試Web管理團(tuán)隊(duì)對(duì)攻擊行為的反應(yīng)速度。如可以采用一些現(xiàn)在比較流行的攻擊手段，對(duì)自己的Web服務(wù)器發(fā)動(dòng)攻擊。當(dāng)然這個(gè)時(shí)間是隨機(jī)的。預(yù)先Web管理團(tuán)隊(duì)并不知道。現(xiàn)在要評(píng)估的是，Web管理團(tuán)隊(duì)在多少時(shí)間之內(nèi)能夠發(fā)現(xiàn)這種攻擊的行為。這也是考驗(yàn)管理團(tuán)隊(duì)全天候跟蹤的能力。一般來(lái)說(shuō)，這個(gè)時(shí)間越短越好。應(yīng)該將這個(gè)時(shí)間控制在可控的范圍之內(nèi)。即使攻擊最后沒(méi)有成功，Web管理團(tuán)隊(duì)也應(yīng)該及早的發(fā)現(xiàn)攻擊的行為。畢竟有沒(méi)有發(fā)現(xiàn)、與最終有沒(méi)有取得成功，是兩個(gè)不同的概念。

二是要測(cè)試服務(wù)器的漏洞是否有補(bǔ)上。畢竟大部分的攻擊行為，都是針對(duì)服務(wù)器現(xiàn)有的漏洞所產(chǎn)生的。現(xiàn)在這個(gè)專(zhuān)業(yè)團(tuán)隊(duì)要做的就是，這些已發(fā)現(xiàn)的漏洞是否都已經(jīng)打上了安全補(bǔ)丁或者采取了對(duì)應(yīng)的安全措施。有時(shí)候我們都沒(méi)有發(fā)現(xiàn)的漏洞是無(wú)能為力，但是對(duì)于這些已經(jīng)存在的漏洞不能夠放過(guò)。否則的話，也太便宜那些攻擊者了。

如何有效保障服務(wù)器及網(wǎng)絡(luò)安全？

服務(wù)器安全一般都是采用軟件輔助+手工服務(wù)的安全設(shè)置，有錢(qián)人都是買(mǎi)好幾W的硬件來(lái)做服務(wù)器安全。但是對(duì)于我一個(gè)小小的站長(zhǎng)，哪能承受的了。一年的服務(wù)器托管才5000多，建議你找專(zhuān)業(yè)做服務(wù)器安全的公司或者團(tuán)隊(duì)，來(lái)給你做服務(wù)器安全維護(hù)。

安全這問(wèn)題，很重要，我上次就是為了省錢(qián)，在網(wǎng)上搜索了一些服務(wù)器安全設(shè)置的文章，對(duì)著文章，我一個(gè)一個(gè)的設(shè)置起來(lái)，費(fèi)了好幾天的時(shí)間才設(shè)置完，沒(méi)想到，服務(wù)器竟然癱瘓了，網(wǎng)站都打不開(kāi)了，也最終明白了，免費(fèi)的東西，也是最貴的，損失真的很大，數(shù)據(jù)庫(kù)都給我回檔了，我哪個(gè)后悔啊。娘個(gè)咪的。最后還是讓機(jī)房把系統(tǒng)重裝了，然后找的sine安全公司給做的網(wǎng)站服務(wù)器安全維護(hù)。跟他們還簽了合同，真的是一份價(jià)格一份服務(wù)，專(zhuān)業(yè)的服務(wù) 安全非常穩(wěn)定。也只有網(wǎng)站安全了，才能帶來(lái)安全穩(wěn)定的客戶(hù)源。道理也是經(jīng)歷了才明白。說(shuō)了這么多經(jīng)歷，希望能幫到更多和我一樣的網(wǎng)站站長(zhǎng)。

下面是關(guān)于安全方面的解決辦法！

建站一段時(shí)間后總能聽(tīng)得到什么什么網(wǎng)站被掛馬，什么網(wǎng)站被黑。好像入侵掛馬似乎是件很簡(jiǎn)單的事情。其實(shí)，入侵不簡(jiǎn)單，簡(jiǎn)單的是你的網(wǎng)站的必要安全措施并未做好。

有條件建議找專(zhuān)業(yè)做網(wǎng)站安全的sine安全來(lái)做安全維護(hù)。

一：掛馬預(yù)防措施：

1、建議用戶(hù)通過(guò)ftp來(lái)上傳、維護(hù)網(wǎng)頁(yè)，盡量不安裝asp的上傳程序。

2、定期對(duì)網(wǎng)站進(jìn)行安全的檢測(cè)，具體可以利用網(wǎng)上一些工具，如sinesafe網(wǎng)站掛馬檢測(cè)工具！

3、asp程序管理員的用戶(hù)名和密碼要有一定復(fù)雜性，不能過(guò)于簡(jiǎn)單，還要注意定期更換。

4、到正規(guī)網(wǎng)站下載asp程序，下載后要對(duì)其數(shù)據(jù)庫(kù)名稱(chēng)和存放路徑進(jìn)行修改，數(shù)據(jù)庫(kù)文件名稱(chēng)也要有一定復(fù)雜性。

5、要盡量保持程序是最新版本。

6、不要在網(wǎng)頁(yè)上加注后臺(tái)管理程序登陸頁(yè)面的鏈接。

7、為防止程序有未知漏洞，可以在維護(hù)后刪除后臺(tái)管理程序的登陸頁(yè)面，下次維護(hù)時(shí)再通過(guò)ftp上傳即可。

8、要時(shí)常備份數(shù)據(jù)庫(kù)等重要文件。

9、日常要多維護(hù)，并注意空間中是否有來(lái)歷不明的asp文件。記住：一分汗水，換一分安全!

10、一旦發(fā)現(xiàn)被入侵，除非自己能識(shí)別出所有木馬文件，否則要?jiǎng)h除所有文件。

11、對(duì)asp上傳程序的調(diào)用一定要進(jìn)行身份認(rèn)證，并只允許信任的人使用上傳程序。這其中包括各種新聞發(fā)布、商城及論壇。

二：掛馬恢復(fù)措施：

1.修改帳號(hào)密碼

不管是商業(yè)或不是，初始密碼多半都是admin。因此你接到網(wǎng)站程序第一件事情就是“修改帳號(hào)密碼”。

帳號(hào)密碼就不要在使用以前你習(xí)慣的，換點(diǎn)特別的。盡量將字母數(shù)字及符號(hào)一起。此外密碼最好超過(guò)15位。尚若你使用SQL的話應(yīng)該使用特別點(diǎn)的帳號(hào)密碼，不要在使用什么什么admin之類(lèi)，否則很容易被入侵。

2.創(chuàng)建一個(gè)robots.txt

Robots能夠有效的防范利用搜索引擎竊取信息的駭客。

3.修改后臺(tái)文件

第一步：修改后臺(tái)里的驗(yàn)證文件的名稱(chēng)。

第二步：修改conn.asp，防止非法下載，也可對(duì)數(shù)據(jù)庫(kù)加密后在修改conn.asp。

第三步：修改ACESS數(shù)據(jù)庫(kù)名稱(chēng)，越復(fù)雜越好，可以的話將數(shù)據(jù)所在目錄的換一下。

4.限制登陸后臺(tái)IP

此方法是最有效的，每位虛擬主機(jī)用戶(hù)應(yīng)該都有個(gè)功能。你的IP不固定的話就麻煩點(diǎn)每次改一下咯，安全第一嘛。

5.自定義404頁(yè)面及自定義傳送ASP錯(cuò)誤信息

404能夠讓駭客批量查找你的后臺(tái)一些重要文件及檢查網(wǎng)頁(yè)是否存在注入漏洞。

ASP錯(cuò)誤嘛，可能會(huì)向不明來(lái)意者傳送對(duì)方想要的信息。

6.慎重選擇網(wǎng)站程序

注意一下網(wǎng)站程序是否本身存在漏洞，好壞你我心里該有把秤。

7.謹(jǐn)慎上傳漏洞

據(jù)悉，上傳漏洞往往是最簡(jiǎn)單也是最嚴(yán)重的，能夠讓黑客或駭客們輕松控制你的網(wǎng)站。

可以禁止上傳或著限制上傳的文件類(lèi)型。不懂的話可以找專(zhuān)業(yè)做網(wǎng)站安全的sinesafe公司。

8. cookie 保護(hù)

登陸時(shí)盡量不要去訪問(wèn)其他站點(diǎn)，以防止 cookie 泄密。切記退出時(shí)要點(diǎn)退出在關(guān)閉所有瀏覽器。

9.目錄權(quán)限

請(qǐng)管理員設(shè)置好一些重要的目錄權(quán)限，防止非正常的訪問(wèn)。如不要給上傳目錄執(zhí)行腳本權(quán)限及不要給非上傳目錄給于寫(xiě)入權(quán)。

10.自我測(cè)試

如今在網(wǎng)上黑客工具一籮筐，不防找一些來(lái)測(cè)試下你的網(wǎng)站是否OK。

11.例行維護(hù)

a.定期備份數(shù)據(jù)。最好每日備份一次，下載了備份文件后應(yīng)該及時(shí)刪除主機(jī)上的備份文件。

b.定期更改數(shù)據(jù)庫(kù)的名字及管理員帳密。

c.借WEB或FTP管理，查看所有目錄體積，最后修改時(shí)間以及文件數(shù)，檢查是文件是否有異常，以及查看是否有異常的賬號(hào)。

網(wǎng)站被掛馬一般都是網(wǎng)站程序存在漏洞或者服務(wù)器安全性能不達(dá)標(biāo)被不法黑客入侵攻擊而掛馬的。

網(wǎng)站被掛馬是普遍存在現(xiàn)象然而也是每一個(gè)網(wǎng)站運(yùn)營(yíng)者的心腹之患。

您是否因?yàn)榫W(wǎng)站和服務(wù)器天天被入侵掛馬等問(wèn)題也曾有過(guò)想放棄的想法呢，您否也因?yàn)椴惶私饩W(wǎng)站技術(shù)的問(wèn)題而耽誤了網(wǎng)站的運(yùn)營(yíng)，您是否也因?yàn)榫倪\(yùn)營(yíng)的網(wǎng)站反反復(fù)復(fù)被一些無(wú)聊的黑客入侵掛馬感到徬彷且很無(wú)耐。有條件建議找專(zhuān)業(yè)做網(wǎng)站安全的sine安全來(lái)做安全維護(hù)。

當(dāng)前標(biāo)題：小公司服務(wù)器安全方案 服務(wù)器安全怎么做
分享地址：http://www.yijiale78.com/article8/ddgcdop.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站設(shè)計(jì)公司、網(wǎng)站內(nèi)鏈、移動(dòng)網(wǎng)站建設(shè)、微信公眾號(hào)、商城網(wǎng)站、網(wǎng)站策劃

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶(hù)投稿、用戶(hù)轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)