Win2003伺服器安全配置技巧

我們配置的伺服器需要提供支援的組件如下：（ASP、ASPX、CGI、PHP、FSO、JMAIL、MySql、SMTP、POP3、FTP、 3389終端服務、遠程桌面Web連接管理服務等），這裡前提是已經安裝好了系統，IIS，包括FTP伺服器，郵件伺服器等，這些具體配置方法的就不再重復了，現在我們著重主要闡述下關於安全方面的配置。
  關於常規的如安全的安裝系統，設置和管理帳戶，關閉多餘的服務，審核策略，修改終端管理端口， 以及配置MS-SQL，刪除危險的存儲過程，用最低許可權的public帳戶連接等等，都不說了
  先說關於系統的NTFS磁片許可權設置，大家可能看得都多了，但是2003伺服器有些細節地方需要注意的，我看很多文章都沒寫完全。
  C盤只給administrators 和system許可權，其他的許可權不給，其他的盤也可以這樣設置，這裡給的system許可權也不一定需要給，只是由於某些第三方應用程式是以服務形式啟動的，需要加上這個用戶，否則造成啟動不了。

  Windows目錄要加上給users的默認許可權，否則ASP和ASPX等應用程式就無法運行。以前有朋友單獨設置Instsrv和temp等目錄許可權，其實沒有這個必要的。

  另外在c:/Documents and Settings/這裡相當重要，後面的目錄裏的許可權根本不會繼承從前的設置，如果僅僅只是設置了C盤給administrators許可權，而在All Users/Application Data目錄下會出現everyone用戶有完全控制許可權，這樣入侵這可以跳轉到這個目錄，寫入腳本或只文件，再結合其他漏洞來提升許可權；譬如利用serv-u的本地溢出提升許可權，或系統遺漏有補丁，數據庫的弱點，甚至社會工程學等等N多方法，從前不是有牛人發颮說："只要給我一個webshell，我就能拿到 system"，這也的確是有可能的。在用做web/ftp伺服器的系統裏，建議是將這些目錄都設置的鎖死。其他每個盤的目錄都按照這樣設置，沒個盤都只給adinistrators許可權。

  另外，還將：net.exe，cmd.exe，tftp.exe，netstat.exe，regedit.exe，at.exe，attrib.exe，cacls.exe，這些文件都設置只允許administrators訪問。
  把不必要的服務都禁止掉，儘管這些不一定能被攻擊者利用得上，但是按照安全規則和標準上來說，多餘的東西就沒必要開啟，減少一份隱患。
  在"網路連接"裏，把不需要的協議和服務都刪掉，這裡只安裝了基本的Internet協議（TCP/IP），由於要控制帶寬流量服務，額外安裝了 Qos數據包計劃程式。在高級tcp/ip設置裏--"NetBIOS"設置"禁用tcp/IP上的NetBIOS（S）"。在高級選項裏，使用 "Internet連接防火牆"，這是windows 2003 自帶的防火牆，在2000系統裏沒有的功能，雖然沒什麼功能，但可以遮罩端口，這樣已經基本達到了一個IPSec的功能。



  這裡我們按照所需要的服務開放響應的端口。在2003系統裏，不推薦用TCP/IP篩選裏的端口過濾功能，譬如在使用FTP伺服器的時候，如果僅僅只開放21端口，由於FTP協議的特殊性，在進行FTP傳輸的時候，由於FTP 特有的Port模式和Passive模式，在進行數據傳輸的時候，需要動態的打開高端口，所以在使用TCP/IP過濾的情況下，經常會出現連接上後無法列出目錄和數據傳輸的問題。所以在2003系統上增加的windows連接防火牆能很好的解決這個問題，所以都不推薦使用網卡的TCP/IP過濾功能。