服务器安全的管理

网络安全界有句名言：最少的服务加最小的权限等于最大的安全。公司服务器配置情况如下：67、68、69、70的服务器安装的系统是WIN2000AdvanceServer版本，采用了IIS5.0作为虚拟主机系统，为保证系统的安全和数据的可靠，特将硬盘划分为系统盘与数据盘，WIN2000安装于系统盘上，数据库系统安装在数据盘上.服务器上采取的安全防护措施如下：所有的分区都格式化成NTFS格式，保证对用户权限的控制.给予administrators和system完全控制的权限,将系统默认的everyone的完全控制权限删除，根据不同用户再分别授予相应的权限。将硬盘空间分成系统分区（安装操作系统），网站分区（运行虚拟主机和客户网站，后台数据库的分区），备份分区（做数据与程序的备份存储用）。开启了事件审核功能，对用户登录，策略改动以及程序运行情况进行实时监控，保证在系统被破坏的情况下也能有案可查。对于后台数据库中的用户数据，在SQLSERVER中进行了设置，每天晚上会自动执行一次所有后台数据库数据的备份工作，即使当天客户的数据库被误删除了，也能找到前天晚上备份的所有数据,保证客户数据的安全可靠。对于前台网站，我们采用系统自带的备份功能，设置了每周的备份计划，将客户的网站在每周日进行一次完全备份.保证了客户网站的数据完整。在IIS安装时只安装了WEB服务,其余的FTP、SMTP、NNTP均未安装。FTP服务器采用了Ser-U服务器程序，运行稳定且可靠,并升级到了最新的版本，禁止匿名用户的登陆,给每个用户分配了一个强健的密码，并设定了只能访问其自身的目录。操作系统安装好以后，及时打好了SP4和系统安全补丁，防止了病毒感染和黑客攻击的可能性，保证了系统的正常安全运行.在微软的漏洞被发现以后，及时升级系统，打好系统补丁。同时安装了微软自带的终端服务和SYMANTEC公司的pcanywhere远程控制软件，即使一个远程控制服务没能开启，也可以保证采用另一个远程登陆方式能连接上服务器。防病毒软件采用了SYMANTEC公司的norton防病毒软件，并每周按时升级后杀毒，保证了系统的无毒和安全。禁用了来宾用户帐号，对系统管理员帐号进行了重命名，最大限度地减少了系统被攻击的可能性。对系统的用户的密码进行了控制，管理员的密码采用了字母与数字以及特殊字符相结合的办法，防范暴力破解密码的可能性,保证服务器的安全。对于测试法破解密码的方法，采取了五次密码输错即锁定用户30分钟的做法，防止测试法试探密码。采用了网络漏洞扫描工具定期对服务器进行网络安全的检查和测试，发现安全漏洞后及时修补，防止安全问题的产生。SQLServer2000数据库安装以后即升级到SP3的版本，减少数据库漏洞的产生，防止了蠕虫病毒的感染和黑客的破坏。数据库中的SA超级用户采用了个强健的密码，并对每个用户使用的数据库制定了一个用户名和密码，并设定了相应的权限。每个用户只能对本数据库进行操作，有效地防止了跨库操作的发生.危及数据库安全。杭州网通互联公司网管刘蔚2004年7月14日Win2000服务器网络安全设置一、 帐户安全管理帐户要尽可能少，并且经常用一些扫描工具检查系统帐户，帐号权限及密码，删除已经不再使用的帐户停用Guest帐号，并给Guest加一个复杂的密码。把系统Administrator帐号改名，尽量把它伪装成普通用户，名称不要带有Admin字样。不让系统显示上次登陆的用户名。修改Win2000的本地安全策略设置“本地安全策略一本地策略一选项”中的“登录屏幕上不要显示上次登陆的用户名”二、 网络服务安全管理关闭不必要的服务一些服务可能会给系统带来安全漏洞，如WIN2000的TerminalServices（终端服务），IIS和RAS（远程访问服务）等。除非确有必要，关闭TaskScheduler，Telnet，RemoteRegistryService，RunAsService，PrintSpooler等不必要的服务。关闭不必要的端口当服务器只提供较单一的功能时，可考虑只开放某些端口。具体方法为：按顺序打开“网上邻居一属性一本地连接一属性一INTERNET协议（TCP/IP）属性一高级一选项一TCP/IP筛选一属性”，打开TCP/IP筛选，添加需要的TCP，UDP协议即可。禁止建立空连接默认情况下，任何用户可通过空连接连上服务器，枚举帐号并猜测帐号。修改WIN2000的本地安全策略设置“本地安全策略一本地策略一选项”中的“匿名连接的额外限制”一为“不容许枚举帐号和共享”。三、 网络服务安全设置打开策略审核功能，对一些重要的系统改动事件进行监控和记录。其中包括审核帐号管理，审核帐号登陆事件，审核策略更改，审核登陆事件，以便在被攻击和破坏后，能及时发现入侵者的痕迹，采取相应的补救措施。服务管理器安全设置1） 更改服务主目录，右键单击“默认站点一属性一主目录一本地路径'；将本地路径指向其他目录。2） 删除原默认安装的目录以及其下的所有虚拟目录。3） 删除不必要的IIS扩展名映射。方法是：右键单击“默认站点一属性一主目录一配置”，打开应用程序窗口，去掉不必要的应用程序映射，如不用到其他映射，只保留asp,.asa即可。4） 备份IIS配置。可使用IIS的备份功能，将设定好的IIS配置全部备份下来，这样就可以随时恢复IIS的安全配置。四、 数据文件安全管理备份要经常将重要数据备份到专用的备份服务器，备份完毕后，可将备份服务器与网络隔离。设置文件共享权限设置共享文件时，注意将共享文件的权限从“everyone”组改成“授权用户”，包括打印共享。系统盘必须要设置安全权限，将s