Windows 2003安全设置大全-系统权限与安全配置pc软件 文章资讯 手机软件

您当前的位置→图文中心安全防范Windows 2003安全设置大全-系统权限与安全配置

Windows 2003安全设置大全-系统权限与安全配置


2008/12/30  编辑:佚名 来源:本站整理  关键词:

Windows 2003安全设置大全-系统权限与安全配置

 

话锋一转就到了系统system权限布置设置与安全配置的实际操作阶段

系统system布置设置网上有一句话是“最小的权限 最少的服务=最大的安全”。 此句可以说是上是个人都看过, 但我好像

没有看到过一篇讲的比较详细稍具全面的文章, 下面就以我个人经验作一次教学尝试!

最小的权限怎么才能实现?

NTFS系统system权限布置设置 就在使用之前将每个硬盘根加上 Administrators 用户为全部权限(可选加入SYSTEM用户)

删除其它用户, 进入系统system盘:权限如下

C:\WINDOWS Administrators SYSTEM用户全部权限 Users 用户默认权限不作修改

其它目录删除Everyone用户, 切记C:\Documents and Settings下All Users\Default User目录及其子目录

如C:\Documents and Settings\All Users\Application Data 目录默认配置保留了Everyone用户权限

C:\WINDOWS 目录下面的权限也得提醒一定要注意,如 C:\WINDOWS\PCHealth、C:\windows\Installer也是保留了Everyone权限.

删除C:\WINDOWS\Web\printers目录, 此目录的存就在会造成IIS里加入一个.printers的扩展名, 可溢出攻击

默认IIS错误页面已可以说是上没多少人使用了。 主张删除C:\WINDOWS\Help\iisHelp目录

删除C:\WINDOWS\system32\inetsrv\iisadmpwd, 此目录为管理IIS密码之用, 如一些因密码不同步造成500

错误的时候使用 OWA 或 Iisadmpwd 修改同步密码, 但就在这里可以能够删掉, 下面讲到的布置设置将会杜绝因系统system

布置设置造成的密码不同步问题。

打开C:\Windows 搜索

net.exe;cmd.exe;tftp.exe;netstat.exe;regedit.exe;at.exe;attrib.exe;cacls.exe;format.com;

regsvr32.exe;xcopy.exe;wscript.exe;cscript.exe;ftp.exe;telnet.exe;arp.exe;edlin.exe;

ping.exe;route.exe;finger.exe;posix.exe;rsh.exe;atsvc.exe;qbasic.exe;runonce.exe;syskey.exe

修改权限, 删除所有的用户只保存Administrators 和SYSTEM为所有权限

关闭445端口

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\netBT\Parameters

新建 “DWORD值”值名为 “SMBDeviceEnabled” 数据信息为默认值“0”

禁止建立空连载

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

新建 “DWORD值”值名为 “RestrictAnonymous” 数据信息值为“1” [2003默认为1]

禁止系统system全自动启动服务器共享

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

新建 “DWORD值”值名为 “AutoShareServer” 数据信息值为“0”

禁止系统system全自动启动管理共享

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

新建 “DWORD值”值名为 “AutoShareWks” 数据信息值为“0”

可以通过修改注册表防止小规模DDOS攻击

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

新建 “DWORD值”值名为 “SynAttackProtect” 数据信息值为“1”

禁止dump file的产生

dump文件程序就在系统system崩溃和蓝屏的时候是一份很有用的查找问题的资料。 然而, 它也能够给黑客提供一些敏感

信息比如一些应用程序的密码等。 控制面板>系统system属性>高级>启动和故障恢复把 写入调试信息 改成无。

关闭华医生Dr.Watson

就在现在开始-运行中输入“drwtsn32”, 或者现在开始-程序-附件-系统system必备工具-系统system信息-必备工具-Dr Watson, 调出系统system

里的华医生Dr.Watson , 只保留“转储全部线程上下文”选择中项, 否则一旦程序出错, 硬盘会读很久, 并占

用大量空间。 如果以前有此情况, 请查找user.dmp文件程序, 删除后可节省几十MB空间。

本地安全策略配置

现在开始 > 程序 > 管理必备工具 > 本地安全策略

账户策略 > 密码策略 > 密码最短使用期限 改成0天[即密码不过期, 上面我讲到将不会造成IIS密码不同步]

账户策略 > 账户锁定策略 > 账户锁定阈值 5 次 账户锁定时间 10分钟 [个人推荐配置]

本地策略 > 审核策略 >

账户管理 成功 失败

登录事件 成功 失败

对象访问 失败

策略更改 成功 失败

特权使用 失败

系统system事件 成功 失败

目录服务访问 失败

账户登录事件 成功 失败

本地策略 > 安全选择中项 > 消除虚拟内存页面文件程序 更改为"已启用"

> 不显示上次的用户名 更改为"已启用"

> 不有请求需要按CTRL ALT DEL 更改为"已启用"

> 不允许 SAM 账户的匿名枚举 更改为"已启用"

> 不允许 SAM 账户和共享的匿名枚举 更改为"已启用"

> 重命名来宾账户 更改成一个复杂的账户名

> 重命名系统system管理员账号 更改一个我自己用的账号 [同一个时间可建立一个无用户组的Administrat账户]

组策略编辑器

运行 gpedit.msc 电脑计算机配置 > 管理模板 > 系统system 显示“关闭事件跟踪程序” 更改为已禁用

删除不安全组件

WScript.Shell 、Shell.application 这两个组件一般一些ASP木马或一些恶意程序都会使用到。

方案一:

regsvr32 /u wshom.ocx 卸载WScript.Shell 组件

regsvr32 /u shell32.dll 卸载Shell.application 组件

如果按照上面讲到的布置设置, 可不必删除这两个文件程序

方案二:

删除注册表 HKEY_CLASSES_ROOT\CLSID\{72C24DD5-D70A-438B-8A42-98424B88AFB8} 对应 WScript.Shell

删除注册表 HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540000} 对应 Shell.application

用户管理

建立另一个备用管理员账号, 防止特殊情况发生。

安装有终端服务与SQL服务的服务器停用TsInternetUser, SQLDebugger这两个账号

用户组说明

就在将来要使用到的IIS中, IIS用户一般使用Guests组, 也可以能够再重新建立一个独立的专供IIS使用的组, 但

要将这个组赋予C:\Windows 目录为读取权限[单一读取] 个人不主张使用单独目录, 太小家子气。

最少的服务如果实现

黑色为全自动 绿色为手动 红色为禁用

Alerter

Application Experience Lookup Service

Application Layer Gateway Service

Application Management

Automatic Updates [Windows全自动更新,可选择中项]

Background Intelligent Transfer Service

ClipBook

COM Event System

COM System Application

Computer Browser

Cryptographic Services

DCOM Server Process Launcher

DHCP Client

Distributed File System

Distributed Link Tracking Client

Distributed Link Tracking Server

Distributed Transaction Coordinator

DNS Client

Error Reporting Service

Event Log

File Replication

Help and Support

HTTP SSL

Human Interface Device Access

IIS Admin Service

IMAPI CD-Burning COM Service

Indexing Service

Intersite Messaging

IPSEC Services [如果使用了IP安全策略则全自动, 如无则禁用, 可选操作]

Kerberos Key Distribution Center

License Logging

Logical Disk Manager [可选, 多硬盘主张全自动]

Logical Disk Manager Administrative Service

Messenger

Microsoft Search

Microsoft Software Shadow Copy Provider

MSSQLSERVER

MSSQLServerADHelper

Net Logon

NetMeeting Remote Desktop Sharing

Network Connections

Network DDE

Network DDE DSDM

Network Location Awareness (NLA)

Network Provisioning Service

NT LM Security Support Provider

Performance Logs and Alerts

Plug and Play

Portable Media Serial Number Service [微软反盗版必备工具, 就在目前只针对多媒体类]

Print Spooler

Protected Storage

Remote Access Auto Connection Manager

Remote Access Connection Manager

Remote Desktop Help Session Manager

Remote Procedure Call (RPC)

Remote Procedure Call (RPC) Locator

Remote Registry

Removable Storage

Resultant Set of Policy Provider

Routing and Remote Access

Secondary Logon

Security Accounts Manager

Server

Shell Hardware Detection

Smart Card

Special Administration Console Helper

SQLSERVERAGENT

System Event Notification

Task Scheduler

TCP/IP NetBIOS Helper

Telephony

Telnet

Terminal Services

Terminal Services Session Directory

Themes

Uninterruptible Power Supply

Upload Manager

Virtual Disk Service

Volume Shadow Copy

WebClient

Windows Audio [服务器没必要使用声音]

Windows Firewall/Internet Connection Sharing (ICS)

Windows Image Acquisition (WIA)

Windows Installer

Windows Management Instrumentation

Windows Management Instrumentation Driver Extensions

Windows Time

Windows User Mode Driver Framework

WinHTTP Web Proxy Auto-Discovery Service

Wireless Configuration

WMI Performance Adapter

Workstation

World Wide Web Publishing Service

上面操作完成以后是否就“最小的权限 最少的服务=最大的安全”呢?其实不然, 任意一个事物都是相对的

依我个人而见, 上面布置设置也只是最可以说是的一些东西而已, 如有遗漏, 稍后补上!

相关文章
  • Win10系统怎么可以加快菜单显示速度?
  • windows7输入法的操作方法
  • windows10如何才可以查看当前系统的激活码?
  • 亳州市区这些区域已实现免费WiFi全覆盖
  • widows7CPU温度观察,Win7系统查看CPU温度的方法
  • Win10系统下avi文件无法打开怎么办?
  • windows7不能删除软件!Win7系统软件无法卸载怎么办
  • win7系统msn无法登录,Win7登录msn失败提示“错误代码80040154”怎么解决?
  • Win7系统共享打印机的权限教程Win10和Win7系统局域网打印机共享设置过程介绍
  • 宽带连接错误解决办法Win10出现宽带错误676怎么办?
  • 发表评论
    阅读排行
    相关热门
    网站帮助 - 广告合作 - 下载声明 - 网站地图