Windows 的服务器安全加固方案

因为IIS(即Internet Information Server)的方便性和易用性，使它成为最受欢迎的Web服务器软件之一。但是，IIS的安全性却一直令人担忧。如何利用IIS建立一个安全的Web服务器，是很多人关心的话题。要创建一个安全可靠的Web服务器，必须要实现Windows 2003和IIS的双重安全，因为IIS的用户同时也是Windows 2003的用户，并且IIS目录的权限依赖Windows的NTFS文件系统的权限控制，所以保护IIS安全的`第一步就是确保Windows 2000 *** 作系统的安全，所以要对服务器进行安全加固，以免遭到黑客的攻击，造成严重的后果。

我们通过以下几个方面对您的系统进行安全加固：

1 系统的安全加固：我们通过配置目录权限，系统安全策略，协议栈加强，系统服务和访问控制加固您的系统，整体提高服务器的安全性。

2 IIS手工加固：手工加固iis可以有效的提高iweb站点的安全性，合理分配用户权限，配置相应的安全策略，有效的防止iis用户溢出提权。

3 系统应用程序加固，提供应用程序的安全性，例如sql的安全配置以及服务器应用软件的安全加固。

系统的安全加固：

1目录权限的配置：

11 除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权，之后再对其下的子目录作单独的目录权限，如果WEB站点目录，你要为其目录权限分配一个与之对应的匿名访问帐号并赋予它有修改权限，如果想使网站更加坚固，可以分配只读权限并对特殊的目录作可写权限。

12 系统所在分区下的根目录都要设置为不继承父权限，之后为该分区只赋予Administrators和SYSTEM有完全控制权。

13 因为服务器只有管理员有本地登录权限，所在要配置Documents and Settings这个目录权限只保留Administrators和SYSTEM有完全控制权，其下的子目录同样。另外还有一个隐藏目录也需要同样 *** 作。因为如果你安装有PCAnyWhere那么他的的配置信息都保存在其下，使用webshell或FSO可以轻松的调取这个配置文件。

14 配置Program files目录，为Common Files目录之外的所有目录赋予Administrators和SYSTEM有完全控制权。

15 配置Windows目录，其实这一块主要是根据自身的情况如果使用默认的安全设置也是可行的，不过还是应该进入SYSTEM32目录下，将 cmdexe、ftpexe、netexe、scrrundll、shelldll这些杀手锏程序赋予匿名帐号拒绝访问。

16审核MetBasebin，C:WINNTsystem32inetsrv目录只有administrator只允许Administrator用户读写。

2组策略配置:

在用户权利指派下，从通过网络访问此计算机中删除Power Users和Backup Operators;

启用不允许匿名访问SAM帐号和共享;

启用不允许为网络验证存储凭据或Passport;

从文件共享中删除允许匿名登录的DFS$和COMCFG;

启用交互登录：不显示上次的用户名;

启用在下一次密码变更时不存储LANMAN哈希值;

禁止IIS匿名用户在本地登录;

3本地安全策略设置:

开始菜单—>管理工具—>本地安全策略

A、本地策略——>审核策略

审核策略更改 成功 失败

审核登录事件 成功 失败

审核对象访问失败

审核过程跟踪 无审核

审核目录服务访问失败

审核特权使用失败

审核系统事件 成功 失败

审核账户登录事件 成功 失败

审核账户管理 成功 失败

注：在设置审核登陆事件时选择记失败，这样在事件查看器里的安全日志就会记录登陆失败的信息。

一，硬盘设置 文件目录权限 删除共享，删除文件及文件夹中的高危权限二，服务设置 关闭不需要用到的服务三，本地安全策略设置 管理员改名设置 陷阱帐号，GUEST密码复杂重置 开启日志等结合服务器安全狗和网站安全狗，保护文件及目录安全，关闭不需要的端口等功能。

制定测试计划，确定测试范围和测试策略；一个完整的WEB安全性测试可以从部署与基础结构、输入验证、身份验证、授权、配置管理、敏感数据、会话管理、加密、参数 *** 作、异常管理、审核和日志记录等几个方面入手。举几个例子

一、安全体系测试

1、部署与基础结构网络是否提供了安全的通信部署拓扑结构是否包括内部的防火墙部署拓扑结构中是否包括远程应用程序服务器基础结构安全性需求的限制是什么目标环境支持怎样的信任级别

2、输入验证，如何验证输入？

1）是否清楚入口点

2）是否清楚信任边界

3）是否验证Web页输入

4）是否对传递到组件或Web服务的参数进行验证

5）是否验证从数据库中检索的数据

6）是否将方法集中起来

7）是否依赖客户端的验证

8）应用程序是否易受SQL注入攻击

9）应用程序是否易受XSS攻击

3、如何处理输入？身份验证

1）是否区分公共访问和受限访问

2）是否明确服务帐户要求

3）如何验证调用者身份

4）如何验证数据库的身份

5）是否强制试用帐户管理措施

4、授权

1）如何向最终用户授权

2）如何在数据库中授权应用程序

3）如何将访问限定于系统级资源

5、配置管理

1）是否支持远程管理

2）是否保证配置存储的安全

3）是否隔离管理员特权

6、敏感数据

1）是否存储机密信息

2）如何存储敏感数据

3）是否在网络中传递敏感数据

4）是否记录敏感数据

使用下面命令，查看系统是否含有pam_tally2so模块，如果没有就需要使用pam_tallyso模块，两个模块的使用方法不太一样，需要区分开来。

编辑系统/etc/pamd/system-auth 文件，一定要在pam_envso后面添加如下策略参数：

上面只是限制了从终端su登陆，如果想限制ssh远程的话，要改的是/etc/pamd/sshd这个文件，添加的内容跟上面一样！

编辑系统/etc/pamd/sshd文件，注意添加地点在#%PAM-10下一行，即第二行添加内容

ssh锁定用户后查看：

编辑系统 /etc/pamd/login 文件，注意添加地点在#%PAM-10的下面,即第二行，添加内容

tty登录锁定后查看：

编辑 /etc/pamd/remote文件，注意添加地点在pam_envso后面,参数和ssh一致

---