Server 2008 R2服务器系统安全设置参考指南

 重点比较重要的几部

1.更改默认administrator用户名,复杂密码

2.开启防火墙

3.安装杀毒软件

1)新做系统一定要先打上补丁(升级最新系统漏洞补丁,参考)

2)安装必要的杀毒软件

3)删除系统默认共享

4)修改本地策略——>安全选项 

交互式登陆:不显示最后的用户名 启用

网络访问:不允许SAM 帐户和共享的匿名枚举 启用

网络访问: 不允许存储网络身份验证的凭据或 .NET Passports 启用

网络访问:可远程访问的注册表路径和子路径 全部删除

5)禁用不必要的服务

TCP/IP NetBIOS Helper、Server、 Distributed Link Tracking Client 、Print Spooler、Remote Registry、Workstation

6)禁用IPV6

server 2008 r2交互式登录: 不显示最后的用户名

其实最重要的就是开启防火墙+服务器安全狗(安全狗自带的一些功能基本上都设置的差不多了)+mysql(sqlserver)低权限运行基本上就差不多了。3389远程登录,一定要限制ip登录。

一、系统及程序

1、屏幕保护与电源

桌面右键--〉个性化--〉屏幕保护程序,屏幕保护程序 选择无,更改电源设置 选择高性能,选择关闭显示器的时间 关闭显示器 选 从不 保存修改

2、远程连接

我的电脑属性--〉远程设置--〉远程--〉只允许运行带网络超级身份验证的远程桌面的计算机连接,选择允许运行任意版本远程桌面的计算机连接(较不安全)。

备注:

方便多种版本Windows远程管理服务器。windows server 2008的远程桌面连接,与2003相比,引入了网络级身份验证(NLA,network level
authentication),XP SP3不支持这种网络级的身份验证,vista跟win7支持。然而在XP系统中修改一下注册表,即可让XP SP3支持网络级身份验证。HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa在右窗口中双击Security Pakeages,添加一项“tspkg”。HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders,在右窗口中双击SecurityProviders,添加credssp.dll;请注意,在添加这项值时,一定要在原有的值后添加逗号后,别忘了要空一格(英文状态)。然后将XP系统重启一下即可。再查看一下,即可发现XP系统已经支持网络级身份验证

3、修改远程访问服务端口(修改3389 端口)

更改远程连接端口方法,可用windows自带的计算器将10进制转为16进制。更改3389端口为8208,重启生效!

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal
Server\Wds\rdpwd\Tds\tcp] 

"PortNumber"=dword:0002010

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal
Server\WinStations\RDP-Tcp] 

"PortNumber"=dword:00002010

(1)在开始--运行菜单里,输入regedit,进入注册表编辑,按下面的路径进入修改端口的地方 

(2)HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal
Server\WinStations\RDP-Tcp 

(3)找到右侧的 "PortNumber",用十进制方式显示,默认为3389,改为(例如)6666端口 

(4)HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal
Server\Wds\rdpwd\Tds\tcp 

(5)找到右侧的 "PortNumber",用十进制方式显示,默认为3389,改为同上的端口 

(6)在控制面板--Windows 防火墙--高级设置--入站规则--新建规则 

(7)选择端口--协议和端口--TCP/特定本地端口:同上的端口 

(8)下一步,选择允许连接 

(9)下一步,选择公用 

(10)下一步,名称:远程桌面-新(TCP-In),描述:用于远程桌面服务的入站规则,以允许RDP通信。[TCP 同上的端口] 

(11)删除远程桌面(TCP-In)规则 

(12)重新启动计算机

4、配置本地连接

网络--〉属性--〉管理网络连接--〉本地连接,打开“本地连接”界面,选择“属性”,左键点击“Microsoft网络客户端”,再点击“卸载”,在弹出的对话框中“是”确认卸载。点击“Microsoft网络的文件和打印机共享”,再点击“卸载”,在弹出的对话框中选择“是”确认卸载。(即可关闭445 端口,无法共享文件夹,慎用)

5.解除NetbiosTCP/IP协议的绑定139端口:

打开“本地连接”界面,选择“属性”,在弹出的“属性”框中双击“Internet协议版本(TCP/IPV4)”,点击“属性”,再点击“高级”—“WINS”,选择“禁用TCP/IP上的NETBIOS”,点击“确认”并关闭本地连接属性。

6.禁止默认共享:

点击“开始”—“运行”,输入“Regedit”,打开注册表编辑器,打开注册表项“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters”,在右边的窗口中新建Dword值,名称设为AutoShareServer,值设为“0”。

7.关闭 445端口:或关闭文件夹打印与共享服务(参考)HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters,新建 Dword(32位)名称设为SMBDeviceEnabled 值设为“0”

8、共享和发现

右键“网络” 属性 网络和共享中心 共享和发现 

关闭,网络共享,文件共享,公用文件共享,打印机共享,显示我正在共享的所有文件和文件夹,显示这台计算机上所有共享的网络文件夹

9、防火墙的设置(参考)

控制面板→Windows防火墙设置→更改设置→例外,勾选FTP、HTTP、远程桌面服务 核心网络

HTTPS用不到可以不勾

3306:Mysql 

1433:Mssql

10、禁用不需要的和危险的服务,以下列出服务都需要禁用。

控制面板à管理工具à服务

Distributed link tracking client 用于局域网更新连接信息 

PrintSpooler 打印服务 

Remote Registry 远程修改注册表 

Server 计算机通过网络的文件、打印、和命名管道共享 

TCP/IP NetBIOS Helper 提供 

TCP/IP (NetBT) 服务上的 

NetBIOS 和网络上客户端的 

NetBIOS 名称解析的支持 

Workstation 泄漏系统用户名列表 与Terminal Services Configuration 关联 

Computer Browser 维护网络计算机更新 默认已经禁用 

Net Logon 域控制器通道管理 默认已经手动 

Remote Procedure Call (RPC) Locator RpcNs*远程过程调用 (RPC) 默认已经手动 

删除服务sc delete MySql

11、安全设置-->本地策略-->安全选项

在运行中输入gpedit.msc回车,打开组策略编辑器,选择计算机配置-->Windows设置-->安全设置-->本地策略-->安全选项

交互式登陆:不显示最后的用户名       启用 

网络访问:不允许SAM帐户的匿名枚举      启用 已经启用 

网络访问:不允许SAM帐户和共享的匿名枚举   启用 

网络访问:不允许储存网络身份验证的凭据   启用 

网络访问: 不允许存储网络身份验证的凭据或 .NET Passports 启用

网络访问:可匿名访问的共享         内容全部删除 

网络访问:可匿名访问的命名管道       内容全部删除 

网络访问:可远程访问的注册表路径      内容全部删除 

网络访问:可远程访问的注册表路径和子路径  内容全部删除 

帐户:重命名来宾帐户            这里可以更改guest帐号 

帐户:重命名系统管理员帐户         这里可以更改Administrator帐号

本地策略——>审核策略

审核策略更改 成功 失败

审核登录事件 成功 失败

审核对象访问 失败

审核过程跟踪 无审核

审核目录服务访问 失败

审核特权使用 失败

审核系统事件 成功 失败

审核账户登录事件 成功 失败

审核账户管理 成功 失败

12、安全设置-->账户策略-->账户锁定策略

计算机配置-->Windows设置-->安全设置-->账户策略-->账户锁定策略,

将账户锁定阈值设为“三次登陆无效”,“锁定时间为30分钟”,“复位锁定计数设为30分钟”。

13、本地安全设置

选择计算机配置-->Windows设置-->安全设置-->本地策略-->用户权限分配 

关闭系统:只有Administrators组、其它全部删除。 

通过终端服务拒绝登陆:加入Guests组、IUSR_*****、IWAM_*****、NETWORK SERVICE、SQLDebugger 

通过终端服务允许登陆:加入Administrators、Remote Desktop Users组,其他全部删除

14、更改Administratorguest,新建一无任何权限的假Administrator账户

管理工具→计算机管理→系统工具→本地用户和组→用户 

新建一个Administrator帐户作为陷阱帐户,设置超长密码,并去掉所有用户组 

更改描述:管理计算机(域)的内置帐户

15、密码策略

选择计算机配置-->Windows设置-->安全设置-->密码策略 

启动 密码必须符合复杂性要求 

最短密码长度

16、禁用DCOM "冲击波"病毒 RPC/DCOM 漏洞)

运行Dcomcnfg.exe。控制台根节点→组件服务→计算机→右键单击“我的电脑”→属性”→默认属性”选项卡→清除“在这台计算机上启用分布式 COM”复选框。

17、打开UAC

控制面板 用户账户 打开或关闭用户账户控制

18、程序权限(参考)

"net.exe","net1.exe","cmd.exe","tftp.exe","netstat.exe","regedit.exe","at.exe","attrib.exe","cacls.exe","format.com","c.exe" 

或完全禁止上述命令的执行 

gpedit.msc-〉用户配置-〉管理模板-〉系统 

启用 阻止访问命令提示符 同时 也停用命令提示符脚本处理 

启用 阻止访问注册表编辑工具 

启用 不要运行指定的windows应用程序,添加下面的 

at.exe attrib.exe c.exe cacls.exe cmd.exe format.com net.exe net1.exe
netstat.exe regedit.exe tftp.exe

19、禁用IPV6。(参考) 

在windows server 2008 R2操作系统下部署weblogic web application,部署完成后进行测试,发现测试页的地址使用的是隧道适配器的地址,而不是静态的ip地址,而且所在的网络并没有ipv6接入,因此决定将ipv6和隧道适配器禁用,操作如下:

禁用ipv6很简单,进入 控制面板\网络和 Internet\网络和共享中心 单击面板右侧“更改适配器设置”进入网络连接界面,选择要设置的连接,右键选择属性,取消Internet 协议版本 6 (TCP/IPv6) 前面的选择框确定即可。



要禁用隧道适配器需要更改注册表信息,操作如下:(参考)

开始 -> 运行 - > 输入 Regedit 进入注册表编辑器 

定位到: 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters] 

右键点击 Parameters,选择新建 -> DWORD (32-位)值 

命名值为 DisabledComponents,然后修改值为 ffffffff (16进制) 

重启后生效 

DisableComponents 值定义:

0, 启用所有 IPv 6 组件,默认设置 

0xffffffff,禁用所有 IPv 6 组件, 除 IPv 6 环回接口 

0x20, 以前缀策略中使用 IPv 4 而不是 IPv 6 

0x10, 禁用本机 IPv 6 接口 

0x01, 禁用所有隧道 IPv 6 接口 

0x11, 禁用除用于 IPv 6 环回接口所有 IPv 6 接口

Windows Server 2008 R2服务器系统安全设置参考指南的更多相关文章

  1. Windows Server 2008 R2 服务器系统安装及配置全过程图文详解

    前言 本文主要介绍了 windows Server 2008 R2 服务器系统的安装及相关配置. 介绍的是以优盘的方式安装. 写这篇博文的目的一来是为了供有需要的网友参考, 二来自己也在此做个记载. ...

  2. Windows Server 2008 R2 服务器内存使用率过高几乎耗光

    系统环境: Windows Server 2008 R2 Enterprise 搭建有 web服务器(iis) 和  文件服务   问题描述: Windows Server 2008 R2系统内存耗光 ...

  3. vSphere Client 搭建Windows server 2008 r2 服务器指南

    下载准备 下载并安装vSphere Client 链接:https://pan.baidu.com/s/1v0IrGrMjpA2FGeqagaJN-g 密码:zzd1 下载Windows server ...

  4. Windows Server 2008 R2服务器内存使用率过高,但与任务管理器中进程占用内存和不一致

    系统环境: Windows Server 2008 R2 + Sql Server 2008 R2   问题描述: Windows Server 2008 R2系统内存占用率过大,而在任务管理器中各进 ...

  5. Windows Server 2008 R2服务器遗忘管理员密码解决方案

     A goal is a dream with a deadline. Much effort, much prosperity.  在日常的工作中,对于一个网络管理员来讲最悲哀的事情莫过于在没有备用 ...

  6. windows server 2008 R2 Enterprise 系统安全配置

    window 安全配置规则 一.开启防火墙 二.允许远程网络进行远程桌面连接 如果使用默认的远程端口的话,按照下图,允许远程桌面通过防火墙就行了: 如果你的远程端口号不是默认的,则需要按照(四)中新建 ...

  7. windows server 2008 R2服务器无法通过ShellClass获取mp3音乐时长

    我们先看一段代码,获取mp3播放时长: #region GetMediaDetailInfo 获取媒体文件属性信息 /// <summary> /// 获取媒体文件属性信息 /// < ...

  8. Windows Server 2008 R2 服务器系统安装图文教程

    https://www.jb51.net/os/535658.html http://www.machenike.com/article.php?id=207

  9. Windows Server 2008 R2常规安全设置及基本安全策略

    这篇文章主要介绍了Windows Web Server 2008 R2服务器简单安全设置,需要的朋友可以参考下 用的腾讯云最早选购的时候悲催的只有Windows Server 2008 R2的系统,原 ...

随机推荐

  1. crlf注入攻击

    1.crlf 注入攻击. 原理:http数据包通过\r\n\r\n来分开http header何http body 实现:首先这种攻击发生在应用层,且发生在服务器返回给我们的http reponse没 ...

  2. 关于读取Sql Server数据库时间前端处理问题

    var time = this.CreateTime; this.CreateTime = new Date(time.replace("T", " ")).F ...

  3. JavaScript 动态显示当前时间

    代码如下: <!DOCTYPE html> <html> <head> <meta charset="utf-8"> <tit ...

  4. 【转】支持向量机(SVM)

    什么是支持向量机(SVM)? SVM 是一种有监督的机器学习算法,可用于分类或回归问题.它使用一种称为核函数(kernel)的技术来变换数据,然后基于这种变换,算法找到预测可能的两种分类之间的最佳边界 ...

  5. Jenkins中展示HTML测试报告

    背景:测试报告是用reportNG生成的,属于java自动化测试项目. 1)         安装插件 首先要安装HTML Publisher plugin,这个在插件管理里面搜索并安装即可,如下我已 ...

  6. 大数据学习总结(5)参考elk技术架构

  7. J2ee入门:servlet-mapping的映射配置

    <servlet-mapping>元素在Servlet和URL样式之间定义一个映射.它包含了两个子元素<servlet- name>和<url-pattern> & ...

  8. Excel 日期截取(函数)

    需求:时间段截取,去掉年月日,保留时分. 实现函数:    =TEXT(A2,"HH:MM")&"-"&TEXT(B2,"HH:MM& ...

  9. 俄罗斯方块(2D、3D)

    声明:这篇文章主要是参考几个别人的博文及源代码学习.参考文章: 1)http://blog.csdn.net/qian_f/article/details/19758671 2)http://yaca ...

  10. UVA-562 Dividing coins---01背包+平分钱币

    题目链接: https://vjudge.net/problem/UVA-562 题目大意: 给定n个硬币,要求将这些硬币平分以使两个人获得的钱尽量多,求两个人分到的钱最小差值 思路: 它所给出的n个 ...