windows_2003_加固手册1

《windows_2003_加固手册1》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、Windows2003安全加固手册Windows2003安全加固配置手册版权所有，违者必究第9页，共9页Windows2003安全加固手册目录Windows2003安全加固配置手册1关键词：4摘要：4缩略语：4参考标准及其资料：41概述52安全加固内容53客户信息调查54边界及物理安全55升级与补丁56操作系统加固66.1帐号安全及策略66.2删除各类共享76.3审计76.4服务86.5防DoS设置96.7IPSEC配置97IIS加固98其他安全配置109资源下载10版权所有，违者必究第9页，共9页Windows2003安全加固

2、手册关键词：Windows2003、加固、DDoS摘要：本手册主要描述了建立WindowsNT系列操作系统安全加固配置标准，并以此标准为指导，配置和审视客户WindowsNT系列服务器的安全性；降低系统存在的安全风险，确保系统安全可靠的运行。缩略语：无参考标准及其资料：版权所有，违者必究第9页，共9页Windows2003安全加固手册1概述随着计算机互联网的发展，网络应用的普及，网络规模、网上计算机数量均呈指数型增长，在人们享受到网络的方便快捷的同时，各种各样的攻击和病毒也更加猖狂，网络的安全防护越发重要。本文档主要说明在安全防

3、护中基于windows平台的加固策略。当前版本适用于WindowsNT系列，主要以Windows2003为主来。安全加固配置中部分加固配置可以考虑使用安全模板来实现，以减轻工作量。2安全加固内容客户环境调查边界及物理安全升级与补丁操作系统加固IIS加固其他安全配置3客户信息调查客户网络环境（如：服务器前有没有fw，有些什么服务器）硬件信息操作系统信息（版本，补丁情况）IIS的版本主机是否在一个windows域里是否使用数据库，什么数据库是否需要远程管理是否需要终端访问服务4边界及物理安全设置边界防火墙只允许访问服务器的必要端口；

4、部署防御DoS的功能；阻止服务器发出的主动连接设置BIOS密码在BIOS里设置系统只能从硬盘启动，不允许从软盘和CD-ROM启动至少创建两个NTFS分区，一个用来存放系统文件（C盘），一个用来存放数据（如E盘）卸载不需要的组网协议5升级与补丁大企业，带SUS（软件升级服务）包的SMS（系统管理服务器），微软出品版权所有，违者必究第9页，共9页Windows2003安全加固手册中小企业，SUS的独立版本个人用户，MBSA（微软基准安全分析器）；Reskit工具包里的srvinfo第三方工具，Shavlik公司的HFNetChkPr

5、o6操作系统加固帐号安全及策略删除各类共享审计服务最小化防DoS设置配置IPSec过滤器6.1帐号安全及策略密码策略密码必须符合复杂性要求：启用密码长度最小值：8个字符密码最长存留期：70天密码最短存留期：30天强制密码历史：3个记住的密码帐户锁定阀值：5次无效登陆帐户锁定时间：15分钟复位帐户锁定计数器：15分钟之后Guest及administrator帐号管理给guest帐号设置一个足够复杂的密码；将guest帐号改名，并且禁用guest帐号；禁止Guest帐号本地登录和网络登录的权限。（打开“本地安全策略”-“本地策略”-

6、“用户权利指派”，在“拒绝本地登陆”和“拒绝从网络访问这台计算机”中添加guest帐号）为administrator改名，尽可能隐藏信息，防止口令猜测等攻击。其他相关策略删除无用帐户，尽可能减少系统安全隐患；隐藏控制台上次登陆用户名HKLMSOFTWAREMicrosoftWindowsNTCurrentVersionwinlogon键值：DontDisplayLastUserName类型：GEG_SZ值：1从通过网络访问此计算机中删除Everyone组;在用户权利指派下，从通过网络访问此计算机中删除PowerUser

7、s和BackupOperators;为交互登录启动消息文本。启用不允许匿名访问SAM帐号和共享;版权所有，违者必究第9页，共9页Windows2003安全加固手册启用不允许为网络验证存储凭据或Passport;启用在下一次密码变更时不存储LANMAN哈希值;启用清除虚拟内存页面文件;禁止IIS匿名用户在本地登录;(用户权限指派-〉拒绝本地登录-〉添加IUSER_XXX)启用交互登录:不显示上次的用户名;从文件共享中删除允许匿名登录的DFS$和COMCFG;禁用活动桌面6.2删除各类共享关闭NetBIOS网络和拨号连接->本地连接

8、属性->Internet协议->属性->高级->选项->Wins里选中“禁用tcp/ip上的netbios”确定生效后，TCP139UDP137138将被关闭。网络和拨号连接->本地连接属性中，取消选中“Microsoft网络的文件和打印机共享”确定生效后，TC