server系统安全加固

《server系统安全加固》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、为安装Windowsserver操作系统的服务器进行系统安全加固操作系统基本安全加固补丁安装使用Windowsupdate安装最新补丁或者使用第三方软件安装补丁,如360安全卫士系统帐户、密码策略1.帐户密码策略修改“本地计算机”策à计算机配置àwindows设置à安全设置à密码策略密码长度最小值7字符密码最长存留期90天密码最短存留期30天密码必须符合复杂性要求启用保障帐号以及口令的安全，但是设置帐号策略后可能导致不符合帐号策略的帐号无法登录，需修改不符合帐号策略的密码（注：管理员不受帐号策略限制，但管理员密码应复杂以避免被暴力猜测导致安全风险）2.

2、帐户锁定策略账户锁定时间30分钟账户锁定阈值5次无效登录复位账户锁定计数器30分钟有效的防止攻击者猜出您账户的密码3.更改默认管理员用户名“本地计算机”策à计算机配置àwindows设置à安全设置à本地策略à安全选项帐户:重命名管理员帐户默认管理员帐号可能被攻击者用来进行密码暴力猜测，可能由于太多的错误密码尝试导致该帐户被锁定。建议修改默认管理员用户名4.系统默认账户安全Guest帐户必须禁用；如有特殊需要保留也一定要重命名TSInternetUser此帐户是为了“TerminalServicesInternetConnectorLicense”使用而

3、存在的，故帐户必须禁用，不会对于正常的TerminalServices的功能有影响SUPPORT_388945a0此帐户是为了IT帮助和支持服务，此帐户必须禁用IUSR_{system}必须只能是Guest组的成员，此帐户为IIS（InternetInformationServer）服务建立IWAM_{system}必须只能是Guest组的成员，此帐户为IIS（InternetInformationServer）服务建立日志审核策略“本地计算机”策à计算机配置àwindows设置à安全设置à本地策略à审核策略审核策略更改成功审核登录事件无审核审核对象访

4、问成功,失败审核过程追踪无审核审核目录服务访问无审核审核特权使用无审核审核系统事件成功,失败审核帐户登录事件成功,失败审核帐户管理成功,失败对系统事件进行审核，在日后出现故障时用于排查故障修改日志的大小与上限开始à控制面板à管理工具à事件察看器安全策略文件修改下述值：日志类型大小覆盖方式应用日志16382K覆盖早于30天的事件安全日志16384K覆盖早于30天的事件系统日志16384K覆盖早于30天的事件网络与服务安全暂停或禁用不需要的后台服务开始à运行à输入“services.msc”将下面服务的启动类型设置为手动并停止上述服务已启动且需要停止的服务

5、包括：Alerter服务ComputerBrowser服务IPSECPolicyAgent服务Messenger服务MicrosoftSearch服务PrintSpooler服务RunAsService服务RemoteRegistryService服务SecurityAccountsManager服务TaskScheduler服务TCP/IPNetBIOSHelperService服务注册表安全性1.禁止匿名用户连接（空连接）注册表如下键值：HKLMSYSTEMCurrentControlSetControlLsa“restrictanonym

6、ous”的原值为0将该值修改为“1”可以禁止匿名用户列举主机上所有用户、组、共享资源2.删除主机默认共享注册表键值HKLMSYSTEMCurrentControlSetServiceslanmanserverparameters名称：Autoshareserver类型:REG_DOWN值:1删除主机因为管理而开放的共享注意：这里可能有部分备份软件使用到系统默认共享3.限制远程注册表远程访问权限注册表如下键值：HKLMSYSTEMCurrentControlSetControlSecurePipeServerswinreg名称：Des

7、cription类型:REG_SZ值:RegistryServer4.阻止远程访问系统日志HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesEventLogApplication“本地计算机”策à计算机配置àwindows设置à安全设置à本地策略à安全选项网络访问:可匿名访问的共享网络访问:可匿名访问的命名管道网络访问:可远程访问的注册表路径网络访问:可远程访问的注册表路径和子路径网络访问:限制对命名管道和共享的匿名访问1.禁用自动运行功能HKLMSOFTWAREMicrosoftWind

8、owsCurrentVersionPoliciesExplorer名称：NoDriveT