Web站点的 Win2000服务器安全解决方案.doc

《Web站点的 Win2000服务器安全解决方案.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、Win2000服务器安全方案总则用windows2000建立的Web站点在所有的网站中占了很大一部分比例，但windows2000的安全问题也一直比较突出，使得一些每个基于windows2000的网站都有一种如履薄冰的感觉，然而微软并没有明确的解决方案，只是推出了一个个补丁程序，各种安全文档上对于windows2000的安全描述零零碎碎，给人们的感觉是无所适从。于是，有的网管干脆什么措施也不采取，有的忙着下各种各样的补丁程序，有的在安装了防火墙以后就以为万事大吉了。这种现状直接导致了大量网站的windows2000安全性参差不齐。只有极少数windows2000网站有较高的安全性，大部分网站的

2、安全性很差。为此，我公司决心对windows2000主要漏洞予以搜集整理，同时，站在整体的高度，力图找出一套用windows2000建立安全站点的解决方案来，让榆林教育网安全的使用windows2000服务器。Web站点的Win2000服务器安全解决方案对windows2000来说web站点主要解决的安全问题如下：Web应用程序;Internet信息服务(IIS)5.0;Windows2000AdvancedServer操作系统;IP安全标准(IPSec)策略;远程管理与监视;SQLServer2000;密码。　　解决方案：（说明：本方案主要是针对建立Web站点的windows2000服务器安

3、全，对于局域网内的服务器并不合适。）　　一、安装：　　1.硬盘分区为NTFS分区；　　说明：　　（1）NTFS比FAT分区多了安全控制功能，可以对不同的文件夹设置不同的访问权限，安全性增强。　　（2）建议最好一次性全部安装成NTFS分区，而不要先安装成FAT分区再转化为NTFS分区，这样做在安装了SP4的情况下会导致转化不成功，甚至系统崩溃。（3）安装NTFS分区有一个潜在的危险，就是目前大多数反病毒软件没有提供对软盘启动后NTFS分区病毒的查杀，这样一旦系统中了恶性病毒而导致系统不能正常启动，后果就比较严重，因此平时做好防病毒工作是必要的。　　2.只安装一种操作系统；　　说明：安装两种以上操

4、作系统，会给黑客以可乘之机，利用攻击使系统重启到另外一个没有安全设置的操作系统（或者他熟悉的操作系统），进而进行破坏。　　3.安装成独立的域控制器（StandAlone）,选择工作组成员，不选择域；　　说明：主域控制器（PDC）是局域网中队多台联网机器管理的一种方式，用于网站服务器包含着安全隐患，使黑客有可能利用域方式的漏洞攻击站点服务器。　　4.将操作系统文件所在分区与Web数据包括其他应用程序所在的分区分开，并在安装时最好不要使用系统默认的目录，如将WINNT改为其他目录；　　说明：黑客有可能通过Web站点的漏洞得到操作系统对操作系统某些程序的执行权限，从而造成更大的破坏。　　5.Win

5、dows程序，都要重新安装一次补丁程序，windows2000下更需要这样做。　　说明：　　（1）最新的补丁程序，表示系统以前有重大漏洞，非补不可了，对于局域网内服务器可以不是最新的，但站点必须安装最新补丁，否则黑客可能会利用低版本补丁的漏洞对系统造成威胁。这是一部分管理员较易忽视的一点；　　（2）安装windows2000的SP4有一个潜在威胁，就是一旦系统崩溃重装windows2000时，系统将不会认NTFS分区，原因是微软在这个补丁中对NTFS做了改进。只能通过Windows2000安装过程中认NTFS，这样会造成很多麻烦，建议同时做好数据备份工作。　　（3）安装ServicePack前

6、应先在测试机器上安装一次，以防因为例外原因导致机器死机，同时做好数据备份。　　6.尽量不安装与Web站点服务无关的软件；　　说明：其他应用软件有可能存在黑客熟知的安全漏洞。　　二、windows2000设置：　　1.帐号策略：　　（1）帐号尽可能少，且尽可能少用来登录；　　说明：网站帐号一般只用来做系统维护，多余的帐号一个也不要，因为多一个帐号就会多一份被攻破的危险。　　（2）除过Administrator外，有必要再增加一个属于管理员组的帐号；　　说明：两个管理员组的帐号，一方面防止管理员一旦忘记一个帐号的口令还有一个备用帐号；另方面，一旦黑客攻破一个帐号并更改口令，我们还有机会重新在短期内

7、取得控制权。　　（3）所有帐号权限需严格控制，轻易不要给帐号以特殊权限；　　（4）将Administrator重命名，改为一个不易猜的名字。其他一般帐号也应遵循这一原则。　　说明：这样可以为黑客攻击增加一层障碍。　　（5）将Guest帐号禁用，同时重命名为一个复杂的名字，增加口令，并将它从Guest组删掉；　　说明：有的黑客工具正是利用了guest的弱点，可以将帐号从一般用户提升到管理员组。　　（