网络服务器的安全防范对策

网络服务器的安全防范对策网络服务器的安全防范对策 网络服务器存储着大量重要的数据 加强服务器的安全是 提高网络安全的重要环节 服务器操作系统本身的安全性还是 很高的 但是我们如果不进行相应的安全配置 则达不到可信 任计算机系统评估标准 我们需要在基本配置 用户密码安全 设置 系统安全设置 服务安全设置 安全管理制度等方面进 行相应的设置 一 基本安装配置 1 安装操作系统时注意安装正版的英文版 的的操作系统 并且在服务器上只安装一种操作系统 过多的 操作系统只会给入侵者更多的机会攻击服务器 致使服务器重 新启动到没有安全配置的操作系统 从而破坏操作系统 2 给 服务器硬盘分区时一定要使用 ntfs 分区 对于黑客来说存储在 fat 格式的磁盘分区里的数据要比存储在 ntfs 格式的磁盘分区 的数据更容易访问 也更容易破坏 因此我们在进行分区和格 式化时一定要采用 ntfs 分区格式 这种分区格式比 fat 格式具 有更多的安全配置功能 可以针对不通的文件夹设置不同的访 问权限 大大提高服务器的访问安全 3 做好数据的备份策略 提高硬盘数据安全性 在考虑服务器服务器硬盘配置时 应该 考虑多个硬盘通过 raid 方式进行数据的冗余 另外 为避免硬 盘损坏或者被盗 按照 ldquo 不要把所有鸡蛋放到同一个篮子 rdquo 的理论我们应该使用单独的专门设备保存这些珍贵数据 如多机备份 磁带备份等 4 安装各种应用软件完成后 尽快 安装补丁程序 5 安装杀毒软件和软件防火墙 及时升级病毒 库 可以有效清除病毒 木马 后门程序等 二 用户密码安全 设置 2 1 用户安全配置 1 禁用 guest 帐号 有很多入侵都是通 过这个账号进一步获得管理员密码或者权限的 如果不想把自 己的计算机给别人当玩具 那还是禁止的好 2 创建两个管理 员帐号 创建一个一般权限用户用来收信以及处理一些日常事 物 另一个拥有 administrators 权限的用户只在需要的时候使用 3 限制不必要的用户 去掉所有的 duplicateuser 用户 测试用 户 共享用户等等 用户组策略设置相应权限 并且经常检查 系统的用户 删除已经不再使用的用户 这些用户很多时候都 是黑客们入侵系统的突破口 4 把系统 administrator 用户改名 大家都知道 windows server 的 administrator 用户是不能被停 用的 这意味着别人可以一遍又一遍地尝试这个用户的密码 尽量把它伪装成普通用户 将 administrator 账号改名可以防止 黑客知道自己的管理员账号 这会在很大程度上保证计算机安 全 5 创建一个陷阱用户 什么是陷阱用户 即创建一个名为 ldquo administratorrdquo 的本地用户 把它的权限设置成最低 什么事也干不了的那种 并且加上一个超过 1o 位的超级复杂密 码 这样可以让那些黑客们忙上一段时间 借此发现它们的入 侵企图 6 把共享文件的权限从 everyone 组改成授权用户 任 何时候都不要把共享文件的用户设置成 ldquo everyonerdquo 组 包括打印共享 默认的属性就是 ldquo everyonerdquo 组的 一 定不要忘了改 7 开启用户策略 使用用户策略 分别设置复 位用户锁定计数器时间为 20 分钟 用户锁定时间为 20 分钟 用户锁定阈值为 3 次 8 不让系统显示上次登录的用户名 默 认情况下 登录对话框中会显示上次登录的用户名 这使得别 人可以很容易地得到系统的一些用户名 进而做密码猜测 可 以通过修改注册表不让对话框里显示上次登录的用户名 2 2 密码安全设置 1 使用安全密码 注意密码的复杂性 一些公司 的管理员创建账号的时候往往用公司名 计算机名做用户名 然后又把这些用户的密码设置得太简单 比如 ldquo welcomerdquo 等等 因此 要注意密码的复杂性 还要 记住经常改密码 2 设置屏幕保护密码 这是一个很简单也很 有必要的操作 设置屏幕保护密码也是防止内部人员破坏服务 器的一个屏障 3 考虑使用智能卡来代替密码 对于密码 总 是使安全管理员进退两难 密码设置简单容易受到黑客的攻击 密码设置复杂又容易忘记 如果条件允许 用智能卡来代替复 杂的密码是一个很好的解决方法 4 开启密码策略控制 密码 策略控制是否允许用户重新使用旧的密码 在两次更改密码之 间的时间 最小密码长度 以及用户是否必须混合使用大小写 字母 数字和特殊字符 最低要求 您应该要求每 45 天更改一 次密码 或要求至少 8 个字符的密码 并确保开启了密码必须 满足复杂性要求设置 2 3 系统安全设置 1 关闭默认共享 微 软的初衷是便于网管进行远程管理 它虽然方便了局域网用户 但对我们来说这样的设置是不安全的 如果电脑联网 网络上 的任何人都可以通过共享硬盘 随意进入你的电脑 更为可怕 的是 黑客可以通过连接你的电脑实现对这些默认共享的访问 所以我们有必要关闭这些共享 可以使用建立一个批处理文件 放在启动项目里面的方法来删除默认共享 方法如下 打开记 事本 输入或复制以下内容 netshareipc deletenetshareadmin deletenetsharec deletenetsh ared deletenetsharee delete 保存为 notshare bat 注意后缀 然后把这个批处理文件拖到 ldquo 程序 rdquo 至 ldquo 启动 rdquo 项 这样每次开机就会运行它 也就是通过 net 命令关闭 共享 如果哪一天你需要开启某个或某些共享 只要重新编辑 这个批处理文件即可 2 禁止用户从软盘和光驱启动系统 一 些第三方的工具能通过引导系统来绕过原有的安全机制 如果 你的服务器对安全要求非常高 可以考虑使用可移动软盘和光 驱 三 在服务安全设置方面 1 把敏感文件存放在另外的文件服 务器中 虽然现在服务器的硬盘都很大 但还是应该考虑是否 有必要把一些重要的用户数据存放在另外一个安全的服务器中 并且经常备份它们 2 禁止建立空连接 在默认情况下 任何 用户都可以通过空连接连上服务器 进而枚举出帐号 猜测密 码 可以通过修改注册表来禁止建立空连接 3 关闭不必要的 端口 开放的端口越多 入侵者通过这些端口入侵的机会越多 我们可以根据相应的服务开相应的端口 比如说一台 web 服务 器需要开放 80 端口 其他端口就关闭 我们可以通过本地网络 自带的 windows 防火墙 核心交换机的 acl 来设置什么服务就 允许访问什么端口 4 根据 ldquo 最少的服务 最小的权限 最 大的安全 rdquo 的原则 可以把一些不需要的服务停止 减少 入侵者入侵的机会 服务器和人一样 做的事越多了 就越容 易出现差错 做的事越少则越专精 不必要的错误就不会发生 了 四 制定相应的安全管理制度从管理的角度 通过一些文字 性的规章制度规范 制约各种与网络服务有关的行为 加强网 络服务器的实体安全 如防水 防震 防盗 防火等 如服务 器机房的安全制度 上网行为管理制度 应急方案等等