2023年7月3日发(作者：)

windows系统安全基本设置⼀系统安全基本设置1.安装说明：系统磁盘全部使⽤NTFS格式化，系统是纯净版ISO安装,安装杀毒软件(Mcafee)，并将杀毒软件更新，安装sp2补钉，安装IIS（只安装必须的组件）,安装SQL2008，安装.net3.5,开启防⽕墙，更新最新的补丁。⼆关闭不需要的服务Computer Browser:维护⽹络计算机更新，禁⽤Distributed File System: 局域⽹管理共享⽂件，不需要禁⽤Distributed linktracking client：⽤于局域⽹更新连接信息，不需要禁⽤Error reporting service：禁⽌发送错误报告Microsoft Serch：提供快速的单词搜索，不需要可禁⽤NTLMSecuritysupportprovide：telnet服务和Microsoft Serch⽤的，不需要禁⽤PrintSpooler：如果没有打印机可禁⽤Remote Registry：禁⽌远程修改注册表Remote Desktop Help Session Manager：禁⽌远程协助 其他服务有待核查三设置和管理账户1、将Guest账户禁⽤并更改名称和描述，然后输⼊⼀个复杂的密码2、系统管理员账户最好少建，更改默认的管理员帐户名(Administrator)和描述，密码最好采⽤数字加⼤⼩写字母加数字的上档键组合，长度最好不少于10位3、新建⼀个名为Administrator的陷阱帐号，为其设置最⼩的权限，然后随便输⼊组合的最好不低于20位的密码4、计算机配置-Windows设置-安全设置-账户策略-账户锁定策略，将账户设为“三次登陆⽆效 时间为30分钟5、在安全设置-本地策略-安全选项中将“不显⽰上次的⽤户名”设为启⽤6、 在安全设置-本地策略-⽤户权利分配中将“从⽹络访问此计算机”中只保留Internet来宾账户、启动IIS进程账户,Aspnet账户7、创建⼀个User账户，运⾏系统，如果要运⾏特权命令使⽤Runas命令。四打开相应的审核策略审核策略更改:成功审核登录事件:成功,失败审核对象访问:失败审核对象追踪:成功,失败审核⽬录服务访问:失败审核特权使⽤:失败审核系统事件:成功,失败审核账户登录事件:成功,失败审核账户管理:成功,失败五其它安全相关设置1、禁⽌C$、D$、ADMIN$⼀类的缺省共享HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters，在右边的 窗⼝中新建Dword值，名称设为AutoShareServer值设为02、解除NetBios与TCP/IP协议的绑定右击⽹上邻居-属性-右击本地连接-属性-双击Internet协议-⾼级-Wins-禁⽤TCP/IP上的 NETBIOS3、隐藏重要⽂件/⽬录可以修改注册表实现完全隐藏：“HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrent-VersionExplorerAdvancedFol derHi-ddenSHOWALL”，⿏标右击“CheckedValue”，选择修改，把数值由1改为04、防⽌SYN洪⽔攻击HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters 新建DWORD 值，名为SynAttackProtect，值为25、 禁⽌响应ICMP路由通告报⽂HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersInterfacesinterface 新建DWORD值，名为PerformRouterDiscovery 值为06. 防⽌ICMP重定向报⽂的攻击HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters 将EnableICMPRedirects 值设为07、 不⽀持IGMP协议7、 不⽀持IGMP协议HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters 新建DWORD 值，名为IGMPLevel值为08、禁⽤DCOM：运⾏中输⼊ 。 回车， 单击“控制台根节点”下的“组件服务”。 打开“计算机”⼦ ⽂件夹。对于本地计算机，请以右键单击“我的电脑”，然后选择“属 性”。选择“默认属性”选项卡。清除“在这台计算机上启⽤分布式 COM”复选框。9、终端服务的默认端⼝为3389，可考虑修改为别的端⼝。修改⽅法为： 服务器端：打开注册表，在“HKLMSYSTEMCurrent ControlSetControlTerminal ServerWin Stations” 处找到类似RDP-TCP的⼦键，修改PortNumber值。 客户端：按正常步骤建⼀个客户端连接，选中这个连接，在“⽂件”菜单中选择导出，在指定位置会 ⽣成⼀个后缀为.cns的⽂件。打开该⽂件，修改“Server Port”值为与服务器端的PortNumber对应的 值。然后再导⼊该⽂件（⽅法：菜单→⽂件→导⼊），这样客户端就修改了端⼝。六配置 IIS 服务1、不使⽤默认的Web站点，如果使⽤也要将 将IIS⽬录与系统磁盘分开。2、删除IIS默认创建的Inetpub⽬录（在安装系统的盘上）。3、删除系统盘下的虚拟⽬录，如：_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、 MSADC。4、删除不必要的IIS扩展名映射。 右键单击“默认Web站点→属性→主⽬录→配置”，打开应⽤程序窗⼝，去掉不必要的应⽤程序映 射。主要为.shtml, .shtm, .stm5、更改IIS⽇志的路径　右键单击“默认Web站点→属性-⽹站-在启⽤⽇志记录下点击属性6、如果使⽤的是2000可以使⽤iislockdown来保护IIS，在2003运⾏的IE6.0的版本不需要。7、使⽤UrlScanUrlScan是⼀个ISAPI筛选器，它对传⼊的HTTP数据包进⾏分析并可以拒绝任何可疑的通信量。 ⽬前最新的版本是2.5，如果是2000Server需要先安装1.0或2.0的版本。如果没有特殊的要求采⽤UrlScan默认配置就可以了。但如果你在服务器运⾏程序，并要进⾏调试你需打开要 %WINDIR%System32InetsrvURLscan，⽂件夹中的 ⽂件，然后在UserAllowVerbs节添 加debug谓词，注意此节是区分⼤⼩写的。如果你的⽹页是.asp⽹页你需要在DenyExtensions删除.asp相关的内容。如果你的⽹页使⽤了⾮ASCII代码，你需要在Option节中将AllowHighBitＣharacters的值设为1在对 ⽂件做了更改后，你需要重启IIS服务才能⽣效，快速⽅法运⾏中输⼊iisreset如果你在配置后出现什么问题，你可以通过添加/删除程序删除UrlScan。8、利⽤WIS (Web Injection Scanner)⼯具对整个⽹站进⾏SQL Injection 脆弱性扫描.七配置Sql服务器配置Sql服务器1、System Administrators ⾓⾊最好不要超过两个3、不要使⽤Sa账户，为其配置⼀个超级复杂的密码4、隐藏 SQL Server、更改默认的1433端⼝右击实例选属性-常规-⽹络配置中选择TCP/IP协议的属性，选择隐藏 SQL Server 实例，并改原默 认的1433端⼝。⼋本地安全策略1．只开放服务需要的端⼝与协议。 具体⽅法为：按顺序打开“⽹上邻居→属性→本地连接→属性→Internet 协议→属性→⾼级→选项→ TCP/IP筛选→属性”，添加需要的TCP、UDP端⼝以及IP协议即可。根据服务开设⼝，常⽤的TCP ⼝有：80⼝⽤于Web服务;21⽤于FTP服务;25⼝⽤于SMTP;23⼝⽤于Telnet服务;110⼝ ⽤于POP3。常⽤的UDP端⼝有：53⼝－DNS域名解析服务;161⼝－snmp简单的⽹络管理协议。 8000、4000⽤于OICQ，服务器⽤8000来接收信息，客户端⽤4000发送信息。 封TCP端⼝: 21(FTP,换FTP端⼝)23(TELNET),53(DNS),135,136,137,138,139,443,445,1028,1433,3389 可封TCP端⼝:1080,3128,6588,8080(以上为代理端⼝).25(SMTP),161(SNMP),67(引导) 封UDP端⼝:1434(这个就不⽤说了吧) 封所有ICMP,即封PING 以上是最常被扫的端⼝,有别的同样也封,当然因为80是做WEB⽤的2、禁⽌建⽴空连接 默认情况下，任何⽤户可通过空连接连上服务器，枚举账号并猜测密码。空连接⽤的端⼝是139，通过空连接，可以复制⽂件到远端服务器，计划执⾏⼀个任务，这就是⼀个漏洞。可以通过以下两 种⽅法禁⽌建⽴空连接：（1） 修改注册表中　Local_MachineSystem CurrentControlSetControlLSA-RestrictAnonymous 的值为1。（2） 修改的本地安全策略。设置“本地安全策略→本地策略→选项”中的 RestrictAnonymous（匿名连接的额外限制）为“不容许枚举SAM账号和共享”。 ⾸先，Windows默认安装允许任何⽤户通过空连接得到系统所有账号和共享列表，这本来 是为了⽅便局域⽹⽤户共享资源和⽂件的，但是，同时任何⼀个远程⽤户也可以通过同样的⽅法得 到您的⽤户列表，并可能使⽤暴⼒法破解⽤户密码给整个⽹络带来破坏。很多⼈都只知道更改注册表Local_MachineSystemCurrentControlSetControlLSA-RestrictAnonymous = 1来禁⽌空⽤户连接， 实际上本地安全策略⾥（如果是域服务器就是在域服务器安全和域安全策略⾥） 就有RestrictAnonymous选项，其中有三个值：“0”这个值是系统默认的，没有任何限制，远程⽤户 可以知道您机器上所有的账号、组信息、共享⽬录、⽹络传输列表(NetServerTransportEnum)等;“1” 这个值是只允许⾮NULL⽤户存取SAM账号信息和共享信息;“2”，这个值需要注意的是，如果使⽤了这个值，就不能再共享资源了，所以还是推荐把数值设为“1”⽐较 好。九防⽌SQL注⼊1．尽量使⽤参数化语句2．⽆法使⽤参数化的SQL使⽤过滤。3．⽹站设置为不显⽰详细错误信息，页⾯出错时⼀律跳转到错误页⾯。4．不要使⽤sa⽤户连接数据库5．新建⼀个public权限数据库⽤户，并⽤这个⽤户访问数据库 6、[⾓⾊]去掉⾓⾊public对sysobjects与syscolumns对象的Ｓelect访问权限 。