博文
web服务器安全设置
|||
防御方法
1 停止server服务，该服务提供 RPC 支持、文件、打印以及命名管道共享。（net stop server,在"开始"-"管理工具"-"服务"中 把server服务停止并改为手动或禁止）,单独删除共享的方法：net share ipc$ /delete，加上共享的方法
2 用net share命令确认默认的共享（ipc$,c$,d$...admin$,system$）已经删除，查看手工设置的共享，删除不需要的共享，最好全部删除
3 停止TCP/IP Services服务，该服务支持以下 TCP/IP 服务：Character Generator, Daytime, Discard, Echo, 以及 Quote of the Day。，它对应多个端口，如7，9，17等，可能导致DOS攻击
4 用net start命令查看启动的服务，确认停止所有不必要的服务，特别是：停止telnet，ftp服务等
5 用net user和net localgroup命令查看异常的用户和本地组，删除或禁用不必要的帐号,guest ,iusr_hostname等
6 用扫描工具检查开放的可疑端口，查找木马。
7 禁止一般用户从网络访问计算机，在管理工具-本地安全策略-用户权利指派-拒绝从网络登陆计算机中设置。
如何禁止匿名用户连接你的IPC$共享？
我们可以通过修改注册表来实现
Key:HKLMSYSTEMCurrentControlSetControlLsa
Name: RestrictAnonymous
Type: REG_DWORD
Value: 1 | 2
说明：把该值设为1时，匿名用户无法列举主机用户列表；
把该值设为2时，匿名用户无法连接你的IPS$共享，不建议使用2，否则可能会造成你的一些服务无法启动，如SQL Server...
二、 NT设置：
1.帐号策略：
（1）帐号尽可能少，且尽可能少用来登录；
说明：网站帐号一般只用来做系统维护，多余的帐号一个也不要，因为多一个帐号就会多一份被攻破的危险。
（2）除过Administrator外，有必要再增加一个属于管理员组的帐号；
说明：两个管理员组的帐号，一方面防止管理员一旦忘记一个帐号的口令还
有一个备用帐号；另方面，一旦黑客攻破一个帐号并更改口令，我们还有
有机会重新在短期内取得控制权。
（3）所有帐号权限需严格控制，轻易不要给帐号以特殊权限；
（4）将Administrator重命名，改为一个不易猜的名字。其他一般帐号也应尊
循着一原则。
说明：这样可以为黑客攻击增加一层障碍。
（5）将Guest帐号禁用，同时重命名为一个复杂的名字，增加口令，并将它从
Guest组删掉；
说明：有的黑客工具正是利用了guest 的弱点，可以将帐号从一般用户提
升到管理员组。
（6）给所有用户帐号一个复杂的口令（系统帐号出外），长度最少在8位以上， 且必须同时包含字母、数字、特殊字符。同时不要使用大家熟悉的单词（如microsoft）、熟悉的键盘顺序（如qwert）、熟悉的数字（如2000）等。
说明：口令是黑客攻击的重点，口令一旦被突破也就无任何系统安全可言了，而这往往是不少网管所忽视的地方，据我们的测试，仅字母加数字的5位口令在几分钟内就会被攻破，而所推荐的方案则要安全的多。
（7）口令必须定期更改（建议至少两周该一次），且最好记在心里，除此以外不要在任何地方做记录；另外，如果在日志审核中发现某个帐号被连续尝试，则必须立刻更改此帐号（包括用户名和口令）；
（8）在帐号属性中设立锁定次数，比如改帐号失败登录次数超过5次即锁定改帐号。这样可以防止某些大规模的登录尝试，同时也使管理员对该帐号提高警惕。
2.解除NetBios与TCP/IP协议的绑定
说明：NetBois在局域网内是不可缺少的功能，在网站服务器上却成了黑客扫描工具的首选目标。方法：NT：控制面版——网络——绑定——NetBios接口——禁用 2000：控制面版——网络和拨号连接——本地网络——属性——TCP/IP——属性——高级——WINS——禁用TCP/IP上的NETBIOS
3.删除所有的网络共享资源
说明：NT与2000在默认情况下有不少网络共享资源，在局域网内对网络管理和网络通讯有用，在网站服务器上同样是一个特大的安全隐患。（卸载“Microsoft 网络的文件和打印机共享”。当查看“网络和拨号连接”中的任何连接属性时，将显示该选项。单击“卸载”按钮删除该组件；清除“Microsoft 网络的文件和打印机共享”复选框将不起作用。）
方法：
(1)NT:管理工具——服务器管理器——共享目录——停止共享;
2000:控制面版——管理工具——计算及管理——共享文件夹———停止共享
但上述两种方法太麻烦，服务器每重启一次，管理员就必须停止一次
（2）修改注册表：
运行Regedit，然后修改注册表在HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters下增加一个键
Name: AutoShareServer
Type: REG_DWORD
Value: 0
然后重新启动您的服务器，磁盘分区共享去掉，但IPC共享仍存在，需每次重启后手工删除。
4.改NTFS的安全权限；
说明：NTFS下所有文件默认情况下对所有人（EveryOne）为完全控制权限，这使黑客有可能使用一般用户身份对文件做增加、删除、执行等操作，建议对一般用户只给予读取权限，而只给管理员和System以完全控制权限，但这样做有可能使某些正常的脚本程序不能执行，或者某些需要写的操作不能完成，这时需要对这些文件所在的文件夹权限进行更改，建议在做更改前先在测试机器上作测试，然后慎重更改。
5.系统启动的等待时间设置为0秒，控制面板->系统->启动/关闭，然后将列表显示的默认值“30”改为“0”。（或者在boot.ini里将TimeOut 的值改为0）
6.只开放必要的端口，关闭其余端口。
说明：缺省情况下，所有的端口对外开放，黑客就会利用扫描工具扫描那些端口可以利用，这对安全是一个严重威胁。
现将一些常用端口列表如下：
端口 协议 应用程序
21 TCP FTP
25 TCP SMTP
53 TCP DNS
80 TCP HTTP SERVER
1433 TCP SQL SERVER
5631 TCP PCANYWHERE
5632 UDP PCANYWHERE
6（非端口） IP协议
8（非端口） IP协议
7.加强日志审核；
说明：日志任何包括事件查看器中的应用、系统、安全日志，IIS中的WWW、SMTP、FTP日志、SQL SERVER日志等，从中可以看出某些攻击迹象，因此每天查看日志是保证系统安全的必不可少的环节。安全日志缺省是不记录，帐号审核可以从域用户管理器——规则——审核中选择指标；NTFS中对文件的审核从资源管理器中选取。要注意的一点是，只需选取你真正关心的指标就可以了，如果全选，则记录数目太大，反而不利于分析；另外太多对系统资源也是一种浪费。
8.加强数据备份；
说明：这一点非常重要，站点的核心是数据，数据一旦遭到破坏后果不堪设想，而这往往是黑客们真正关心的东西；遗憾的是，不少网管在这一点上作的并不好，不是备份不完全，就是备份不及时。数据备份需要仔细计划，制定出一个策略并作了测试以后才实施，而且随着网站的更新，备份计划也需要不断地调整。
9.只保留TCP/IP协议，删除NETBEUI、IPX/SPX协议；
说明：网站需要的通讯协议只有TCP/IP，而NETBEUI是一个只能用于局域网的协议，IPX/SPX是面临淘汰的协议，放在网站上没有任何用处，反而会被某些黑客工具利用。
10.停掉没有用的服务，只保留与网站有关的服务和服务器某些必须的服务。
说明：有些服务比如RAS服务、Spooler服务等会给黑客带来可乘之机，如果确实没有用处建议禁止掉，同时也能节约一些系统资源。但要注意有些服务是操作系统必须的服务，建议在停掉前查阅帮助文档并首先在测试服务器上作一下测试。
11.隐藏上次登录用户名,修改注册表Winnt4.0：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrent VersionWinlogon 中增加DontDisplayLastUserName，将其值设为1。Windows2000中该项已经存在，只需将其值改为1。
说明：缺省情况下，上次登录的用户名会出现在登录框中，这就为黑客猜测口令提供了线索，最好的方式就是隐藏上次登录用户名。
12.不要起用IP转发功能，控制面板->网络->协议->TCP/IP协议->属性，使这个选框为空。（NT）
说明：缺省情况下，NT的IP转发功能是禁止的，但注意不要启用，否则它会具有路由作用，被黑客利用来对其他服务器进行攻击。
13.安装最新的MDAC（http://www.microsoft.com/data/download.htm）
说明：MDAC为数据访问部件，通常程序对数据库的访问都通过它，但它也是黑客攻击的目标，为防止以前版本的漏洞可能会被带入升级后的版本，建议卸载后安装最新的版本。注意：在安装最新版本前最好先做一下测试，因为有的数据访问方式或许在新版本中不再被支持，这种情况下可以通过修改注册表来档漏洞，祥见漏洞测试文档。
安全防范策略优先———用策略来捍卫Web服务器安全
在校园网维护中，管理校园Web服务器是网管的主要工作之一。Web站点的建立、规划设计以及资源更新并不复杂，但关键的安全问题却时常让人防不胜防。
当然，提高Web服务器安全的方法很多，比如可以借助限制端口、停止部分服务，以及安装防火墙等来实现。笔者和大家探讨一下如何通过安全策略设置来加固Web服务器的安全，经笔者多方实践，感觉效果非常显著，而且实施起来也不复杂。
IP安全策略
IPSec策略（IPSecurity）即IP安全机制是抵御内部、专用网络及外部安全攻击的关键防线。IPSec使用加密的安全服务来提供数据完整性、数据身份验证、数据机密性和TCP/IP通讯重放等多种级别的保护。
在网络上传输数据的时候，通过创建IP安全策略，利用点到点的安全模型，能够安全有效地把源计算机的数据传输到目标计算机。那么，我们如何来创建IP安全策略呢？这里就以Windows2003为例来说明。
运行Gpedit.msc，打开“组策略”对话窗口，依次展开“计算机配置→Windows设置→安全设置→IP安全策略，在本地计算机”，在其右侧窗口中就有系统内置的三条安全策略：安全服务器（要求安全设置）、客户端（只响应）、服务器（请求安全设置）。利用IP安全策略只允许访问80端口，就可以保障Web服务的绝对安全。
在其右侧窗口中右击鼠标，在弹出的快捷菜单中选择“创建IP安全策略”，打开“IP安全策略向导”对话框，单击“下一步”，然后输入策略名称（比如WWW）和策略描述。单击“下一步”，不勾选“激活默认响应规则”复选项，单击“下一步”，再点击“完成”就完成了IP安全策略的创建工作。
在此安全策略中创建两条IP安全规则“denyall”和“allowtcp80”，在弹出的“WWW属性”对话框中的“规则”选项页中不勾选“使用‘添加向导’”复选项，然后点击“添加”来创建新规则。先要创建一个筛选器，在“IP筛选器列表”选项页中点击“添加”，给筛选器取个名称（denyall），再点击“添加”打开“筛选器属性”对话框（如图），在“寻址”选项页中的“源地址”中选择“任何IP地址”，“目标地址”指定为“我的IP地址”。
然后切换到“协议”选项页，在“选项协议类型”中选择“任意”，依次点击“完成”，返回“新规则属性”对话窗口，在“IP筛选器列表”选定“denyall”，再在“筛选器操作”选项页添加一个过滤操作，将“安全措施”设置为“阻止”，并选定它。返回到“WWW属性”对话框，勾选“denyall”复选项，此安全规则的作用就是是禁止任何计算机访问本机。
我们还得为访问者开放80端口，同样建议“allowtcp80”，将其筛选器属性设置为从“所有IP地址”到“我的IP地址”，协议为“TCP”，设置IP协议端口从任意端口到80端口，将该筛选器的“安全设置”指定为“许可”，该IP安全规则的功能就是允许网络中的计算机访问本机的WWW服务。
设置好IP安全规则后，在“WWW属性”对话框的“IP安全规则”列表中一起勾选“denyall”和“allowtcp80”，点击“关闭”返回。最后要做的是指派该策略，只有指派后它才起作用。右击刚刚配置好的策略，在弹出的快捷菜单中选择“指派”命令启用策略。这样，任何计算机只能用访问TCP的80端口，而Ping包、UDP等均不响应。
安全审核策略
Windows2000/XP/2003的安全审核可以审核多个对象与事件，例如可以使用审核跟踪用于访问文件或其他对象的用户账户、登录尝试、系统关闭或重新启动以及类似的事件，而审核文件和NTFS分区下的文件夹可以保证文件和文件夹的安全。
安全审核策略在默认情况下是没有启用的，因此，首先必须要开启审核功能。这里以Windows2003为例说明，打开“控制面板”，双击进入“管理工具”，运行“本地安全策略”，打开“本地安全设置”对话窗口。在左边的窗格中依次展开“安全设置→本地策略→审核策略”，系统提供了九类可以审核的事件，对于每一类都可以指明是审核成功事件、失败事件，还是两者都审核。
如要审核对特定文件、文件夹和打印机的成功访问，在其右侧窗格中双击“审核对象访问”策略，弹出其属性设置对话框，选中“成功”复选框；如果同时还要审核这些对象的失败访问，请勾选“失败”复选框，点击“确定”返回，最后重新启动计算机即可生效。
小提示：必须是管理员组成员或者被授权有“管理审核和安全日志”权限的用户可以审核文件或文件夹。
打开审核后，当有人尝试对你的系统进行某些方式（如尝试用户密码，改变账户策略，未经许可的文件访问等等）入侵的时候，都会被安全审核记录下来，存放在“事件查看器”中的安全日志中。
另外，在“本地安全策略”中还可开启账户策略，如在账户锁定策略中设定，账户锁定阀值为三次（那么当三次无效登录将锁定），然后将账户锁定时间设定为30分钟，甚至更长。这样，黑客想要攻击你，一天24小时试密码也没什么机会，而且还要冒着被记录追踪的危险。
这里就以审核文件、文件夹和打印机为例。先找到要审核的文件、文件夹或者打印机，然后打开其“属性”对话框，接着点击切换到“安全”选项页，单击其下面的“高级”按钮，打开该对象的高级安全设置对话框，进入“审核”选项页，就可以设置审核项目了。
如果要对一个新组或用户设置审核，单击“添加”按钮，打开“选择用户或组”对话框，在“输入要选择的对象名称”框中，键入要审核其访问的用户或用户组的名称（小提示：可以通过单击高级，然后在“选择用户和组”对话框中单击立即查找，以浏览到计算机中的这些名称），点击“确定”，打开其审核项目对话框。在“访问”列表选择要审核的项目，如果要审核所有的项目，请选中“完全控制”后面的“成功”和“失败”复选项。接下来就是要设置审核应用的范围，在“应用到”下拉列表中的七个范围中根据自己的需要选择即可，一般选择“该文件夹，子文件夹及文件”，然后点击“确定”完成添加并返回。
小提示：如果在“审核项目”对话框中的“访问”之下的复选框变成灰色，或在“访问控制设置”对话框中“删除”按钮不可用，说明已经继承了来自父文件夹的审核。
如果想要查看或更改原有的组或用户审核,在“审核项目”中选择用户名，然后单击“编辑”，单击“删除”即可去除审核项目。
当设置了审核后，审核所产生的结果都被记录到安全日志中，使用“事件查看器”可以查看安全日志的内容或是在日志中查找指定事件的详细信息。在“管理工具”中双击打开“事件查看器”，选择“安全性”，审核结果就出现在面前了。
事实表明，在网络管理过程中恰当得实施一定的安全策略，有时真的可以让我们的网管工作一劳永逸。
https://m.sciencenet.cn/blog-81613-40626.html
上一篇：个人电脑防御黑客（转载）
下一篇：研究生教育与就业 (转载)
1 停止server服务，该服务提供 RPC 支持、文件、打印以及命名管道共享。（net stop server,在"开始"-"管理工具"-"服务"中 把server服务停止并改为手动或禁止）,单独删除共享的方法：net share ipc$ /delete，加上共享的方法
2 用net share命令确认默认的共享（ipc$,c$,d$...admin$,system$）已经删除，查看手工设置的共享，删除不需要的共享，最好全部删除
3 停止TCP/IP Services服务，该服务支持以下 TCP/IP 服务：Character Generator, Daytime, Discard, Echo, 以及 Quote of the Day。，它对应多个端口，如7，9，17等，可能导致DOS攻击
4 用net start命令查看启动的服务，确认停止所有不必要的服务，特别是：停止telnet，ftp服务等
5 用net user和net localgroup命令查看异常的用户和本地组，删除或禁用不必要的帐号,guest ,iusr_hostname等
6 用扫描工具检查开放的可疑端口，查找木马。
7 禁止一般用户从网络访问计算机，在管理工具-本地安全策略-用户权利指派-拒绝从网络登陆计算机中设置。
如何禁止匿名用户连接你的IPC$共享？
我们可以通过修改注册表来实现
Key:HKLMSYSTEMCurrentControlSetControlLsa
Name: RestrictAnonymous
Type: REG_DWORD
Value: 1 | 2
说明：把该值设为1时，匿名用户无法列举主机用户列表；
把该值设为2时，匿名用户无法连接你的IPS$共享，不建议使用2，否则可能会造成你的一些服务无法启动，如SQL Server...
二、 NT设置：
1.帐号策略：
（1）帐号尽可能少，且尽可能少用来登录；
说明：网站帐号一般只用来做系统维护，多余的帐号一个也不要，因为多一个帐号就会多一份被攻破的危险。
（2）除过Administrator外，有必要再增加一个属于管理员组的帐号；
说明：两个管理员组的帐号，一方面防止管理员一旦忘记一个帐号的口令还
有一个备用帐号；另方面，一旦黑客攻破一个帐号并更改口令，我们还有
有机会重新在短期内取得控制权。
（3）所有帐号权限需严格控制，轻易不要给帐号以特殊权限；
（4）将Administrator重命名，改为一个不易猜的名字。其他一般帐号也应尊
循着一原则。
说明：这样可以为黑客攻击增加一层障碍。
（5）将Guest帐号禁用，同时重命名为一个复杂的名字，增加口令，并将它从
Guest组删掉；
说明：有的黑客工具正是利用了guest 的弱点，可以将帐号从一般用户提
升到管理员组。
（6）给所有用户帐号一个复杂的口令（系统帐号出外），长度最少在8位以上， 且必须同时包含字母、数字、特殊字符。同时不要使用大家熟悉的单词（如microsoft）、熟悉的键盘顺序（如qwert）、熟悉的数字（如2000）等。
说明：口令是黑客攻击的重点，口令一旦被突破也就无任何系统安全可言了，而这往往是不少网管所忽视的地方，据我们的测试，仅字母加数字的5位口令在几分钟内就会被攻破，而所推荐的方案则要安全的多。
（7）口令必须定期更改（建议至少两周该一次），且最好记在心里，除此以外不要在任何地方做记录；另外，如果在日志审核中发现某个帐号被连续尝试，则必须立刻更改此帐号（包括用户名和口令）；
（8）在帐号属性中设立锁定次数，比如改帐号失败登录次数超过5次即锁定改帐号。这样可以防止某些大规模的登录尝试，同时也使管理员对该帐号提高警惕。
2.解除NetBios与TCP/IP协议的绑定
说明：NetBois在局域网内是不可缺少的功能，在网站服务器上却成了黑客扫描工具的首选目标。方法：NT：控制面版——网络——绑定——NetBios接口——禁用 2000：控制面版——网络和拨号连接——本地网络——属性——TCP/IP——属性——高级——WINS——禁用TCP/IP上的NETBIOS
3.删除所有的网络共享资源
说明：NT与2000在默认情况下有不少网络共享资源，在局域网内对网络管理和网络通讯有用，在网站服务器上同样是一个特大的安全隐患。（卸载“Microsoft 网络的文件和打印机共享”。当查看“网络和拨号连接”中的任何连接属性时，将显示该选项。单击“卸载”按钮删除该组件；清除“Microsoft 网络的文件和打印机共享”复选框将不起作用。）
方法：
(1)NT:管理工具——服务器管理器——共享目录——停止共享;
2000:控制面版——管理工具——计算及管理——共享文件夹———停止共享
但上述两种方法太麻烦，服务器每重启一次，管理员就必须停止一次
（2）修改注册表：
运行Regedit，然后修改注册表在HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters下增加一个键
Name: AutoShareServer
Type: REG_DWORD
Value: 0
然后重新启动您的服务器，磁盘分区共享去掉，但IPC共享仍存在，需每次重启后手工删除。
4.改NTFS的安全权限；
说明：NTFS下所有文件默认情况下对所有人（EveryOne）为完全控制权限，这使黑客有可能使用一般用户身份对文件做增加、删除、执行等操作，建议对一般用户只给予读取权限，而只给管理员和System以完全控制权限，但这样做有可能使某些正常的脚本程序不能执行，或者某些需要写的操作不能完成，这时需要对这些文件所在的文件夹权限进行更改，建议在做更改前先在测试机器上作测试，然后慎重更改。
5.系统启动的等待时间设置为0秒，控制面板->系统->启动/关闭，然后将列表显示的默认值“30”改为“0”。（或者在boot.ini里将TimeOut 的值改为0）
6.只开放必要的端口，关闭其余端口。
说明：缺省情况下，所有的端口对外开放，黑客就会利用扫描工具扫描那些端口可以利用，这对安全是一个严重威胁。
现将一些常用端口列表如下：
端口 协议 应用程序
21 TCP FTP
25 TCP SMTP
53 TCP DNS
80 TCP HTTP SERVER
1433 TCP SQL SERVER
5631 TCP PCANYWHERE
5632 UDP PCANYWHERE
6（非端口） IP协议
8（非端口） IP协议
7.加强日志审核；
说明：日志任何包括事件查看器中的应用、系统、安全日志，IIS中的WWW、SMTP、FTP日志、SQL SERVER日志等，从中可以看出某些攻击迹象，因此每天查看日志是保证系统安全的必不可少的环节。安全日志缺省是不记录，帐号审核可以从域用户管理器——规则——审核中选择指标；NTFS中对文件的审核从资源管理器中选取。要注意的一点是，只需选取你真正关心的指标就可以了，如果全选，则记录数目太大，反而不利于分析；另外太多对系统资源也是一种浪费。
8.加强数据备份；
说明：这一点非常重要，站点的核心是数据，数据一旦遭到破坏后果不堪设想，而这往往是黑客们真正关心的东西；遗憾的是，不少网管在这一点上作的并不好，不是备份不完全，就是备份不及时。数据备份需要仔细计划，制定出一个策略并作了测试以后才实施，而且随着网站的更新，备份计划也需要不断地调整。
9.只保留TCP/IP协议，删除NETBEUI、IPX/SPX协议；
说明：网站需要的通讯协议只有TCP/IP，而NETBEUI是一个只能用于局域网的协议，IPX/SPX是面临淘汰的协议，放在网站上没有任何用处，反而会被某些黑客工具利用。
10.停掉没有用的服务，只保留与网站有关的服务和服务器某些必须的服务。
说明：有些服务比如RAS服务、Spooler服务等会给黑客带来可乘之机，如果确实没有用处建议禁止掉，同时也能节约一些系统资源。但要注意有些服务是操作系统必须的服务，建议在停掉前查阅帮助文档并首先在测试服务器上作一下测试。
11.隐藏上次登录用户名,修改注册表Winnt4.0：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrent VersionWinlogon 中增加DontDisplayLastUserName，将其值设为1。Windows2000中该项已经存在，只需将其值改为1。
说明：缺省情况下，上次登录的用户名会出现在登录框中，这就为黑客猜测口令提供了线索，最好的方式就是隐藏上次登录用户名。
12.不要起用IP转发功能，控制面板->网络->协议->TCP/IP协议->属性，使这个选框为空。（NT）
说明：缺省情况下，NT的IP转发功能是禁止的，但注意不要启用，否则它会具有路由作用，被黑客利用来对其他服务器进行攻击。
13.安装最新的MDAC（http://www.microsoft.com/data/download.htm）
说明：MDAC为数据访问部件，通常程序对数据库的访问都通过它，但它也是黑客攻击的目标，为防止以前版本的漏洞可能会被带入升级后的版本，建议卸载后安装最新的版本。注意：在安装最新版本前最好先做一下测试，因为有的数据访问方式或许在新版本中不再被支持，这种情况下可以通过修改注册表来档漏洞，祥见漏洞测试文档。
安全防范策略优先———用策略来捍卫Web服务器安全
在校园网维护中，管理校园Web服务器是网管的主要工作之一。Web站点的建立、规划设计以及资源更新并不复杂，但关键的安全问题却时常让人防不胜防。
当然，提高Web服务器安全的方法很多，比如可以借助限制端口、停止部分服务，以及安装防火墙等来实现。笔者和大家探讨一下如何通过安全策略设置来加固Web服务器的安全，经笔者多方实践，感觉效果非常显著，而且实施起来也不复杂。
IP安全策略
IPSec策略（IPSecurity）即IP安全机制是抵御内部、专用网络及外部安全攻击的关键防线。IPSec使用加密的安全服务来提供数据完整性、数据身份验证、数据机密性和TCP/IP通讯重放等多种级别的保护。
在网络上传输数据的时候，通过创建IP安全策略，利用点到点的安全模型，能够安全有效地把源计算机的数据传输到目标计算机。那么，我们如何来创建IP安全策略呢？这里就以Windows2003为例来说明。
运行Gpedit.msc，打开“组策略”对话窗口，依次展开“计算机配置→Windows设置→安全设置→IP安全策略，在本地计算机”，在其右侧窗口中就有系统内置的三条安全策略：安全服务器（要求安全设置）、客户端（只响应）、服务器（请求安全设置）。利用IP安全策略只允许访问80端口，就可以保障Web服务的绝对安全。
在其右侧窗口中右击鼠标，在弹出的快捷菜单中选择“创建IP安全策略”，打开“IP安全策略向导”对话框，单击“下一步”，然后输入策略名称（比如WWW）和策略描述。单击“下一步”，不勾选“激活默认响应规则”复选项，单击“下一步”，再点击“完成”就完成了IP安全策略的创建工作。
在此安全策略中创建两条IP安全规则“denyall”和“allowtcp80”，在弹出的“WWW属性”对话框中的“规则”选项页中不勾选“使用‘添加向导’”复选项，然后点击“添加”来创建新规则。先要创建一个筛选器，在“IP筛选器列表”选项页中点击“添加”，给筛选器取个名称（denyall），再点击“添加”打开“筛选器属性”对话框（如图），在“寻址”选项页中的“源地址”中选择“任何IP地址”，“目标地址”指定为“我的IP地址”。
然后切换到“协议”选项页，在“选项协议类型”中选择“任意”，依次点击“完成”，返回“新规则属性”对话窗口，在“IP筛选器列表”选定“denyall”，再在“筛选器操作”选项页添加一个过滤操作，将“安全措施”设置为“阻止”，并选定它。返回到“WWW属性”对话框，勾选“denyall”复选项，此安全规则的作用就是是禁止任何计算机访问本机。
我们还得为访问者开放80端口，同样建议“allowtcp80”，将其筛选器属性设置为从“所有IP地址”到“我的IP地址”，协议为“TCP”，设置IP协议端口从任意端口到80端口，将该筛选器的“安全设置”指定为“许可”，该IP安全规则的功能就是允许网络中的计算机访问本机的WWW服务。
设置好IP安全规则后，在“WWW属性”对话框的“IP安全规则”列表中一起勾选“denyall”和“allowtcp80”，点击“关闭”返回。最后要做的是指派该策略，只有指派后它才起作用。右击刚刚配置好的策略，在弹出的快捷菜单中选择“指派”命令启用策略。这样，任何计算机只能用访问TCP的80端口，而Ping包、UDP等均不响应。
安全审核策略
Windows2000/XP/2003的安全审核可以审核多个对象与事件，例如可以使用审核跟踪用于访问文件或其他对象的用户账户、登录尝试、系统关闭或重新启动以及类似的事件，而审核文件和NTFS分区下的文件夹可以保证文件和文件夹的安全。
安全审核策略在默认情况下是没有启用的，因此，首先必须要开启审核功能。这里以Windows2003为例说明，打开“控制面板”，双击进入“管理工具”，运行“本地安全策略”，打开“本地安全设置”对话窗口。在左边的窗格中依次展开“安全设置→本地策略→审核策略”，系统提供了九类可以审核的事件，对于每一类都可以指明是审核成功事件、失败事件，还是两者都审核。
如要审核对特定文件、文件夹和打印机的成功访问，在其右侧窗格中双击“审核对象访问”策略，弹出其属性设置对话框，选中“成功”复选框；如果同时还要审核这些对象的失败访问，请勾选“失败”复选框，点击“确定”返回，最后重新启动计算机即可生效。
小提示：必须是管理员组成员或者被授权有“管理审核和安全日志”权限的用户可以审核文件或文件夹。
打开审核后，当有人尝试对你的系统进行某些方式（如尝试用户密码，改变账户策略，未经许可的文件访问等等）入侵的时候，都会被安全审核记录下来，存放在“事件查看器”中的安全日志中。
另外，在“本地安全策略”中还可开启账户策略，如在账户锁定策略中设定，账户锁定阀值为三次（那么当三次无效登录将锁定），然后将账户锁定时间设定为30分钟，甚至更长。这样，黑客想要攻击你，一天24小时试密码也没什么机会，而且还要冒着被记录追踪的危险。
这里就以审核文件、文件夹和打印机为例。先找到要审核的文件、文件夹或者打印机，然后打开其“属性”对话框，接着点击切换到“安全”选项页，单击其下面的“高级”按钮，打开该对象的高级安全设置对话框，进入“审核”选项页，就可以设置审核项目了。
如果要对一个新组或用户设置审核，单击“添加”按钮，打开“选择用户或组”对话框，在“输入要选择的对象名称”框中，键入要审核其访问的用户或用户组的名称（小提示：可以通过单击高级，然后在“选择用户和组”对话框中单击立即查找，以浏览到计算机中的这些名称），点击“确定”，打开其审核项目对话框。在“访问”列表选择要审核的项目，如果要审核所有的项目，请选中“完全控制”后面的“成功”和“失败”复选项。接下来就是要设置审核应用的范围，在“应用到”下拉列表中的七个范围中根据自己的需要选择即可，一般选择“该文件夹，子文件夹及文件”，然后点击“确定”完成添加并返回。
小提示：如果在“审核项目”对话框中的“访问”之下的复选框变成灰色，或在“访问控制设置”对话框中“删除”按钮不可用，说明已经继承了来自父文件夹的审核。
如果想要查看或更改原有的组或用户审核,在“审核项目”中选择用户名，然后单击“编辑”，单击“删除”即可去除审核项目。
当设置了审核后，审核所产生的结果都被记录到安全日志中，使用“事件查看器”可以查看安全日志的内容或是在日志中查找指定事件的详细信息。在“管理工具”中双击打开“事件查看器”，选择“安全性”，审核结果就出现在面前了。
事实表明，在网络管理过程中恰当得实施一定的安全策略，有时真的可以让我们的网管工作一劳永逸。
https://m.sciencenet.cn/blog-81613-40626.html
上一篇：个人电脑防御黑客（转载）
下一篇：研究生教育与就业 (转载)
