windows server 2003搭建web服务器(windows server 2003本地安全策略)

与Win2K相比，Win2003 Server的安全性有了很大的提高，但是用Win2003 Server做服务器真的安全吗？我们如何构建一个安全的个人web服务器？下面简单介绍一下。

一、Windows Server2003的安装

1.安装系统至少需要两个分区，分区格式为NTFS格式。

2.网络断开时安装2003系统。

3.安装iis，只安装必要的IIS组件(禁用不必要的服务，如FTP和SMTP)。默认情况下，不安装iis服务。在“添加/删除Win组件”中选择“应用服务器”，然后单击“详细信息”，双击Internet信息服务(IIS)，并选中以下选项：

互联网服务经理；

公共文件；

后台智能传送服务(BITS)服务器扩展；

万维网服务。

如果您使用frontpage扩展的网站，请再次检查：frontpage 2002服务器扩展。

4.安装MSSQL和其他必需的软件，然后更新。

5.使用Microsoft提供的mbsa(Microsoft Baseline Security Analyzer)工具来分析计算机的安全配置，并确定缺少的修补程序和更新。下载地址：见页末链接。

二。设置和管理帐户

1.最好少建系统管理员账号，改默认管理员账号名称和描述。密码应该是数字、小写字母和数字的组合，长度不小于14位。

2.创建一个名为Administrator的新陷阱帐户，为其设置最小权限，然后随意输入一个不小于20位的组合密码。

3.禁用来宾帐户，更改其名称和描述，然后输入复杂的密码。当然现在也有DelGuest的工具。也许你也可以用它来删除来宾帐户，但我没有尝试过。

4.进入gpedit.msc并回车，打开组策略编辑器，选择计算机配置-Windows设置-安全设置-帐户策略-帐户锁定策略，将帐户设置为“三次登录无效”、“锁定时间为30分钟”、“重置锁定计数设置为30分钟”。

5.在安全设置-本地策略-安全选项中设置“不显示最后一个用户名”以启用。

6.在安全设置-本地策略-用户权限分配中，只有Internet来宾帐户和启动IIS进程的帐户会保留在“从网络访问这台计算机”中。如果您使用Aspnet，您应该保留您的Aspnet帐户。

7.创建一个用户帐户并运行系统。如果要运行特权命令，请使用Runas命令。

三。网络服务安全管理

1.禁止C$、D$和ADMIN$的默认共享。

打开注册表HKEY _本地_机器\系统\当前控制集\服务\ lanmanserver \参数，并在右侧窗口创建一个新的Dword值，其名称设置为AutoShareServer，值设置为0。

2.解除NetBios与TCP/IP协议的绑定

右键单击网上邻居-属性-右键单击本地连接-属性-双击Internet协议-高级-Wins-禁用TCP/IP上的NETBIOS

3.关闭不必要的服务。以下是建议的选项

浏览器：维护网络计算机更新，禁用

分布式文件系统：局域网管理共享文件，所以不需要禁用。

分布式linktracking客户端：用于更新局域网的连接信息，不需要禁用。

错误报告服务：禁止发送错误报告

Microsoft Serch:提供快速单词搜索，无需任何帮助即可禁用。

LMSecuritySupportProvider:由Telnet服务和Microsoft Serch使用，不需要禁用。

如果没有要禁用的打印机。

远程注册表：禁止远程修改注册表。

远程桌面帮助会话管理器：禁止远程协助。

第四，打开相应的审计策略。

输入gpedit.msc并回车，打开组策略编辑器，选择计算机配置-Windows设置-安全设置-审计策略。在创建审计项目时，需要注意的是，如果审计项目太多，生成的事件就越多，因此发现严重事件的难度就越大。当然，如果审核太少会影响你发现严重事件，你需要根据情况在两者之间进行选择。

建议审查的项目有：

登录事件成功但失败。

帐户登录事件成功和失败。

系统事件成功和失败。

策略更改成功但失败。

对象访问失败。

目录服务访问失败。

权限使用失败。

动词（verb的缩写）其他安全相关设置

1.隐藏重要文件/目录

可以修改注册表实现完全隐藏：“HKEY _本地_机器\软件\微软\ windows \当前版本\资源管理器\高级\文件夹\ hi-dden \ showall”，右击“CheckedValue”，选择修改，将值从1改为0。

2.启动系统自带的互联网连接防火墙，在设置服务选项中检查Web服务器。

3.防止SYN flood攻击

HKEY _ LOCAL _ MACHINE \ SYSTEM \ current control set \ Services \ Tcpip \ Parameters

创建一个名为SynAttackProtect的新DWORD值，值为2

4.禁止响应ICMP路由通告消息。

HKEY _ LOCAL _ MACHINE \ SYSTEM \ current control set \ Services \ Tcpip \ Parameters \ Interfaces \ interface

创建一个名为PerformRouterDiscovery的新DWORD值，其值为0

5.防止ICMP重定向消息的攻击

HKEY _ LOCAL _ MACHINE \ SYSTEM \ current control set \ Services \ Tcpip \ Parameters

将EnableICMPRedirects值设置为0。

6.不支持IGMP协议。

HKEY _ LOCAL _ MACHINE \ SYSTEM \ current control set \ Services \ Tcpip \ Parameters

创建一个新的DWORD值，名为IGMPLevel，值为0

7.禁用DCOM:

运行输入Dcomcnfg.exe。进入，点击“控制台根节点”下的“组件服务”。打开计算机子文件夹。

对于本地计算机，右键单击我的电脑，然后选择属性。选择默认属性选项卡。

清除“在这台计算机上启用分布式COM”复选框。

注意：我在第3-6项中使用了Server2000设置，但是我还没有测试它是否适用于2003。但有一点可以肯定，我花了一段时间才发现没有其他副作用。

不及物动词配置IIS服务：

1.不要使用默认网站。如果这样做，应该将IIS目录与系统盘分开。

2.删除IIS默认创建的Inetpub目录(在安装系统的磁盘上)。

3.删除系统盘下的虚拟目录，比如：_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。

4.删除不必要的IIS扩展映射。

右键单击“默认网站属性主目录配置”打开应用程序窗口，删除不必要的应用程序映射。主要是。shtml，shtm，stm。

5.更改IIS日志的路径。

右键单击默认网站属性-网站-单击启用日志记录下的属性。

6.如果您使用的是2000，可以使用iislockdown来保护IIS，但不要求运行2003的IE6.0版本。

7.使用UrlScan

UrlScan是一个IsapI过滤器，它分析传入的HTTP数据包，并可以拒绝任何可疑的流量。最新版本是2.5。如果是2000Server，需要先安装1.0或2.0版本。请参见页面末尾的链接获取下载地址。

如果没有特殊要求，UrlScan默认配置就足够了。

但是如果你在服务器上运行ASP.NET程序并想调试它，你需要打开% windir % \ system32 \ inetsrv \ urlscan。

文件夹，然后在UserAllowVerbs部分添加调试谓词。请注意，此部分区分大小写。

如果您的网页是一个。asp网页，需要删除。DenyExtensions中的asp相关内容。

如果您的网页使用非ASCII代码，您需要在选项部分将AllowHighBitCharacters的值设置为1。

对URLScan.ini文件进行更改后，需要重新启动IIS服务才能生效。在快速方法运行中输入iisreset。

如果配置后有任何问题，可以通过添加/删除程序来删除UrlScan。

8.使用WIS (Web Injection Scanner)工具扫描整个网站的SQL注入漏洞。

下载地址：[http://www.fanvb.net/websample/othersample.aspx]VB.net恋人[/url]

七。配置Sql Server

1.系统管理员的角色最好不要超过两个。

2.如果在这台机器上，最好将身份验证配置为Win登录。

3.不要使用Sa帐户，并配置一个超级复杂的密码。

4.删除以下扩展存储过程格式：

使用母版

Sp_dropextendedproc '扩展存储过程名称'

Xp_cmdshell:这是操作系统的最佳捷径。删除