在windows server 2008系统中有哪些注册表的经典安全策略
2024-05-09 03:59
1. 在windows server 2008系统中有哪些注册表的经典安全策略
一、系统及程序
1、屏幕保护与电源
桌面右键--〉个性化--〉屏幕保护程序
屏幕保护程序 选择无
更改电源设置 选择高性能
选择关闭显示器的时间 关闭显示器 选 从不 保存修改
2、安装IIS
管理工具--〉服务器管理器--〉添加服务器角色--〉勾选 Web服务器（IIS）
勾选下列 角色服务
ASP
CGI（和PHP有关）
ISAPI扩展
ISAPI筛选器
在服务器端包含文件（用于支持SSI shtml）
也可以之后添加
服务器管理器--〉角色--〉web 服务器(IIS)--〉角色服务 点击 添加角色服务
http://qingguo408.blog.163.com/blog/static/15662855201121893825604/
如需安装SQL2005，则下列角色服务必须勾选
1. 常见的 HTTP 功能
静态内容
默认文档
目录浏览
HTTP 重定向
2. 应用程序开发
ASP.Net
.NER 扩展
ISAPI 扩展
ISAPI 筛选器
3. 安全性
Windows 身份验证
4. 管理工具 IIS6 管理兼容性
IIS 6 元数据库兼容性
IIS 6 WMI 兼容性
设置日志、输出缓存的目录
添加默认文档
index.asp index.php Default.asp 等
启用父路径
ASP 启用父路径 False 改为 True
增加IIS对MIME文件类型的支持
MIME类型
.rmvb application/vnd.rn-realmedia
.iso application/octet-stream
.rar application/octet-stream
.7z application/octet-stream
.mkv application/octet-stream
Win2008或IIS7的文件上传大小限制解决方案
默认情况下，IIS7的上传限制为200K。当上传文件小于30M时，可以通过如下方法设置：
在iis7中找到asp设置，在“asp”的“限制属性”中最后一行“最大请求主体限制”，修改该值为你所想要的，如2G（2000000000，单位为B）。
当上传文件要求大于30M时，继续如下修改：
1. 停止IIS7
2. 找到“C:\Windows\System32\inetsrv\config\schema\IIS_schema.xml”文件。
这个文件是只读的，即使用管理员权限也不能修改。要先修改文件的权限，然后去掉只读属性才可以。
1) 右键文件->属性->安全，选中目标用户，点击高级，修改文件所有者；
2) 确定后点击编辑，就可以修改当前用户的权限了，添加“写入”权限。至此，权限设置OK了。
3) 将文件的只读属性去掉。
用记事本打开该文件，找到“”，将“30000000”修改为你想要的值（如2000000000）保存。
将“C:\Windows\System32\inetsrv\config\schema\IIS_schema.xml”文件加上只读属性。
启动IIS7。本人上传120M视频文件通过。但是，win2008最大只能上传小于2G的文件。这个要注意。
3、配置php
http://www.cnblogs.com/kaite/archive/2012/03/10/2389489.html
把php安装包解压的一个目录下，C:\php
拷贝一个php.ini-development副本，把它重命名为php.ini。
配置php.ini 文件，搜索如下配置并修改相应的配置值：
extension_dir = "C:\php\ext"
; date.timezone = 改为 date.timezone = Asia/Shanghai
如果不改以上的date.timezone可能打开网页会提示500错误
组件
extension=php_mbstring.dll
extension=php_gd2.dll
extension=php_MySQL.dll
extension=php_mysqli.dll phpMyAdmin使用
PHP 5.3以上版本使用fastcgi模式，配置IIS 7需要在IIS添加一个处理程序映射
处理程序映射--〉添加一个模块处理程序：
*.php
FastCgiModule
C:\php\php-cgi.exe
PHP_vis_FastCGI
默认文档中添加index.php 为默认文档
PHP目录 Users 读取运行权限
php测试
<?php
phpinfo();
?>
新版本的Windows版本PHP，在出现错误时，会将详细的错误信息自动存储到Windows系统的TEMP临时目录，文件名为：php-errors.log。在Windows2003系统中路径一般是：C:\WINDOWS\Temp\php-errors.log。用记事本打开这个文件，就可以看到详细的php错误记录了。
HTTP 错误 500.0 – Internal Server Error
发生未知 FastCGI 错误
发生此错误的关键原因在于没有安装VC9运行库 即VISUAL C++ 2008 (installer自动带上了Visual C++ 2008)
Microsoft Visual C++ 2008 Redistributable Package (x86)下载地址：
http://www.microsoft.com/downloads/details.aspx?FamilyID=9B2DA534-3E03-4391-8A4D-074B9F2BC1BF&displaylang=zh-cn
Microsoft Visual C++ 2008 Redistributable Package (x64)下载地址：
http://www.microsoft.com/downloads/zh-cn/resultsForProduct.aspx?displaylang=zh&ProductID=23947d52-b2bc-4e88-8c51-e81dc2905b0d
如果安装VC9运行库仍出现上面错误，多数是因为php安装目录没有给IIS_IUSRS用户读取和执行权限造成的。
4、Mysql 5安装
http://faq.comsenz.com/usersguide/discuz
二、系统安全配置
1、目录权限
除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权，之后再对其下的子目录作单独的目录权限
2、远程连接
我的电脑属性--〉远程设置--〉远程--〉只允许运行带网络超级身份验证的远程桌面的计算机连接
选择允许运行任意版本远程桌面的计算机连接(较不安全)。备注：方便多种版本Windows远程管理服务器。
http://apps.hi.baidu.com/share/detail/16610280
windows server 2008的远程桌面连接，与2003相比，引入了网络级身份验证（NLA，network level authentication)，XP SP3不支持这种网络级的身份验证，vista跟win7支持。
然而在XP系统中修改一下注册表，即可让XP SP3支持网络级身份验证。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
在右窗口中双击Security Pakeages，添加一项“tspkg”。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders
在右窗口中双击SecurityProviders，添加credssp.dll；请注意，在添加这项值时，一定要在原有的值后添加逗号后，别忘了要空一格（英文状态）。
然后将XP系统重启一下即可。再查看一下，即可发现XP系统已经支持网络级身份验证
3、修改远程访问服务端口
更改远程连接端口方法，可用windows自带的计算器将10进制转为16进制。更改3389端口为8208，重启生效！
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]
"PortNumber"=dword:0002010
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]
"PortNumber"=dword:00002010
1.在开始--运行菜单里,输入regedit,进入注册表编辑,按下面的路径进入修改端口的地方
2.HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
3.找到右侧的 "PortNumber"，用十进制方式显示，默认为3389，改为(例如)6666端口
4.HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp
5.找到右侧的 "PortNumber"，用十进制方式显示，默认为3389，改为同上的端口
6.在控制面板--Windows 防火墙--高级设置--入站规则--新建规则
7.选择端口--协议和端口--TCP/特定本地端口：同上的端口
8.下一步，选择允许连接
9.下一步，选择公用
10.下一步，名称：远程桌面-新(TCP-In)，描述：用于远程桌面服务的入站规则，以允许RDP通信。[TCP 同上的端口]
11.删除远程桌面(TCP-In)规则
12.重新启动计算机
4、配置本地连接
网络--〉属性--〉管理网络连接--〉本地连接
打开“本地连接”界面，选择“属性”，左键点击“Microsoft网络客户端”，再点击“卸载”，在弹出的对话框中“是”确认卸载。点击“Microsoft网络的文件和打印机共享”，再点击“卸载”，在弹出的对话框中选择“是”确认卸载。
解除Netbios和TCP/IP协议的绑定 139端口
打开“本地连接”界面，选择“属性”，在弹出的“属性”框中双击“Internet协议版本（TCP/IPV4）”，点击“属性”，再点击“高级”—“WINS”，选择“禁用TCP/IP上的NETBIOS”，点击“确认”并关闭本地连接属性。
禁止默认共享
点击“开始”—“运行”，输入“Regedit”，打开注册表编辑器，打开注册表项“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters”，在右边的窗口中新建Dword值，名称设为AutoShareServer，值设为“0”。
关闭 445端口
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters
新建 Dword（32位）名称设为SMBDeviceEnabled 值设为“0”
5、共享和发现
右键“网络” 属性 网络和共享中心 共享和发现
关闭
网络共享
文件共享
公用文件共享
打印机共享
显示我正在共享的所有文件和文件夹
显示这台计算机上所有共享的网络文件夹
6、用防火墙限制Ping
网上自己查吧，ping还是经常需要用到的
7、防火墙的设置
控制面板→Windows防火墙设置→更改设置→例外，勾选FTP、HTTP、远程桌面服务 核心网络
HTTPS用不到可以不勾
3306：Mysql
1433：Mssql
8、禁用不需要的和危险的服务，以下列出服务都需要禁用。
控制面板 管理工具 服务
Distributed linktracking client 用于局域网更新连接信息
PrintSpooler 打印服务
Remote Registry 远程修改注册表
Server 计算机通过网络的文件、打印、和命名管道共享
TCP/IP NetBIOS Helper 提供 TCP/IP (NetBT) 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持
Workstation 泄漏系统用户名列表 与Terminal Services Configuration 关联
Computer Browser 维护网络计算机更新 默认已经禁用
Net Logon 域控制器通道管理 默认已经手动
Remote Procedure Call (RPC) Locator RpcNs*远程过程调用 (RPC) 默认已经手动
删除服务
sc delete MySql
9、安全设置-->本地策略-->安全选项
在运行中输入gpedit.msc回车，打开组策略编辑器，选择计算机配置-->Windows设置-->安全设置-->本地策略-->安全选项
交互式登陆：不显示最后的用户名 启用
网络访问：不允许SAM帐户的匿名枚举 启用 已经启用
网络访问：不允许SAM帐户和共享的匿名枚举 启用
网络访问：不允许储存网络身份验证的凭据 启用
网络访问：可匿名访问的共享 内容全部删除
网络访问：可匿名访问的命名管道 内容全部删除
网络访问：可远程访问的注册表路径 内容全部删除
网络访问：可远程访问的注册表路径和子路径 内容全部删除
帐户：重命名来宾帐户 这里可以更改guest帐号
帐户：重命名系统管理员帐户 这里可以更改Administrator帐号
10、安全设置-->账户策略-->账户锁定策略
在运行中输入gpedit.msc回车，打开组策略编辑器，选择计算机配置-->Windows设置-->安全设置-->账户策略-->账户锁定策略，将账户锁定阈值设为“三次登陆无效”，“锁定时间为30分钟”，“复位锁定计数设为30分钟”。
11、本地安全设置
选择计算机配置-->Windows设置-->安全设置-->本地策略-->用户权限分配
关闭系统：只有Administrators组、其它全部删除。
通过终端服务拒绝登陆：加入Guests组、IUSR_*****、IWAM_*****、NETWORK SERVICE、SQLDebugger
通过终端服务允许登陆：加入Administrators、Remote Desktop Users组，其他全部删除
12、更改Administrator，guest账户，新建一无任何权限的假Administrator账户
管理工具→计算机管理→系统工具→本地用户和组→用户
新建一个Administrator帐户作为陷阱帐户，设置超长密码，并去掉所有用户组
更改描述：管理计算机(域)的内置帐户
13、密码策略
选择计算机配置-->Windows设置-->安全设置-->密码策略
启动 密码必须符合复杂性要求
最短密码长度
14、禁用DCOM （"冲击波"病毒 RPC/DCOM 漏洞）
运行Dcomcnfg.exe。控制台根节点→组件服务→计算机→右键单击“我的电脑”→属性”→默认属性”选项卡→清除“在这台计算机上启用分布式 COM”复选框。
15、ASP漏洞
主要是卸载WScript.Shell 和 Shell.application 组件，是否删除看是否必要。
regsvr32/u C:\WINDOWS\System32\wshom.ocx
regsvr32/u C:\WINDOWS\system32\shell32.dll
删除可能权限不够
del C:\WINDOWS\System32\wshom.ocx
del C:\WINDOWS\system32\shell32.dll
如果确实要使用，或者也可以给它们改个名字。
WScript.Shell可以调用系统内核运行DOS基本命令
可以通过修改注册表，将此组件改名，来防止此类木马的危害。
HKEY_CLASSES_ROOT\WScript.Shell\及HKEY_CLASSES_ROOT\WScript.Shell.1\
改名为其它的名字，如：改为WScript.Shell_ChangeName 或 WScript.Shell.1_ChangeName
自己以后调用的时候使用这个就可以正常调用此组件了
也要将clsid值也改一下
HKEY_CLASSES_ROOT\WScript.Shell\CLSID\项目的值
HKEY_CLASSES_ROOT\WScript.Shell.1\CLSID\项目的值
也可以将其删除，来防止此类木马的危害。
Shell.Application可以调用系统内核运行DOS基本命令
可以通过修改注册表，将此组件改名，来防止此类木马的危害。
HKEY_CLASSES_ROOT\Shell.Application\
及
HKEY_CLASSES_ROOT\Shell.Application.1\
改名为其它的名字，如：改为Shell.Application_ChangeName 或 Shell.Application.1_ChangeName
自己以后调用的时候使用这个就可以正常调用此组件了
也要将clsid值也改一下
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值
也可以将其删除，来防止此类木马的危害。
禁止Guest用户使用shell32.dll来防止调用此组件。
2000使用命令：cacls C:\WINNT\system32\shell32.dll /e /d guests
2003使用命令：cacls C:\WINDOWS\system32\shell32.dll /e /d guests
禁止使用FileSystemObject组件，FSO是使用率非常高的组件，要小心确定是否卸载。改名后调用就要改程序了，Set FSO = Server.CreateObject("Scripting.FileSystemObject")。
FileSystemObject可以对文件进行常规操作,可以通过修改注册表，将此组件改名，来防止此类木马的危害。
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\
改名为其它的名字，如：改为 FileSystemObject_ChangeName
自己以后调用的时候使用这个就可以正常调用此组件了
也要将clsid值也改一下
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\CLSID\项目的值
也可以将其删除，来防止此类木马的危害。
2000注销此组件命令：RegSrv32 /u C:\WINNT\SYSTEM\scrrun.dll
2003注销此组件命令：RegSrv32 /u C:\WINDOWS\SYSTEM\scrrun.dll
如何禁止Guest用户使用scrrun.dll来防止调用此组件？
使用这个命令：cacls C:\WINNT\system32\scrrun.dll /e /d guests
15、打开UAC
控制面板 用户账户 打开或关闭用户账户控制
16、程序权限
"net.exe","net1.exe","cmd.exe","tftp.exe","netstat.exe","regedit.exe","at.exe","attrib.exe","cacls.exe","format.com","c.exe"
或完全禁止上述命令的执行
gpedit.msc-〉用户配置-〉管理模板-〉系统
启用 阻止访问命令提示符 同时 也停用命令提示符脚本处理
启用 阻止访问注册表编辑工具
启用 不要运行指定的windows应用程序，添加下面的
at.exe attrib.exe c.exe cacls.exe cmd.exe format.com net.exe net1.exe netstat.exe regedit.exe tftp.exe
17、Serv-u安全问题
安装程序尽量采用最新版本，避免采用默认安装目录，设置好serv-u目录所在的权限，设置一个复杂的管理员密码。修改serv-u的banner信息，设置被动模式端口范围（4001—4003）在本地服务器中设置中做好相关安全设置：包括检查匿名密码，禁用反超时调度，拦截“FTP bounce”攻击和FXP，对于在30秒内连接超过3次的用户拦截10分钟。域中的设置为：要求复杂密码，目录只使用小写字母，高级中设置取消允许使用MDTM命令更改文件的日期。
更改serv-u的启动用户：在系统中新建一个用户，设置一个复杂点的密码，不属于任何组。将servu的安装目录给予该用户完全控制权限。建立一个FTP根目录，需要给予这个用户该目录完全控制权限，因为所有的ftp用户上传，删除，更改文件都是继承了该用户的权限，否则无法操作文件。另外需要给该目录以上的上级目录给该用户的读取权限，否则会在连接的时候出现530 Not logged in, home directory does not exist。比如在测试的时候ftp根目录为d:soft，必须给d盘该用户的读取权限，为了安全取消d盘其他文件夹的继承权限。而一般的使用默认的system启动就没有这些问题，因为system一般都拥有这些权限的。
如果FTP不是必须每天都用，不如就关了吧，要用再打开。
2. window server 2008 本地安全策略中的一些使用
第一条。作用就是在登陆用户后显示上次有没有人用这个账户进行登陆，前提你得记得你最后一次登陆时间。然并卵 第二条，这个有用，防止普通用户关机，给指定用户远程关机权限，防莫名被关机 开始 管理工具 本地策略 用户权限
3. 在windows server 2008系统中有哪些注册表的经典安全策略
一、系统及程序
1、屏幕保护与电源
桌面右键--〉个性化--〉屏幕保护程序
屏幕保护程序 选择无
更改电源设置 选择高性能
选择关闭显示器的时间 关闭显示器 选 从不 保存修改
2、安装IIS
管理工具--〉服务器管理器--〉添加服务器角色--〉勾选 Web服务器（IIS）
勾选下列 角色服务
ASP
CGI（和PHP有关）
ISAPI扩展
ISAPI筛选器
在服务器端包含文件（用于支持SSI shtml）
也可以之后添加
服务器管理器--〉角色--〉web 服务器(IIS)--〉角色服务 点击 添加角色服务
http://qingguo408.blog.163.com/blog/static/15662855201121893825604/
如需安装SQL2005，则下列角色服务必须勾选
1. 常见的 HTTP 功能
静态内容
默认文档
目录浏览
HTTP 重定向
2. 应用程序开发
ASP.Net
.NER 扩展
ISAPI 扩展
ISAPI 筛选器
3. 安全性
Windows 身份验证
4. 管理工具 IIS6 管理兼容性
IIS 6 元数据库兼容性
IIS 6 WMI 兼容性
设置日志、输出缓存的目录
添加默认文档
index.asp index.php Default.asp 等
启用父路径
ASP 启用父路径 False 改为 True
增加IIS对MIME文件类型的支持
MIME类型
.rmvb application/vnd.rn-realmedia
.iso application/octet-stream
.rar application/octet-stream
.7z application/octet-stream
.mkv application/octet-stream
Win2008或IIS7的文件上传大小限制解决方案
默认情况下，IIS7的上传限制为200K。当上传文件小于30M时，可以通过如下方法设置：
在iis7中找到asp设置，在“asp”的“限制属性”中最后一行“最大请求主体限制”，修改该值为你所想要的，如2G（2000000000，单位为B）。
当上传文件要求大于30M时，继续如下修改：
1. 停止IIS7
2. 找到“C:\Windows\System32\inetsrv\config\schema\IIS_schema.xml”文件。
这个文件是只读的，即使用管理员权限也不能修改。要先修改文件的权限，然后去掉只读属性才可以。
1) 右键文件->属性->安全，选中目标用户，点击高级，修改文件所有者；
2) 确定后点击编辑，就可以修改当前用户的权限了，添加“写入”权限。至此，权限设置OK了。
3) 将文件的只读属性去掉。
用记事本打开该文件，找到“”，将“30000000”修改为你想要的值（如2000000000）保存。
将“C:\Windows\System32\inetsrv\config\schema\IIS_schema.xml”文件加上只读属性。
启动IIS7。本人上传120M视频文件通过。但是，win2008最大只能上传小于2G的文件。这个要注意。
3、配置php
http://www.cnblogs.com/kaite/archive/2012/03/10/2389489.html
把php安装包解压的一个目录下，C:\php
拷贝一个php.ini-development副本，把它重命名为php.ini。
配置php.ini 文件，搜索如下配置并修改相应的配置值：
extension_dir = "C:\php\ext"
; date.timezone = 改为 date.timezone = Asia/Shanghai
如果不改以上的date.timezone可能打开网页会提示500错误
组件
extension=php_mbstring.dll
extension=php_gd2.dll
extension=php_MySQL.dll
extension=php_mysqli.dll phpMyAdmin使用
PHP 5.3以上版本使用fastcgi模式，配置IIS 7需要在IIS添加一个处理程序映射
处理程序映射--〉添加一个模块处理程序：
*.php
FastCgiModule
C:\php\php-cgi.exe
PHP_vis_FastCGI
默认文档中添加index.php 为默认文档
PHP目录 Users 读取运行权限
php测试
<?php
phpinfo();
?>
新版本的Windows版本PHP，在出现错误时，会将详细的错误信息自动存储到Windows系统的TEMP临时目录，文件名为：php-errors.log。在Windows2003系统中路径一般是：C:\WINDOWS\Temp\php-errors.log。用记事本打开这个文件，就可以看到详细的php错误记录了。
HTTP 错误 500.0 – Internal Server Error
发生未知 FastCGI 错误
发生此错误的关键原因在于没有安装VC9运行库 即VISUAL C++ 2008 (installer自动带上了Visual C++ 2008)
Microsoft Visual C++ 2008 Redistributable Package (x86)下载地址：
http://www.microsoft.com/downloads/details.aspx?FamilyID=9B2DA534-3E03-4391-8A4D-074B9F2BC1BF&displaylang=zh-cn
Microsoft Visual C++ 2008 Redistributable Package (x64)下载地址：
http://www.microsoft.com/downloads/zh-cn/resultsForProduct.aspx?displaylang=zh&ProductID=23947d52-b2bc-4e88-8c51-e81dc2905b0d
如果安装VC9运行库仍出现上面错误，多数是因为php安装目录没有给IIS_IUSRS用户读取和执行权限造成的。
4、Mysql 5安装
http://faq.comsenz.com/usersguide/discuz
二、系统安全配置
1、目录权限
除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权，之后再对其下的子目录作单独的目录权限
2、远程连接
我的电脑属性--〉远程设置--〉远程--〉只允许运行带网络超级身份验证的远程桌面的计算机连接
选择允许运行任意版本远程桌面的计算机连接(较不安全)。备注：方便多种版本Windows远程管理服务器。
http://apps.hi.baidu.com/share/detail/16610280
windows server 2008的远程桌面连接，与2003相比，引入了网络级身份验证（NLA，network level authentication)，XP SP3不支持这种网络级的身份验证，vista跟win7支持。
然而在XP系统中修改一下注册表，即可让XP SP3支持网络级身份验证。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
在右窗口中双击Security Pakeages，添加一项“tspkg”。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders
在右窗口中双击SecurityProviders，添加credssp.dll；请注意，在添加这项值时，一定要在原有的值后添加逗号后，别忘了要空一格（英文状态）。
然后将XP系统重启一下即可。再查看一下，即可发现XP系统已经支持网络级身份验证
3、修改远程访问服务端口
更改远程连接端口方法，可用windows自带的计算器将10进制转为16进制。更改3389端口为8208，重启生效！
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]
"PortNumber"=dword:0002010
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]
"PortNumber"=dword:00002010
1.在开始--运行菜单里,输入regedit,进入注册表编辑,按下面的路径进入修改端口的地方
2.HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
3.找到右侧的 "PortNumber"，用十进制方式显示，默认为3389，改为(例如)6666端口
4.HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp
5.找到右侧的 "PortNumber"，用十进制方式显示，默认为3389，改为同上的端口
6.在控制面板--Windows 防火墙--高级设置--入站规则--新建规则
7.选择端口--协议和端口--TCP/特定本地端口：同上的端口
8.下一步，选择允许连接
9.下一步，选择公用
10.下一步，名称：远程桌面-新(TCP-In)，描述：用于远程桌面服务的入站规则，以允许RDP通信。[TCP 同上的端口]
11.删除远程桌面(TCP-In)规则
12.重新启动计算机
4、配置本地连接
网络--〉属性--〉管理网络连接--〉本地连接
打开“本地连接”界面，选择“属性”，左键点击“Microsoft网络客户端”，再点击“卸载”，在弹出的对话框中“是”确认卸载。点击“Microsoft网络的文件和打印机共享”，再点击“卸载”，在弹出的对话框中选择“是”确认卸载。
解除Netbios和TCP/IP协议的绑定 139端口
打开“本地连接”界面，选择“属性”，在弹出的“属性”框中双击“Internet协议版本（TCP/IPV4）”，点击“属性”，再点击“高级”—“WINS”，选择“禁用TCP/IP上的NETBIOS”，点击“确认”并关闭本地连接属性。
禁止默认共享
点击“开始”—“运行”，输入“Regedit”，打开注册表编辑器，打开注册表项“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters”，在右边的窗口中新建Dword值，名称设为AutoShareServer，值设为“0”。
关闭 445端口
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters
新建 Dword（32位）名称设为SMBDeviceEnabled 值设为“0”
5、共享和发现
右键“网络” 属性 网络和共享中心 共享和发现
关闭
网络共享
文件共享
公用文件共享
打印机共享
显示我正在共享的所有文件和文件夹
显示这台计算机上所有共享的网络文件夹
6、用防火墙限制Ping
网上自己查吧，ping还是经常需要用到的
7、防火墙的设置
控制面板→Windows防火墙设置→更改设置→例外，勾选FTP、HTTP、远程桌面服务 核心网络
HTTPS用不到可以不勾
3306：Mysql
1433：Mssql
8、禁用不需要的和危险的服务，以下列出服务都需要禁用。
控制面板 管理工具 服务
Distributed linktracking client 用于局域网更新连接信息
PrintSpooler 打印服务
Remote Registry 远程修改注册表
Server 计算机通过网络的文件、打印、和命名管道共享
TCP/IP NetBIOS Helper 提供 TCP/IP (NetBT) 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持
Workstation 泄漏系统用户名列表 与Terminal Services Configuration 关联
Computer Browser 维护网络计算机更新 默认已经禁用
Net Logon 域控制器通道管理 默认已经手动
Remote Procedure Call (RPC) Locator RpcNs*远程过程调用 (RPC) 默认已经手动
删除服务
sc delete MySql
9、安全设置-->本地策略-->安全选项
在运行中输入gpedit.msc回车，打开组策略编辑器，选择计算机配置-->Windows设置-->安全设置-->本地策略-->安全选项
交互式登陆：不显示最后的用户名 启用
网络访问：不允许SAM帐户的匿名枚举 启用 已经启用
网络访问：不允许SAM帐户和共享的匿名枚举 启用
网络访问：不允许储存网络身份验证的凭据 启用
网络访问：可匿名访问的共享 内容全部删除
网络访问：可匿名访问的命名管道 内容全部删除
网络访问：可远程访问的注册表路径 内容全部删除
网络访问：可远程访问的注册表路径和子路径 内容全部删除
帐户：重命名来宾帐户 这里可以更改guest帐号
帐户：重命名系统管理员帐户 这里可以更改Administrator帐号
10、安全设置-->账户策略-->账户锁定策略
在运行中输入gpedit.msc回车，打开组策略编辑器，选择计算机配置-->Windows设置-->安全设置-->账户策略-->账户锁定策略，将账户锁定阈值设为“三次登陆无效”，“锁定时间为30分钟”，“复位锁定计数设为30分钟”。
11、本地安全设置
选择计算机配置-->Windows设置-->安全设置-->本地策略-->用户权限分配
关闭系统：只有Administrators组、其它全部删除。
通过终端服务拒绝登陆：加入Guests组、IUSR_*****、IWAM_*****、NETWORK SERVICE、SQLDebugger
通过终端服务允许登陆：加入Administrators、Remote Desktop Users组，其他全部删除
12、更改Administrator，guest账户，新建一无任何权限的假Administrator账户
管理工具→计算机管理→系统工具→本地用户和组→用户
新建一个Administrator帐户作为陷阱帐户，设置超长密码，并去掉所有用户组
更改描述：管理计算机(域)的内置帐户
13、密码策略
选择计算机配置-->Windows设置-->安全设置-->密码策略
启动 密码必须符合复杂性要求
最短密码长度
14、禁用DCOM （"冲击波"病毒 RPC/DCOM 漏洞）
运行Dcomcnfg.exe。控制台根节点→组件服务→计算机→右键单击“我的电脑”→属性”→默认属性”选项卡→清除“在这台计算机上启用分布式 COM”复选框。
15、ASP漏洞
主要是卸载WScript.Shell 和 Shell.application 组件，是否删除看是否必要。
regsvr32/u C:\WINDOWS\System32\wshom.ocx
regsvr32/u C:\WINDOWS\system32\shell32.dll
删除可能权限不够
del C:\WINDOWS\System32\wshom.ocx
del C:\WINDOWS\system32\shell32.dll
如果确实要使用，或者也可以给它们改个名字。
WScript.Shell可以调用系统内核运行DOS基本命令
可以通过修改注册表，将此组件改名，来防止此类木马的危害。
HKEY_CLASSES_ROOT\WScript.Shell\及HKEY_CLASSES_ROOT\WScript.Shell.1\
改名为其它的名字，如：改为WScript.Shell_ChangeName 或 WScript.Shell.1_ChangeName
自己以后调用的时候使用这个就可以正常调用此组件了
也要将clsid值也改一下
HKEY_CLASSES_ROOT\WScript.Shell\CLSID\项目的值
HKEY_CLASSES_ROOT\WScript.Shell.1\CLSID\项目的值
也可以将其删除，来防止此类木马的危害。
Shell.Application可以调用系统内核运行DOS基本命令
可以通过修改注册表，将此组件改名，来防止此类木马的危害。
HKEY_CLASSES_ROOT\Shell.Application\
及
HKEY_CLASSES_ROOT\Shell.Application.1\
改名为其它的名字，如：改为Shell.Application_ChangeName 或 Shell.Application.1_ChangeName
自己以后调用的时候使用这个就可以正常调用此组件了
也要将clsid值也改一下
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值
也可以将其删除，来防止此类木马的危害。
禁止Guest用户使用shell32.dll来防止调用此组件。
2000使用命令：cacls C:\WINNT\system32\shell32.dll /e /d guests
2003使用命令：cacls C:\WINDOWS\system32\shell32.dll /e /d guests
禁止使用FileSystemObject组件，FSO是使用率非常高的组件，要小心确定是否卸载。改名后调用就要改程序了，Set FSO = Server.CreateObject("Scripting.FileSystemObject")。
FileSystemObject可以对文件进行常规操作,可以通过修改注册表，将此组件改名，来防止此类木马的危害。
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\
改名为其它的名字，如：改为 FileSystemObject_ChangeName
自己以后调用的时候使用这个就可以正常调用此组件了
也要将clsid值也改一下
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\CLSID\项目的值
也可以将其删除，来防止此类木马的危害。
2000注销此组件命令：RegSrv32 /u C:\WINNT\SYSTEM\scrrun.dll
2003注销此组件命令：RegSrv32 /u C:\WINDOWS\SYSTEM\scrrun.dll
如何禁止Guest用户使用scrrun.dll来防止调用此组件？
使用这个命令：cacls C:\WINNT\system32\scrrun.dll /e /d guests
15、打开UAC
控制面板 用户账户 打开或关闭用户账户控制
16、程序权限
"net.exe","net1.exe","cmd.exe","tftp.exe","netstat.exe","regedit.exe","at.exe","attrib.exe","cacls.exe","format.com","c.exe"
或完全禁止上述命令的执行
gpedit.msc-〉用户配置-〉管理模板-〉系统
启用 阻止访问命令提示符 同时 也停用命令提示符脚本处理
启用 阻止访问注册表编辑工具
启用 不要运行指定的windows应用程序，添加下面的
at.exe attrib.exe c.exe cacls.exe cmd.exe format.com net.exe net1.exe netstat.exe regedit.exe tftp.exe
17、Serv-u安全问题
安装程序尽量采用最新版本，避免采用默认安装目录，设置好serv-u目录所在的权限，设置一个复杂的管理员密码。修改serv-u的banner信息，设置被动模式端口范围（4001—4003）在本地服务器中设置中做好相关安全设置：包括检查匿名密码，禁用反超时调度，拦截“FTP bounce”攻击和FXP，对于在30秒内连接超过3次的用户拦截10分钟。域中的设置为：要求复杂密码，目录只使用小写字母，高级中设置取消允许使用MDTM命令更改文件的日期。
更改serv-u的启动用户：在系统中新建一个用户，设置一个复杂点的密码，不属于任何组。将servu的安装目录给予该用户完全控制权限。建立一个FTP根目录，需要给予这个用户该目录完全控制权限，因为所有的ftp用户上传，删除，更改文件都是继承了该用户的权限，否则无法操作文件。另外需要给该目录以上的上级目录给该用户的读取权限，否则会在连接的时候出现530 Not logged in, home directory does not exist。比如在测试的时候ftp根目录为d:soft，必须给d盘该用户的读取权限，为了安全取消d盘其他文件夹的继承权限。而一般的使用默认的system启动就没有这些问题，因为system一般都拥有这些权限的。
如果FTP不是必须每天都用，不如就关了吧，要用再打开。
4. Windows Server2008操作系统应该做哪些安全防范工作
电脑之家很高兴为您解答： 关于安全防范工作，具体如下： 1、及时安装漏洞补丁 自Windows Server 2008系统问世以来声称自己的安全性能非常强大，这并不意味着该系统安全已经无懈可击了，因为来自该系统的安全漏洞还是接二连三地被专业黑客们发现了，为了能够在第一时间堵住Windows Server 2008系统最新的系统漏洞，微软公司也是马不停蹄地为最新发现的系统漏洞提供了补丁安装程序，要是我们能够及时下载安装这些漏洞补丁程序，那么Windows Server 2008系统的安全隐患就能被控制在一个很低的水平。当自己的电脑中安装了indows Server 2008系统后，我们应该巧妙设置系统，让其能够自动从Internet网络中下载安装最新发现的漏洞补丁程序。 2、定期清剿流氓程序在Windows Server 2008系统环境下上网访问时，稍微不小心就可能会遇到一些流氓程序的突然袭击，并且恶意程序缠身之后我们往往很难直接将它们清除出系统。为了让Windows Server 2008系统不让流氓程序疯狂"缠身"，我们可以巧妙地使用该系统自带的Windows Defender 功能，来定期扫描系统的各个"角落"，这样一来就能将"躲藏"在Windows Server 2008系统中的各种恶意流氓程序搜索出来，并且自动对它们执行删除操作。 3、阻止恶意Ping攻击我们知道很多黑客常常会借助一些专业工具向服务器系统不停地发送Ping测试数据包，以便破坏服务器系统的正常工作状态。事实上，在Windows Server 2008系统环境下，我们可以利用该系统提供的强大Windows防火墙功能，来阻止黑客向Windows Server 2008服务器系统实施恶意Ping攻击。 4、加强系统安全提示功能接触过Windows Vista系统的朋友，肯定会被该系统的UAC功能（用户帐号控制功能）所吸引，因为每次用户在该系统中尝试进行一些影响系统安全的操作时，屏幕上总会及时出现提示，要求用户进行确认操作，这无形之中就为系统安全增添了一层保险。然而，当我们尝试在Windows Server 2008系统环境下，进行删除类似系统文件这样的危险操作时，系统屏幕上并没有及时出现相应的安全提示，如此说来这是否意味着Windows Server 2008系统不支持UAC功能？其实，Windows Server 2008系统同样也具有UAC功能，只是在默认状态下没有将该功能启用起来罢了；为了防止在Windows Server 2008服务器系统中不小心进行了一些不安全操作，我们建议各位还是将该系统自带的UAC功能启用起来，并且该功能还能有效防范一些木马程序自动在系统后台进行安装操作。 希望对你有所帮助！
5. 怎么开启Windows Server 2008R2域安全策略的方法步骤
解决方法是，用户需将Windows Server 2008 R2系统升级为域控制器，那么域会自动把本地安全策略的某些功能锁定。现在，Windows Server 2008 R2的域安全策略应如何启动和打开呢？
一、方法步骤如下：
1、点击“开始”-“程序”-“管理工具”-点击“组策略管理”。
2、在打开的组策略管理，一次展开“林”-“域”-“sayms.com（域名）”-“组策略对象”-右击“Default Domain Policy”，选择“编辑”。
3、在打开的“组策略管理编辑器”，依次展开“计算机配置”-“策略”，这个策略里面包含的就是Windows Server 2008的域安全策略啦。
注：如用户需修改账户密码的复杂度，应继续展开“Windows设置”-“安全设置”-“账户策略”-“密码策略”。
当一台服务器被提升为域控制器后，本地策略不再有效，取而代之的是默认域策略。
二、本地组策略
本地组策略是指应用于本机，且设定后只会在本机起作用的策略，运行的方法为点‘开始’-‘运行’-然后键入‘gpedit.msc’，在弹出本地组策略编辑器中即可进行设置。
三、域组策略
域组策略是指应用于站点，域或者组织单元(OUs)的策略，它的最终作用对象通常是多个用户或者计算机，可以在DC上点开始 ? 运行 ? 然后键入gpmc.msc来运行。
密码策略是属于域级别的策略，必须在默认域策略或链接到根域的新策略中定义。所以虽然您可以在Default domain controller policy 中定义密码策略，但是因为Default domain controller policy只应用到了domain controllers OU而不是整个域，所以在Default domain controller policy 中定义密码策略是无效的。 另外由于域组策略的优先级高于本地组策略的优先级，在域密码策略应用并生效后，所有已经加入域的电脑（包括DC）的本地策略中，密码相关设置都会变成灰色不可修改状态。
在本地策略中的，密码策略就应该是灰色的，无法编辑。当点击开始-运行， 然后键入gpedit.msc回车后，本地策略编辑器就会被打开。而由于域组策略的优先级高于本地组策略的优先级，所有在域组策略中已经设定过的策略都将变为灰色不可修改状态（比如密码策略）。
如果您要修改密码策略，可以使用以下方法：
1、点击‘开始’-‘运行’-然后键入‘gpmc.msc’，回车后打开“组策略管理”控制台。
2、展开到 “域-Domain.com-组策略对象（Domain.com是指您的域名）”。
3、右键点击Default Domain Policy然后选择“编辑”。
4、展开到“计算机配置-策略-Windows 设置- 安全设置-账户策略- 密码策略”。
5、您可以在右边的窗口中定义密码相关的策略，此策略会应用于整个域中的所有账户。
6. windows server2008怎么样才能对注册表进行优化：
在开始->运行中,输入regedit然后回车,就可以看到在右侧是HKEY_CURRENT_USER之类的,左边是WaitToKillAppTimeout之类,修改和添加都在右侧使用右键就可以完成
7. 在windows server 2008操作系统中，有哪些共享文件的方法，应该如何选择
在局域网中，经常有文件服务器共享一些文件让局域网用户访问，但是经常出现共享文件被不小心或恶意删除的情况发生，而这个时候往往管理员也无法得知究竟是局域网那个用户做了这种操作。 那么我们能否找到一种合适的办法，来自动监控Windows Server 2008服务器系统中的共享内容变化情况，一旦发现共享内容被更改、删除时，然后就详细记录用户的这些操作行为，甚至对重要共享文件进行实时保护，禁止删除共享文件、防止共享文件删除的情况发生呢？ 一、借助于Windows Server 2008服务器操作系统自带的共享文件审核功能 首先依次单击Windows Server 2008服务器系统桌面上的“开始”、“设置”、“控制面板”选项，打开对应系统的控制面板窗口，用鼠标双击其中的“管理工具”图标，进入管理工具列表界面； 其次用鼠标双击该界面中的“本地安全策略”图标，弹出对应系统的本地安全策略编辑界面，将鼠标定位于该界面左侧位置处的“本地策略”分支项目上，再从目标分支下面依次选中“审核策略”、“审核对象访问”选项，之后用鼠标右键单击该选项，并执行快捷菜单中的“属性”命令，弹出如图1所示的审核对象访问属性设置对话框； 将该对话框中的“成功”复选项选中，同时单击“确定”按钮，这样一来针对共享文件夹访问操作的审核功能就被启用成功了，日后我们通过网络或在本地修改、删除Windows Server 2008服务器系统中的共享内容时，对应系统的事件查看器程序就会将这些操作记录自动记忆保存下来。 二、借助于专门的服务器共享文件监控软件来实时审核共享文件访问记录 无论是Windows Server 2003还是Windows Server 2008服务器操作系统，他们提供的审核共享文件的功能都是只能记录访问共享文件者的所用本地账户，而无法记录访问者的IP地址、MAC地址甚至是主机名，这使得网管员无法识别访问者到底是谁，也无法对其行为进行事后的追溯，甚至也无法责任到人。因此，有效管理共享文件、设置共享文件访问就必须借助专门的监控共享文件的软件来实时记录共享文件访问情况，尤其是记录共享文件的打开、拷贝、修改、删除、重命名等访问情况，甚至对重要的共享文件实施保护，防止删除共享文件、防止恶意修改共享文件。 目前，国内一些专门的网络管理软件厂家推出了专业的共享文件审计软件。例如当前应用比较多的当属“大势至共享文件审计系统”，百度搜索“大势至共享文件审计系统”就可以找到很多下载站点，直接下载安装就可以了（当然最好还是去官网下载）。这个系统可以支持Windows Server 2003和Windows Server 2008等微软主流的服务器操作系统，甚至还可以在Windows XP、win7等操作系统上运行，可以详细记录共享文件的读取、修改、拷贝、删除、剪切和重命名等操作，而且还有一个非常重要的功能就是：共享文件防删除功能，通过对重要共享文件设置保护之后，局域网用户不小心或恶意删除共享文件的行为将会被制止，从而极大地保护共享文件的安全。如下图所示： 图：大势至共享文件监控系统记录共享文件访问情况 总之，通过操作系统的注册表、组策略，特别是windows自带的文件共享访问的功能以及详细的访问日志，可以在很大程度上定位共享文件被局域网用户访问的情况。不过，总体而言，通过专业的共享文件访问控制软件来限制共享文件访问是当前网络管理的趋势，也是相对更加简单快捷的方法。
8. 写出windows server 2008中，本地策略与组策略有什么不同
你说的是本地安全策略吧 本地组策略包含本地安全策略 可以运行gpedit.msc命令打开本地组策略 在计算机配置-Window设置-安全设置 下就是本地安全策略 不仅仅是2008 其他系统也是一样 本地安全策略主要是对计算机安全方面和权限的设置 组策略功是管理员为用户和计算机定义并控制程序、网络资源及操作系统行为的主要工具。通过使用组策略可以设置各种软件、计算机和用户策略。
最新文章
热门文章
推荐阅读