加固NT和IIS的安全 《转》


本文仅试用于运行IIS 4.0的NTS 4.0系统,如果服务器上还有其他的应用(比如Cold Fusion),那么必须同时保证这些应用本身的安全。下面所述的方法应该在安装新系统时进行,以避免不可预知的结果出现。另外需要注意的是,这种方法不应该在内部网络上(比如文件服务器)使用,因为它删除了一些NT常用的默认服务。

一、安装
1.所有分区为NTFS
    服务器选择独立的服务器,不选择PDC
    选择工作组成员,不选择域

2.安装IE 4.0 SP2,不安装active desktop

3.安装最新的服务包:SP6a
    安装最新的热补丁:
    q241041 Enabling NetBT to Open IP Ports Exclusively
  q243404 WINOBJ.EXE May Let You View Securable Objects Created/Opened by JET500.DLL
q243405 Device Drivers Create their Corresponding DeviceObject with FILE_DEVICE_SECURE_OPEN Device Characteristics
    q244599 Fixes Required in TCSEC C2 Security Evaluation Configuration for Windows NT 4.0 Service Pack 6a. Windows NT Appears to Hang When You Log Off After Installing Service Pack 6.
    q188806 NTFS Alternate Data Stream Name of a File May Return Source
    q252463 Security Update, April 13, 2000
    q267559 Security Update, July 17, 2000
    q269862 Security Update, August 15, 2000
    q271652 Security Update, September 8, 2000

4.安装option pack:
选择自定义安装:
只安装如下组件:
     [_] Internet Information Server
           [_] Internet Service Manager
           [_] World Wide Web Server
     [_] Microsoft Data Access Components 1.5
           [_] Data Sources
           [_] MDAC: ADO, OBDC, and OLE DB
           [_] Remote Data Service 1.5
                [_] RDS Core Files
     [_] Microsoft Management Console
     [_] NT Option Pack Common Files
     [_] Transaction Server
           [_] Transaction Server Core Components
    将www安装在和操作系统不同的分区上
安装transaction server时选择default/local administration

5.安装最新的MDAC (2.6 RTM as of 10/30/00)
     
二、配置NT

1.设置权限:
使用用户管理器在所有分区上的根目录上设置如下:
  * Administrators::FULL CONTROL
      * System::FULL CONTROL

2.设置屏幕保护
在控制面板中选择显示
选择屏幕保护程序
选中密码保护,点击确定

3.设置服务:
禁止如下的服务:
  Alerter (disable)    
      ClipBook Server (disable)
        Computer Browser (disable)
        DHCP Client (disable)
        Directory Replicator (disable)
        FTP publishing service (disable)
        License Logging Service (disable)
        Messenger (disable)
        NetLOGOn (disable)
        Network DDE (disable)
        Network DDE DSDM (disable)
        Network Monitor (disable)
        Plug and Play (disable after all hardware configuration)
        Remote Access Server (disable)
        Remote Procedure Call (RPC) locater (disable)
        Schedule (disable)
        Server (disable)
        Simple Services (disable)
        Spooler (disable)
        TCP/IP Netbios Helper (disable)
        Telephone Service (disable)
       
在必要时禁止如下服务:
  SNMP service (optional)
        SNMP trap (optional)
        UPS (optional

设置如下服务为自动启动:
  Eventlog ( required )
        NT LM Security Provider (required)
        RPC service (required)
        WWW (required)
        Workstation (leave service on: will be disabled later in the document)
        MSDTC (required)
        Protected Storage (required)

4.如果安装了SNMP,改变community的值

5.删除IIS例子程序的所在目录:
IIS    d:\inetpub\iissamples
    Admin Scripts   d:\inetpub\scripts
    Admin Samples  %systemroot%\system32\inetsrv\adminsamples
    IISADMPWD  %systemroot%\system32\inetsrv\iisadmpwd
    IISADMIN       %systemroot%\system32\inetsrv\iisadmin
    Data access    c:\Program Files\Common Files\System\msadc\Samples

6.从ISM(Internet Service Manager)中删除如下目录:
IISSamples
    Scripts
    IISAdmin
    IISHelp
    IISADMPWD

7.删除不必要的IIS扩展名映射:
从ISM中:
    选择计算机名,点鼠标右键,选择属性:
     然后选择编辑    
     然后选择主目录, 点击配置    
     选择扩展名 ".HTA", ".HTR" 和 ".IDC" ,点击删除
     如果不使用server side include,则删除".shtm" ".stm" 和 ".sHTML"

8.禁止缺省的www站点

9.禁止管理员从网络登陆
使用NT resouce kit中的工具passprop,执行如下命令:
  passprop /adminlockout /complex

本文作者:



相关阅读:
Mysql主从同步备份策略分享
执行iframe中的javascript方法
自己动手开发jQuery插件教程
javascript cookie解码函数(兼容ff)
JQuery里选择超链接的实现代码
微软Windows Server 2008比Vista快20%
解决AJAX中跨域访问出现''没有权限''的错误
Windows系统网络共享的应用
JavaScript 变量作用域及闭包
PHP文件读写操作之文件读取方法详解
Bootcfg 配置、查询或更改 Boot.ini 文件设置
linux提权技巧分享
Ubuntu 7.04系统上安装Apache PHP MySQL
对oracle执行计划进行监控
快速导航

Copyright © 2016 phpStudy | 皖ICP备18014864号-4