第1页共18页编号:时间:2021年x月x日书山有路勤为径,学海无涯苦作舟页码:第1页共18页暴露于Internet中的服务器安全配置步骤第2页共18页第1页共18页编号:时间:2021年x月x日书山有路勤为径,学海无涯苦作舟页码:第2页共18页目录1.配置Windows2000Server.....................................................................32.配置防火墙...............................................................................................32.1天网防火墙个人版(自定义IP规则).........................................33.修改本地用户...........................................................................................54.设置本地安全策略...................................................................................64.1账户锁定策略....................................................................................64.2审核策略............................................................................................74.3用户权利指派....................................................................................74.4安全选项............................................................................................85.配置路由和远程访问...............................................................................96.配置VPN...............................................................................................147.日常例行检查.........................................................................................14第3页共18页第2页共18页编号:时间:2021年x月x日书山有路勤为径,学海无涯苦作舟页码:第3页共18页请在任何时候都记住:再好的安全措施、防火墙,也无法抵御来自内部的攻击,特别是具有管理员权限内部人员的恶意攻击。1.配置Windows2000Server必须安装直到目前的所有补丁:sp1、sp2、sp3。经常使用“开始”---“WindowsUpdata”功能进行安全更新。2.配置应用程序如果系统中的应用程序有补丁,必须全部打上补丁,特别是SQLSERVER2000,必须依次打到SP3以上。3.IIS的处理在一般情况下,请去掉IIS服务。请将C:\INTEPUB这个文件夹改名。4.配置防火墙我们一般建议使用诺顿网络特警2003(请见《诺顿网络特警2003操作手册》)5.修改本地用户打开“开始-程序-管理工具-计算机管理”,展开“计算机管理(本地)-系统工具-本地用户和组”。设置所有属于“administrator”组的用户密码必须在18位以上。双击“组”,建立组VPN。双击“用户”新建“sql”帐号,专用于SQLSERVER2000服务启动使用。并加入administrator组。密码至少18位长并且必须包含字母和数字,并修改其拨入属性为“拒绝访问”。“终端服务配置文件”—“允许登录到终端服务”的选项必须去掉。设置administrator密码至少18位长并且必须包含字母和数字,并第4页共18页第3页共18页编号:时间:2021年x月x日书山有路勤为径,学海无涯苦作舟页码:第4页共18页修改其拨入属性为“拒绝访问”。禁用guest账户。并修改其拨入属性为“拒绝访问”。“终端服务配置文件”—“允许登录到终端服务”的选项必须去掉。禁用SQLDebugger账户。并修改其拨入属性为“拒绝访问”。“终端服务配置文件”—“允许登录到终端服务”的选项必须去掉。禁用IUSR_xx和IWAM_xx账户。并修改其拨入属性为“拒绝访问”。“终端服务配置文件”—“允许登录到终端服务”的选项必须去掉。禁用TsInternetUser账户。并修改其拨入属性为“拒绝访问”。“终端服务配置文件”—“允许登录到终端服务”的选项必须去掉。建立用户hxxddialin,密码至少18位长并且必须包含字母和数字,属于本机VPN组和users组,拨入属性为“允许访问”。“终端服务配置文件”—“允许登录到终端服务”的选项必须去掉。6.设置本地安全策略6.1设置密码策略打开“开始-程序-管理工具-本地安全策略”,展开“安全设置-账户策略-密码策略”...