高二 电子工业出版社《网络组建与维护》项目 9 网络安全与设置

项目 9 网络安全与设置 9.1 任务 1 系统安全策略与设 置 C任务分析 Windows 2003 系统是比较安全的系统，在现在的局域 网和互联网中都是作为服务器来使用，但是它的安全性也 不是说高枕无忧，也需要进行设置才能更好地发挥它的安 全性功能。 相关知识 网上流传的很多关于 Windows Server 2003 系统的安全 配置，但是仔细分析后发现很多都不全面，并且很多仍然配 置的不够合理，并且有很大的安全隐患，下面将详细的介绍 Windows Server 2003 的安全设置。 9.1.1 NTFS 磁盘权限设置 关于系统的 NTFS 磁盘权限设置，大家可能看了就懂 了，但是 Windows Server 2003 服务器有些细节地方需要注 意的。 C 盘只给 Administrators 和 system 权限，其他的权限不 给，其他的盘也可以这样设置，这里给的 system 权限也不 一定需要给，只是由于某些第三方应用程序是以服务形式启 项目 9 网络安全与设置 动的，需要加上这个用户，否则造成启动不了，如图 9-1 所 示。 Windows 目 录 要 加 上 给 users 的 默 认 权 限 ， 删 除 everyone 即可。否则 ASP 和 ASPX 等应用程序就无法运 行。 另外，在 C:/Documents and Settings/这里相当重要，后 面的目录中的权限根本不会继承从前的设置，如果仅仅只是 设 置 了 C 盘 给 Administrators 权 限 ， 而 在 All Users/Application Data 目录下会出现 everyone 用户有完全控 制权限，这样入侵者可以跳转到这个目录，写入脚本或者文 件，再结合其他漏洞来提升权限；譬如利用 Serv-U 的本地 溢出提升权限，或系统遗漏有补丁、数据库的弱点，甚至社 会工程学等方法，从前不是有人曾说： 只要给我一个“ webshell，我就能拿到 system”，这的确是有可能的。在用作 Web/FTP 服务器的系统中，建议是将这些目录都设置成锁 死。其他每个盘的目录都按照这 样设置，每个盘都只给 Administrators 权限，如图 9-2 所示。 9.1.2 禁用必要的服务 把不必要的服务都禁止掉，尽管这些不一定能被攻击者 利用得上，但是按照安全规则和标准上来说，多余的东西就 没必要开启，减少一份隐患。 l 禁用 Remote Registry 服务（说明：禁止远程连接注册 表） l 禁用 task schedule 服务（说明：禁止自动运行程序） l 禁用 server 服务（说明：禁止默认共享） l 禁用 Telnet 服务（说明：禁止 telnet 远程登录） l 禁用 workstation 服务（说明：防止一些漏洞和系统敏 感信息获取） ·279· 网络组建与维护 TCP/IP NetBIOS Helper Service（服务器不需要开启共 享） 在“网络连接”中，把不需要的协议和服务都删掉，这 里只安装了基本的 Internet 协议（TCP/IP），由于要控制带宽 流量服务，额外安装了 QoS 数据包计划程序，如图 9-3 所 示。在【高级 TCP/IP 设置】对话框中的【NetBIOS】设置 【禁用 TCP/IP 上的 NetBIOS（S）。在【高级】选项卡中，】 使用“Internet 连接防火墙”，这是 Windows 2003 自带的防 火墙，在 Windows 2000 系统中没有的功能，虽然没什么功 能，但可以屏蔽端口，这样已经基本达到了一个 IPSec 的功 能，如图 9-4 所示。 这里按照所需要的服务开放响应的端口。在 Windows 2003 系统中，不推荐用 TCP/IP 筛选中的端口过滤功能，譬 如在使用 FTP 服务器的时候，如果仅仅只开放 21 端口，由 于 FTP 协议的特殊性，在进行 FTP 传输时，由于 FTP 特有 的 Port 模式和 Passive 模式，在进行数据传输时，需要动态 的打开高端口，所以在使用 TCP/IP 过滤的情况下，经常会 出现连接后无法列出目录和数据传输的问题。所以在 Windows 2003 系统上增加的 Windows 连接防火墙能很好地 解决这个问题，所以都不推荐使用网卡的 TCP/IP 过滤功 能，如图 9-5 所示。 l ·280· 项目 9 网络安全与设置 图 9-5 没有启用网卡的 TCP/IP 过滤功能 9.1.3 Serv-U FTP 服务器的设置 一般来说，不推荐使