Windows 2003服务器安全加固方案

四． iis 加固方案： 网管联盟bitsCN@com

　　1. 仅安装必要的 iis 组件。（禁用不需要的如ftp 和 smtp 服务）

网管下载dl.bitscn.com

　　2. 仅启用必要的服务和 web service 扩展，推荐配置: 网管bitscn_com

　　ui 中的组件名称 网管u家u.bitsCN.com

　　设置 网管网www_bitscn_com

　　设置逻辑

　　后台智能传输服务 (bits) 服务器扩展

网管bitscn_com

　　启用 网管联盟bitsCN@com

　　bits 是 windows updates 和"自动更新"所使用的后台文件传输机制。如果使用 windows updates 或"自动更新"在 iis 服务器中自动应用 service pack 和热修补程序，则必须有该组件。

　　公用文件

　　启用 网管下载dl.bitscn.com

　　iis 需要这些文件，一定要在 iis 服务器中启用它们。

　　文件传输协议 (ftp) 服务

　　禁用

网管u家u.bitscn@com

　　允许 iis 服务器提供 ftp 服务。专用 iis 服务器不需要该服务。

网管网www_bitscn_com

　　frontpage 2002 server extensions

　　禁用

　　为管理和发布 web 站点提供 frontpage 支持。如果没有使用 frontpage 扩展的 web 站点，请在专用 iis 服务器中禁用该组件。 网管网www_bitscn_com

　　internet 信息服务管理器

网管网www_bitscn_com

　　启用 网管网www_bitscn_com

　　iis 的管理界面。

网管论坛bbs_bitsCN_com

　　internet 打印 网管网www.bitscn.com

　　禁用

　　提供基于 web 的打印机管理，允许通过 http 共享打印机。专用 iis 服务器不需要该组件。 网管论坛bbs_bitsCN_com

　　nntp 服务

网管联盟bitsCN_com

　　禁用 网管bitscn_com

　　在 internet 中分发、查询、检索和投递 usenet 新闻文章。专用 iis 服务器不需要该组件。

　　smtp 服务 网管论坛bbs_bitsCN_com

　　禁用

中国网管论坛bbs.bitsCN.com

　　支持传输电子邮件。专用 iis 服务器不需要该组件。 网管论坛bbs_bitsCN_com

　　万维网服务

网管网www.bitscn.com

　　启用 网管bitscn_com

　　为客户端提供 web 服务、静态和动态内容。专用 iis 服务器需要该组件。 网管下载dl.bitscn.com

　　万维网服务子组件 中国网管论坛bbs.bitsCN.com

　　ui 中的组件名称

网管联盟bitsCN_com

　　安装选项

　　设置逻辑 网管u家u.bitsCN.com

　　active server page

中国网管论坛bbs.bitsCN.com

　　启用

　　提供 asp 支持。如果 iis 服务器中的 web 站点和应用程序都不使用 asp，请禁用该组件；或使用 web 服务扩展禁用它。 网管联盟bitsCN@com

　　internet 数据连接器 网管bitscn_com

　　禁用

网管下载dl.bitscn.com

　　通过扩展名为 .idc 的文件提供动态内容支持。如果 iis 服务器中的 web 站点和应用程序都不包括 .idc 扩展文件，请禁用该组件；或使用 web 服务扩展禁用它。 网管网www.bitscn.com

　　远程管理 (html) 网管网www_bitscn_com

　　禁用 网管下载dl.bitscn.com

　　提供管理 iis 的 html 界面。改用 iis 管理器可使管理更容易，并减少了 iis 服务器的攻击面。专用 iis 服务器不需要该功能。

　　远程桌面 web 连接

　　禁用 网管论坛bbs_bitsCN_com

　　包括了管理终端服务客户端连接的 microsoft activex? 控件和范例页面。改用 iis 管理器可使管理更容易，并减少了 iis 服务器的攻击面。专用 iis 服务器不需要该组件。 网管下载dl.bitscn.com

　　服务器端包括 网管bitscn_com

　　禁用 网管下载dl.bitscn.com

　　提供 .shtm、.shtml 和 .stm 文件的支持。如果在 iis 服务器中运行的 web 站点和应用程序都不使用上述扩展的包括文件，请禁用该组件。 网管论坛bbs_bitsCN_com

　　webdav 网管网www_bitscn_com

　　禁用

　　webdav 扩展了 http/1.1 协议，允许客户端发布、锁定和管理 web 中的资源。专用 iis 服务器禁用该组件；或使用 web 服务扩展禁用该组件。

中国网管论坛bbs.bitsCN.com

　　万维网服务

网管bitscn_com

　　启用

　　为客户端提供 web 服务、静态和动态内容。专用 iis 服务器需要该组件 中国网管联盟bitsCN.com

　　3. 将iis目录&数据与系统磁盘分开，保存在专用磁盘空间内。 网管bitscn_com

　　4. 在iis管理器中删除必须之外的任何没有用到的映射（保留asp等必要映射即可）

网管u家u.bitscn@com

　　5. 在iis中将http404 object not found出错页面通过url重定向到一个定制htm文件 网管下载dl.bitscn.com

　　6. web站点权限设定（建议） 网管bitscn_com

　　web 站点权限：

　　授予的权限：

网管论坛bbs_bitsCN_com

　　读 允许 中国网管论坛bbs.bitsCN.com

　　写 不允许 网管论坛bbs_bitsCN_com

　　脚本源访问 不允许 网管论坛bbs_bitsCN_com

　　目录浏览 建议关闭 网管论坛bbs_bitsCN_com

　　日志访问 建议关闭

　　索引资源 建议关闭

　　执行 推荐选择 "仅限于脚本"

网管网www.bitscn.com

7. 建议使用w3c扩充日志文件格式，每天记录客户ip地址，用户名，服务器端口，方法，uri字根，http状态，用户代理，而且每天均要审查日志。（最好不要使用缺省的目录，建议更换一个记日志的路径，同时设置日志的访问权限，只允许管理员和system为full control）。

　　8. 程序安全: 网管网www.bitscn.com

　　1) 涉及用户名与口令的程序最好封装在服务器端，尽量少的在asp文件里出现，涉及到与数据库连接地用户名与口令应给予最小的权限; 2) 需要经过验证的asp页面，可跟踪上一个页面的文件名，只有从上一页面转进来的会话才能读取这个页面。 网管论坛bbs_bitsCN_com

　　防止asp主页.inc文件泄露问题; 网管下载dl.bitscn.com

　　4) 防止ue等编辑器生成some.asp.bak文件泄露问题。

　　安全更新 网管u家u.bitsCN.com

　　应用所需的所有 service pack 和定期手动更新补丁。

　　安装和配置防病毒保护 中国网管论坛bbs.bitsCN.com

　　推荐nav 8.1以上版本病毒防火墙（配置为至少每周自动升级一次）。 网管u家u.bitscn@com

　　安装和配置防火墙保护

　　推荐最新版blackice server protection防火墙（配置简单，比较实用） 网管联盟bitsCN_com

　　监视解决方案 网管论坛bbs_bitsCN_com

　　根据要求安装和配置 mom代理或类似的监视解决方案。 网管论坛bbs_bitsCN_com

　　加强数据备份 中国网管联盟bitsCN.com

　　web数据定时做备份，保证在出现问题后可以恢复到最近的状态。

　　9. 删除不必要的应用程序映射 网管联盟bitsCN@com

　　ISS中默认存在很多种应用程序映射，除了ASP的这个程序映射，其他的文件在网站上都很少用到。

　　在“Internet 服务管理器”中，右击网站目录，选择“属性”，在网站目录属性对话框的“主目录”页面中，点击[配置]按钮，弹出“应用程序配置”对话框，在“应用程序映射”页面，删除无用的程序映射。如果需要这一类文件时，必须安装最新的系统修补补丁，并且选中相应的程序映射，再点击[编辑]按钮，在“添加/编辑应用程序扩展名映射”对话框中勾选“检查文件是否存在”选项。这样当客户请求这类文件时，IIS会先检查文件是否存在，文件存在后才会去调用程序映射中定义的动态链接库来解析。 网管u家u.bitscn@com

　　保护日志安全

中国网管联盟bitsCN.com

　　日志是系统安全策略的一个重要环节，确保日志的安全能有效提高系统整体安全性。

　　修改IIS日志的存放路径

　　默认情况下，IIS的日志存放在%WinDir%/System32/LogFiles，黑客当然非常清楚，所以最好修改一下其存放路径。在 “Internet服务管理器”中，右击网站目录，选择“属性”，在网站目录属性对话框的“Web站点”页面中，在选中“启用日志记录”的情况下，点击旁边的[属性]按钮，在“常规属性”页面，点击[浏览]按钮或者直接在输入框中输入日志存放路径即可。

　　五。 sql服务器安全加固

　　安装最新的mdac（http://www.microsoft.com/data/download.htm） 中国网管论坛bbs.bitsCN.com

　　5.1 密码策略

　　由于sql server不能更改sa用户名称，也不能删除这个超级用户，所以，我们必须对这个帐号进行最强的保护，当然，包括使用一个非常强壮的密码，最好不要在数据库应用中使用sa帐号。新建立一个拥有与sa一样权限的超级用户来管理数据库。同时养成定期修改密码的好习惯。数据库管理员应该定期查看是否有不符合密码要求的帐号。比如使用下面的sql语句： 中国网管论坛bbs.bitsCN.com

　　use master 网管u家u.bitscn@com

　　select name,password from syslogins where password is null

　　5.2 数据库日志的记录 网管联盟bitsCN@com

　　核数据库登录事件的"失败和成功"，在实例属性中选择"安全性"，将其中的审核级别选定为全部，这样在数据库系统和操作系统日志里面，就详细记录了所有帐号的登录事件。 网管联盟bitsCN_com

　　5.3 管理扩展存储过程 网管网www_bitscn_com

　　xp_cmdshell是进入操作系统的最佳捷径，是数据库留给操作系统的一个大后门。请把它去掉。使用这个sql语句： 网管u家u.bitsCN.com

　　use master

　　sp_dropextendedproc ‘xp_cmdshell’

　　注：如果你需要这个存储过程，请用这个语句也可以恢复过来。 网管u家u.bitsCN.com

　　sp_addextendedproc ‘xp_cmdshell’, ‘xpsql70.dll’ 网管bitscn_com

　　ole自动存储过程（会造成管理器中的某些特征不能使用），这些过程包括如下（不需要可以全部去掉：

　　sp_oacreate sp_oadestroy sp_oageterrorinfo sp_oagetproperty 网管联盟bitsCN@com

　　sp_oamethod sp_oasetproperty sp_oastop

　　去掉不需要的注册表访问的存储过程，注册表存储过程甚至能够读出操作系统管理员的密码来，如下：

网管网www_bitscn_com

　　xp_regaddmultistring xp_regdeletekey xp_regdeletevalue xp_regenumvalues

　　xp_regread xp_regremovemultistring xp_regwrite 网管论坛bbs_bitsCN_com

　　5.4 防tcp/ip端口探测

网管下载dl.bitscn.com

　　在实例属性中选择tcp/ip协议的属性。选择隐藏 sql server 实例。 网管u家u.bitsCN.com

　　请在上一步配置的基础上，更改原默认的1433端口。 网管bitscn_com

　　在ipsec过滤拒绝掉1434端口的udp通讯，可以尽可能地隐藏你的sql server。

网管联盟bitsCN@com

　　对网络连接进行ip限制 网管论坛bbs_bitsCN_com

　　使用操作系统自己的ipsec可以实现ip数据包的安全性。请对ip连接进行限制，保证只有自己的ip能够访问，拒绝其他ip进行的端口连接。 网管联盟bitsCN@com

　　通过以上的配置，禁止了服务器开放不必要的端口，防止服务被植入后门程序，通过配置目录权限可以防止入侵者拿到welshell后提权，加强了服务器的安全性，避免了对服务器的攻击和加强了TCP协议栈。通过iis的配置提高了iis的安全性和稳定性。修改了sql server的默认端口，可以防止恶意用户对服务器进行扫描尝试暴力破解sa账户提供数据库的安全性。对服务器实现了整体的安全加固。 中国网管论坛bbs.bitsCN.com