。

服务器安全是越来越多人以及企业关心的话题#xff0c;今天我们就从四个方面讲一讲安全加固。

一、操作系统层面

确保服务器连接到安全的网络环境#xff0c;避免在公共网络或不安全的网络中进行更…网络安全。

服务器安全是越来越多人以及企业关心的话题今天我们就从四个方面讲一讲安全加固。

一、操作系统层面

确保服务器连接到安全的网络环境避免在公共网络或不安全的网络中进行更新操作。

打开Windows

Update”窗口中点击“检查更新”按钮。

如果有可用的更新点击“安装更新”并按照提示完成更新。

设置自动更新

Update”窗口中点击“更改设置”。

选择“自动安装更新推荐”并确保“重要更新”和“可选更新”都已启用。

点击“确定”保存设置。

打开“运行”对话框快捷键WinR输入services.msc并回车打开“服务”管理器。

在服务列表中找到以下服务根据实际需求选择关闭

Remote

Registry右键点击选择“属性”在“启动类型”中选择“禁用”点击“停止”按钮关闭服务。

Print

Spooler如果服务器不需要打印功能同样将其“启动类型”设置为“禁用”并停止服务。

其他非必要服务如“Telnet”、“Simple

TCP/IP

防火墙”可以通过“控制面板”进入。

在左侧菜单中选择“高级安全设置”。

在“高级安全Windows

Defender

防火墙”窗口中选择“入站规则”或“出站规则”。

点击“新建规则”选择“端口”点击“下一步”。

输入需要关闭的端口号如135、139、445等选择“阻止连接”点击“下一步”。

选择“域”、“私有”、“公共”根据实际网络环境选择适用范围点击“下一步”。

给规则命名如“关闭135端口”点击“完成”。

三配置账户策略

“本地组策略编辑器”gpedit.msc。

导航到“计算机配置”

“管理模板”

工作站”。

找到“启用不安全的密码保护”策略双击打开选择“已禁用”点击“确定”。

导航到“计算机配置”

“管理模板”

“登录”。

找到“密码必须符合复杂性要求”策略双击打开选择“已启用”点击“确定”。

设置密码长度至少为12位包含大小写字母、数字和特殊字符。

禁用默认管理员账户

“管理账户”。

选择“更改账户类型”找到“Administrator”账户点击“更改账户类型”。

选择“标准用户”点击“更改”。

然后右键点击“Administrator”账户选择“重命名”将其重命名为一个不易被识别的名称。

设置账户锁定策略

“本地组策略编辑器”gpedit.msc。

导航到“计算机配置”

“管理模板”

“账户锁定策略”。

找到“账户锁定阈值”策略双击打开设置为“5次无效登录”。

找到“账户锁定时间”策略双击打开设置为“30分钟”。

找到“重置账户锁定计数器”策略双击打开设置为“30分钟”。

四启用Windows

安全中心”可以通过任务栏图标或搜索栏打开。

点击“病毒和威胁防护”。

确保“实时保护”已开启。

点击“检查更新”确保病毒定义库为最新版本。

如果需要更高级的防护可以从官方网站下载企业级杀毒软件如赛门铁克、卡巴斯基等。

按照安装向导的提示完成安装。

安装完成后打开杀毒软件进行全盘扫描并确保实时监控功能已开启。

二、网络配置层面

防火墙”可以通过“控制面板”进入。

在左侧菜单中选择“高级安全设置”。

在“高级安全Windows

Defender

防火墙”窗口中选择“入站规则”。

点击“新建规则”选择“端口”点击“下一步”。

输入需要允许的端口号如业务必需的端口选择“允许连接”点击“下一步”。

选择“域”、“私有”、“公共”根据实际网络环境选择适用范围点击“下一步”。

给规则命名如“允许业务端口80”点击“完成”。

设置出站规则

防火墙”窗口中选择“出站规则”。

点击“新建规则”选择“端口”点击“下一步”。

输入需要允许的端口号如出站访问的端口选择“允许连接”点击“下一步”。

选择“域”、“私有”、“公共”根据实际网络环境选择适用范围点击“下一步”。

给规则命名如“允许出站端口443”点击“完成”。

限制RDP访问

防火墙”可以通过“控制面板”进入。

在左侧菜单中选择“高级安全设置”。

在“高级安全Windows

Defender

防火墙”窗口中选择“入站规则”。

找到“远程桌面”相关的规则如“远程桌面

用户模式TCP-In”。

右键点击规则选择“属性”。

在“作用域”选项卡中点击“添加”按钮输入允许访问RDP的IP地址范围点击“确定”。

点击“确定”保存设置。

更改RDP默认端口

打开“注册表编辑器”可以通过“运行”对话框输入regedit并回车。

导航到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal

Server\Wds\rdpwd\Tds\tcp。

找到“PortNumber”键值双击打开将其值从默认的3389更改为其他非标准端口如50000。

同样导航到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal

Server\WinStations\RDP-Tcp找到“PortNumber”键值将其值更改为与上面相同的端口。

启用网络级身份验证NLA

“远程设置”。

在“远程”选项卡中选择“允许远程连接到此计算机”。

确保“仅允许运行使用网络级身份验证的远程桌面的计算机连接更安全”选项已勾选。

点击“确定”保存设置。

三配置DNS和主机名解析

打开“控制面板”选择“网络和共享中心”。

点击“更改适配器设置”。

右键点击服务器的网络连接选择“属性”。

在“网络连接属性”窗口中选择“Internet

协议版本

(TCP/IPv6)”点击“属性”。

选择“使用下面的DNS服务器地址”输入安全的DNS服务器地址在“Internet

协议版本

首选DNS服务器192.168.1.1如果是内部DNS服务器或8.8.8.8Google的公共DNS仅在没有内部DNS时使用。

备用DNS服务器192.168.1.2内部备用DNS服务器或8.8.4.4Google的备用公共DNS。

配置主机名

打开“系统属性”可以通过右键点击“此电脑”图标选择“属性”。

在“系统”窗口中找到“计算机名、域和工作组设置”部分点击“更改设置”。

在“系统属性”窗口中选择“计算机名”选项卡。

如果需要更改主机名点击“更改”输入新的主机名点击“确定”。

点击“确定”保存设置并根据提示重启计算机。

三、应用层面

只安装经过验证的、安全的应用程序。

例如如果需要安装Web服务器可以选择IISInternet

Information

“启用或关闭Windows功能”。

在“Windows功能”窗口中勾选“Internet信息服务”IIS及其相关组件点击“确定”。

按照提示完成安装。

对于IIS

打开“IIS管理器”可以通过“控制面板”中的“管理工具”进入。

在左侧导航栏中选择服务器名称。

在右侧“功能视图”中双击“身份验证”。

禁用不必要的身份验证方式例如“匿名身份验证”如果业务不需要。

启用“Windows身份验证”或“基本身份验证”根据业务需求选择。

配置SSL/TLS加密

在“IIS管理器”中选择服务器名称。

双击“服务器证书”。

点击“创建自签名证书”如果使用自签名证书或“导入”如果有第三方证书。

为证书命名点击“确定”。

选择需要加密的网站双击“绑定”。

点击“添加”选择“https”协议输入端口号默认为443选择刚才创建或导入的证书点击“确定”。

限制访问权限

在“IIS管理器”中选择需要限制访问的网站。

双击“IP地址和域限制”。

点击“添加允许条目”或“添加拒绝条目”根据需要限制特定IP地址或IP范围的访问。

二配置日志记录和监控

打开“事件查看器”可以通过“控制面板”中的“管理工具”进入。

在左侧导航栏中展开“Windows

日志”查看“系统”、“应用程序”和“安全”日志。

确保所有日志记录功能已启用。

配置日志保留策略

在“事件查看器”中右键点击“系统”、“应用程序”或“安全”日志选择“属性”。

在“事件日志属性”窗口中选择“保留所有事件不覆盖旧事件”如果磁盘空间允许或设置“最大日志大小”和“覆盖旧事件”策略。

点击“确定”保存设置。

如果需要更强大的日志分析功能可以安装第三方日志分析工具如Splunk。

下载并安装Splunk可以从Splunk官方网站获取。

安装完成后打开Splunk按照提示进行初始配置。

在Splunk中添加Windows事件日志作为数据源

点击“数据输入”

“Windows事件日志”。

选择需要监控的事件日志类型如“系统”、“应用程序”、“安全”点击“下一步”。

点击“完成”保存设置。

使用Splunk的搜索和分析功能实时监控和分析日志数据及时发现异常行为。

四、人员管理层面

不要在服务器上安装未经许可的软件。

不要使用弱密码建议使用复杂密码并定期更换。

不要点击不明链接或下载不明来源的文件。

不要在服务器上进行与工作无关的操作。

权限管理

“管理账户”。

为每个用户分配适当的权限例如将普通用户设置为“标准用户”只有需要管理权限的用户才分配“管理员”权限。

定期审查用户权限确保权限分配合理。

二定期审计和评估

下载并安装Nessus可以从Nessus官方网站获取。

安装完成后打开Nessus按照提示进行初始配置。

创建扫描任务选择服务器的IP地址或主机名作为扫描目标。

选择扫描模板如“基本网络扫描”或“高级服务器扫描”点击“保存”。

启动扫描任务扫描完成后查看扫描报告修复发现的安全漏洞。

手动检查安全配置

确保所有服务和应用程序都已更新到最新版本。

检查防火墙规则是否符合安全策略。

检查用户权限是否符合最小权限原则。

检查日志记录是否正常是否有异常行为记录。

通过以上详细的操作步骤可以对Windows系统的服务器进行全面的安全加固有效降低被攻击的风险确保服务器在复杂的网络环境中安全运行。

喜欢的话点个赞吧会不定期发布技术相关的文章持续更新ing…