Linux服务器安全设置方案
郑州信大捷安信息技术股份有限公司
2013年05月
文档控制
一、描述
尽管Linux在安全设计上比其他一些操作系统具有一定的先天优势，但它也决不像早先一些人认为的“绝对安全”，近年来，基于Linux的安全事件也多有发生。本文对Linux安全问题进行过一些探讨，作为对这一部分内容的总结和进一步补充完善。
二、开机安全设置
1、Bios安全
一定要给Bios设置密码，以防通过在Bios中改变启动顺序，而可以从软盘启动。这样可以阻止别人
试图用特殊的启动盘启动你的系统，还可以阻止别人进入Bios改动其中的设置（比如允许通过软盘启动等）。
2、LILO安全
在"/etc/lilo.conf"文件中加入下面三个参数：time-out,restricted,password。这三个参数可以使你的系统在启动lilo时就要求密码验证。
第一步：编辑lilo.conf文件（vi/etc/https://www.doczj.com/doc/8d13827238.html,f）,假如或改变这三个参数：
第二步：
因为"/etc/lilo.conf"文件中包含明文密码，所以要把它设置为root权限读取。
第三步：更新系统，以便对"/etc/lilo.conf"文件做的修改起作用。
这样可以防止对"/etc/lilo.conf"任何改变（以外或其他原因）
三、账户安全设置
1、删除所有的特殊账户
你应该删除所有不用的缺省用户和组账户（比如lp,sync,shutdown,halt, news,uucp,operator,games,gopher等）。
删除系统特殊的的用户帐号和组帐号：
#userdel username
userdel adm
userdel lp
userdel sync
userdel shutdown
userdel halt
userdel news
userdel uucp
userdel operator
userdel games
userdel gopher
以上所删除用户为系统默认创建，但是在常用服务器中基本不使用的一些帐号，但
是这些帐号常被黑客利用和攻击服务器。
#groupdel username
groupdel adm
groupdel lp
groupdel news
groupdel uucp
groupdel games
groupdel dip
同样，以上删除的是系统安装是默认创建的一些组帐号。这样就减少受攻击的机会。
2、root账户自动注销
在unix系统中root账户是具有最高特权的。如果系统管理员在离开系统之前忘记注销root账户，系统会自动注销。通过修改账户中"TMOUT"参数，可以实现此功能。TMOUT 按秒计算。编辑你的profile文件（vi /etc/profile）,在"HISTFILESIZE="后面加入下面这行：
小时内都没有动作，那么系统会自动注销这个账户。你可以在个别用户的".bashrc"文件中添加该值，以便系统对该用户实行特殊的自动注销时间。改变这项设置后，必须先注销用户，再用该用户登陆才能激活这个功能。
3、root账户电源管理
只允许root账户对电源进行管理
4、取消普通用户的控制台访问权限
是你要注销的程序名。
5、定期不需要的用户
定期检查主机系统用户，及时删除离职的用户,检查系统中SUID、SGID文件
检查系统上不正常的隐藏文件。
例如：
6、编辑初始账户参数，以满足密码策略
四、密码安全
1、设置密码安全性
在选择正确密码之前还应作以下修改：
修改密码长度：在你安装linux时默认的密码长度是5个字节。但这并不够，要把它设为8。口令必须具备采用3种以上字符、长度不少于8位并定期更换；
#vi /etc/pam.d/system_auth password requisite pam_cracklib.so minlen=8 ucredit=1 lcredit=1 dcr edit=1 ocredit=1 意思为最少有1个大写字母，1个小写字符，1个数字， 1个符号
密码的最大生存周期
口令有效期
# vi /etc/login.defs PASS_MAX_DAYS 60
2、启用登录失败处理功能
可采取结束会话、限制非法登录次数和自动退出等措施
设置6次登陆失败后锁定帐户，锁定时间3000秒
# vi /etc/pam.d/system-auth
auth required pam_tally.so onerr=fail deny=6 unlock_time=3000
(放在system-auth文件的第一行，若对root用户起作用，加上
even_deny_root root_unlock_time=3000)
解锁用户 faillog -u <用户名》 -r
3、设置复杂的密码
口令长度至少为八个字符，口令越长越好。若使用MD5口令，它应该至少有15个字符。若使用DES口令，使用最长长度（8个字符）。
混和大小写字母。Linux区分大小写，因此混和大小写会增加口令的强壮程度。
混和字母和数字。在口令中添加数字，特别是在中间添加（不只在开头和结尾处）能够加强口令的强健性。
包括字母和数字以外的字符：&、$、和> 之类的特殊字符可以极大地增强口令的强健性（若使用DES口令则不能使用此类字符）。
挑选一个可以记住的口令。如果记不住自己的口令，那么它再好也没有用，使用简写或其他记忆方法来帮助记忆口令。
不要在口令中只使用单词或数字。
不要使用现成词汇，像名称、词典中的词汇、甚至电视剧或小说中的用语，即使在两端使用数字，都应该避免使用。
不要使用外语中的词汇。口令破译程序经常使用多种语言的词典来检查其词汇列表。依赖外语来达到保护口令的目的通常不起作用。
不要使用黑客术语。
4、打开密码的shadow支持功能：
你应该打开密码的shadow功能，来对password加密。使用"/usr/sbin/authconfig"工具打开shadow功能。如果你想把已有的密码和组转变为shadow格式，可以分别使用"pwcov,grpconv"命令。
5、其他账户密码是否为空
五、服务安全
1、取消并反安装所有不用的服务
取消并反安装所有不用的服务，这样你的担心就会少很多。察看"/etc/inetd.conf"文件，通过注释取消所有你不需要的服务（在该服务项目之前加一个"#"）。然后用"sighup"命令升级"inetd.conf"文件。
第一步：
第二步：
确定"/etc/inetd.conf"文件所有者为root。
第三步：
编辑/etc/inetd.conf文件（vi/etc/inetd.conf），取消下列服务（你不需要的）：ftp,telnet,shell,login,exec,talk,ntalk,imap,pop-2,pop-3, finger,auth等等。把不需要的服务关闭可以使系统的危险性降低很多。
第四步：
第五步：
这样可以防止对inetd.conf的任何修改（以外或其他原因）。唯一可以取消这个属性
别忘了该后再把它的性质改为不可修改的。
2、关闭不用的端口
3、关闭系统的自启动服务
4、安全审计
审计范围是否覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户
操作系统用户的审计由主机的审计服务进行管理，数据库用户的审计由Oracle数据库系统来管理。
开启内核audit系统
# auditctl –e 1
开启审计服务守护进程：
# service auditd start
设置开机自动启动，用root用户执行：
# chkconfig auditd on
查看audit运行状态
# auditctl –s AUDIT_STATUS：enabled=1 flag=1 pid=1585 rate_limit=0 backlog_limit=256 lost=0 backlog=0
根据记录数据进行分析，并生成审计报表aureport命令格式：aureport[选项]
主要选项：
-a报告关于访问向量缓冲（accessvectorcache，A VC）的消息
-c报告关于配置修改的消息-cr报告关于crypto事件的消息
-e报告关于事件的消息
-f报告关于文件的消息
-h报告关于主机的消息
-l报告关于登录的消息
-m报告关于账户修改的消息
-ma报告关于MandatoryAccessControl（MAC）事件的消息
-p报告关于进程的消息
-s报告关于系统调用的消息
-tm报告关于终端的消息
如果执行aureport时没有使用任何选项，则会显示如汇总报表。要显示每个日志的启动和停止时间，可以添加-t选项：aureport-
要仅显示失败事件，则使用--failure，注意这个选项前面有两条虚线而不是一条：aureport-
要仅显示成功事件，则使用--success，注意这个选项前面有两条虚线而不是一条：aureport-
要产生来自一个日志文件的报表而不是默认报表，则可用-if选项指定它：
aureport-
六、登陆安全
1、黑名单
使用黑名单可以使你的系统安全面对外部入侵。最好的策略就是阻止所有的主机（在"/etc/hosts.deny"文件中加入"ALL:ALL@ALL,PARANOID"），然后再在"/etc/hosts.allow"文件中加入所有允许访问的主机列表。
第一步：
这表明除非该地址包好在允许访问的主机列表中，否则阻塞所有的服务和地址。
第二步：
第三步：
tcpdchk程序是tepd wrapper设置检查程序。它用来检查你的tcp wrapper
2、禁止系统信息暴露
当有人远程登陆时，禁止显示系统欢迎信息。你可以通过修改"/etc/inetd.conf"文件来达到这个目的。把/etc/inetd.conf文件下面这行：
在最后加"-h"可以使当有人登陆时只显示一个login:提示，而不显示系统欢迎信息。
3、修改"/etc/host.conf"文件
"/etc/host.conf"说明了如何解析地址。编辑"/etc/host.conf"文件（vi
第一项设置首先通过DNS解析IP地址，然后通过hosts文件解析。第二项设置检测是否"/etc/hosts"文件中的主机是否拥有多个IP地址（比如有多个以太口网卡）。第三项设置说明要注意对本机未经许可的电子欺骗。
4、禁止任何人通过su命令改变为root用户
su(Substitute User替代用户)命令允许你成为系统中其他已存在的用户。如果你不希望任何人通过su命令改变为root用户或对某些用户限制使用su命令，你可以在su配置文件（在"/etc/pam.d/"目录下）的开头添加下面两行：
编辑su文件(vi/etc/pam.d/su)，在开头添加下面两行：
"wheel"组，以使它可以使用su命令成为root用户。
5、不允许从不同的控制台进行root登陆
"/etc/securetty"文件允许你定义root用户可以从那个TTY设备登陆。你可以编辑"/etc/securetty"文件，再不需要登陆的TTY设备前添加"#"标志，来禁止从该TTY设备进行root登陆。
6、root登陆管理
防止远程的root登陆
纪录root的登陆失败，成功的情况。
确定登陆需要密码验证
7、系统访问限制
任何用户都可以通过rlogin不需要口令以该用户的身份登录到系统。因此要为这些文件加锁，先创建它们，然后修改其属性为零即可。这样除了root用户就没有其它用户能创建或修改它们了。
七、Telnet
1、关闭服务
编辑/etc/xinetd.d/telnet
找到disable = no<==就是改这里，将弄改成yes 即可！
重启服务
telnet 是挂在xinetd 底下的，所以自然只要重新激活xinetd 就能够将xinetd 里头的设定重新读进来，所以刚刚设定的telnet 自然也就可以被激活。
[root@wljs root]# service xinetd restart
2、设置telnet端口
#vi /etc/services
进入编辑模式后查找telne
会找到如下内容：
将23修改成未使用的端口号(如：2000)，退出vi，重启telnet服务，telnet默认端口号就被修改了。
3、Telnet服务限制
如果原本的默认值你并不满意，那么你可以修改成比较安全一点的机制。假设你这个Linux 是一部主机，而且他有两块网络接口，分别是对外的192.168.0.1 与对内的
210.45.160.17 这两个，如果你想要让对内的接口限制较松，而对外的限制较严格，你可以这样的来设定：
4、root用户的登入
root 不能直接以telnet 连接上主机。telnet 不是很安全，默认的情况之下就是无法允许root 以telnet 登入Linux 主机的。若要允许root用户登入，可用下列方法
八、SSH
1、推荐配置
1s sh的配置文件位于/etc/ssh/sshd_config
推荐配置：
2使sshd服务运行在非标准端口上
设置方法：编辑/etc/ssh/sshd_config文件，添加一行内容为(假定设置监听端口是12345)：port 12345 在客户端，用ssh
3只允许ssh v2的连接
protocol 2
4禁止root用户通过ssh登录
PermitRootLogin no
5禁止用户使用空密码登录
PermitEmptyPasswords no
6限制登录失败后的重试次数
MaxAuthTries 3
7只允许在列表中指定的用户登录
AllowUsers user1 user2
设置完成以后，运行命令使之生效：
[root@jcwkyl ssh]# /etc/init.d/sshd reload
2、禁止root用户直接登陆
修改/etc/ssh/sshd_config 文件
3、屏蔽banner信息
#vi/etc/ssh/sshd_config:
#Banner/some/path 注释掉banner的相关条目
4、黑白名单控制：
5、禁用密码登陆，仅用证书密钥登陆
在客户端生成密钥
ssh-keygen -t rsa
把公钥拷贝至服务器
ssh-copy-id -i .ssh/id_rsa.pub server
也可以手动将.shh/id_rsa.pub拷贝至服务器用户目录的.ssh中，记得修改访问权限scp .shh/id_rsa.pub server:~/.ssh
在服务器中
cd ./.ssh/
mv id_rsa.pub authorized_keys
chmod 400 authorized_keys
最后修改/etc/ssh/sshd_config
RSAAuthentication yes
#RSA认证
PubkeyAuthentication yes
#开启公钥验证
AuthorizedKeysFile .ssh/authorized_keys
#验证文件路径
PasswordAuthentication no
#禁止密码认证
PermitEmptyPasswords no
#禁止空密码
UsePAM no
#禁用PAM
最后保存，重启
sudo /etc/init.d/ssh restart
安装denyhosts
个性化设置请自行修改/etc/denyhosts.conf
SECURE_LOG = /var/log/auth.log
#ssh 日志文件，它是根据这个文件来判断的。
HOSTS_DENY = /etc/hosts.deny
#控制用户登陆的文件
PURGE_DENY =
#过多久后清除已经禁止的
BLOCK_SERVICE = sshd
#禁止的服务名
DENY_THRESHOLD_INVALID = 5
#允许无效用户失败的次数
DENY_THRESHOLD_VALID = 10
#允许普通用户登陆失败的次数
DENY_THRESHOLD_ROOT = 1
#允许root登陆失败的次数
DENY_THRESHOLD_RESTRICTED = 1
WORK_DIR = /var/lib/denyhosts
#运行目录
SUSPICIOUS_LOGIN_REPORT_ALLOWED_HOSTS=YES
HOSTNAME_LOOKUP=YES
#是否进行域名反解析
LOCK_FILE = /var/run/denyhosts.pid
#程序的进程ID
ADMIN_EMAIL = root@localhost (可以将这里改成常用的邮箱）#管理员邮件地址,它会给管理员发邮件
SMTP_HOST = localhost
SMTP_PORT = 25
SMTP_FROM = DenyHosts
SMTP_SUBJECT = DenyHosts Report
AGE_RESET_VALID=5d
AGE_RESET_ROOT=25d
AGE_RESET_RESTRICTED=25d
AGE_RESET_INVALID=10d
DAEMON_LOG = /var/log/denyhosts DAEMON_SLEEP = 30s
DAEMON_PURGE = 1h
6、启停动SSH：
启动服务：
九、FTP
1、关闭服务
2、FTP安全配置
3、黑白名单
设置该IP地址不可以访问ftp服务(vsftpd在独占启动方式下支持tcp_wrappers主机访问控制方式)
4、时间限制：
5、账户限制
把所有的系统账户加入到ftpusers文件：root 、daemon、sys、bin、adm、lp、uucp、nuucp、
十、其他安全
1、防止堆栈溢出：
攻击者通过给一个以root身份运行的程序提供比它所预期的输入长得多的字符串，使被攻击程序无法处理而改变执行流程去执行攻击者指定的代码。
2、日志安全
Linux系统的日志文件是可以配置的
配置文件/etc/syslog.conf，可编辑此文件让日志系统记录更多信息，保存后需重启
/usr/sbin/syslogd进程，重读取配置文件。通常日志系统的文件分别存放在两个位置：/db2/adm保存本地系统日志
/db2/log保存登录其它系统时日志。
设置utmpx和wtmpx文件权限，确保日志系统安全
设置日志配置文件，以下是常用的系统日志文件名称及其描述：
目前流行的挂木马的基本步骤（可能有个别地方不准确）： 1、利用杰奇系统的漏洞，上传具有一定危险功能的文件，表现为：zh.php、cmd.exe、*.asp， 这几个文件都具有不同的目的，只要被上传了这几个文件，相应的js文件就会被修改，然后就被挂马了。 2、上传了文件后，如果你的权限设置的不对，比如多给了运行权限，该黑客就可以利用这 几个文件进行提权，直接可以创建管理员账号，然后通过*.asp文件获得你的远程连接的端口，然后利用注入的管理员账号登录系统，进入系统了，那就随便改啦。 所以针对上面的步骤，我们可以这样做： 1、权限一定要设置好，大部分网站目录只给读取权限即可，个别的多给写入权限。 2、所有的js文件都改成只读的 3、删除系统的以下三个文件，执行脚本如下：（开始-运行里面就可以直接执行） regsvr32 /u %SystemRoot%\System32\wshom.ocx regsvr32 /u %SystemRoot%\System32\shell32.dll regsvr32 /u %SystemRoot%\System32\wshext.dll 4、修改远程链结默认的3389端口，改成12345 12323等等类似的。群共享里有软件直接修改重启机器生效。 设置好了以上的几步后，针对杰奇的漏洞产生的木马，基本上就能防止了。当然，其他的漏洞还是得需要好好设置，可以参考群共享里的一篇word文档，服务器安全设置 贴一下这次挂马的代码，请大家仔细检查自己的js文件中是否有下面的代码： 晕，我的都被我删除了，没了。谁能提供我一个被修改过的js文件。 已经中木马的人的找马步骤： 1、在杰奇网站的所有目录下寻找这样的文件zh.php、zp.php、*.asp、cmd.exe等文件，直 接删除即可。 2、检查你的所有js文件，如果发现下面这样的代码，那就是木马代码。删除这些木马代码。 本文档的服务器安全设置分三个部分 （一）服务器的基本安全设置 本配置仅适合Win2003，部分内容也适合于Win2000。很多人觉得3389不安全，其实只要设置好，密码够长，攻破3389也不是件容易的事情，我觉得别的远程软件都很慢，还是使用了3389连接。
防火墙测试方案测试项目 测试一、NAT/PAT 拓扑图 FTP Client LoadRunner LoadRunner PC3 测试要求
(如防火墙inside 接口不够，则使用交换机连接内部三台pc 并将内部网络合并为192.168.0.0/16) 1. 将19 2.168.1.1(pc1)静态翻译（地址翻译）为58.135.192.55 2. 将192.168.2.0-192.168.4.254动态翻译（端口翻译）为58.135.192.56 检查方法及检查项目 ● PC1通过FTP 方式从教育网下载数据 ● PC2和PC3使用LoadRunner 分别模拟500台电脑浏览网页 ● 查看设备负载和网络延迟 测试二、Site-to-Site IPSec/VPN 拓扑图 5540 测试防火墙 PC1 PC2 测试要求 1. ISAKMP 配置 2. IPSec 配置 3. 只对10.0.1.1和10.0.2.2之间互访的流量进行IPSEC 的加密 检查方法及检查项目
● PC1和PC2能否相互PING 通，在ASA5540上检测数据是否为加密数据。 ● 修改PC2的ip 地址为10.0.2.22，使用pc1 PING pc2，在asa5540上检 查数据是否为明文。 测试三、Dynamic Remote-Access IPSec/VPN 拓扑图 .2. 0/2 416 8. 1.0/24PC1PC2 测试要求 1. ISAKMP 配置 2. IPSec 配置 3. 其他 4. 防火墙Outside 外任何主机都可以与防火墙建立IPSec/VPN 连接。 5. 只对PC1和PC2互访的数据加密。
P43页 Windows 2008服务器安全加固方案 来源：中国红盟时间：2010-1-27 9:09:00 点击：201 今日评论：0 条Windows 2008服务器安全加固方案(一）因为IIS(即Internet Information Server)的方便性和易用性，使它成为最受欢迎的Web 服务器软件之一。但是，IIS的安全性却一直令人担忧。如何利用IIS建立一个安全的Web 服务器，是很多人关心的话题。要创服务器安全检测建一个安全可靠的Web服务器，必须要实现Windows 2003和IIS的双重安全，因为IIS的用户同时也是Windows 2003的用户，并且IIS目录的权限依赖Windows的NTFS文件系统的权限控制，所以保护IIS安全的第一步就是确保Windows 2000操作系统的安全，所以要对服务器进行安全加固，以免遭到黑客的攻击，造成严重的后果。 我们通过以下几个方面对您的系统进行安全加固： 1. 系统的安全加固：我们通过配置目录权限，系统安全策略，协议栈加强，系统服务和访问控制加固您的系统，整体提高服务器的安全性。 2. IIS手工加固：手工加固iis可以有效的提高iweb站点的安全性服务器安全加固，合理分配用户权限，配置相应的安全策略，有效的防止iis用户溢出提权。 3. 系统应用程序加固，提供应用程序的安全性，例如sql的安全配置以及服务器应用软件的安全加固。 系统的安全加固： 1.目录权限的配置： 1.1 除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权，之后再对其下的子目录作单独的目录权限，如果WEB站点目录，你要为其目录权限分配一个与之对应的匿名访问帐号并赋予它有修改权限，如果想使网站更加坚固，可以分配只读权限并对特殊的目录作可写权限。 1.2 系统所在分区下的根目录都要设置为不继承父权限，之后为该分区只赋予Administrators 和SYSTEM有完全控制权。 1.3 因为服务器只有管理员有本地登录权限，所在要配置Documents and Settings这个目录权限只保留Administrators和SYSTEM有完全控制权，其下的子目录同样。另外还有一个隐藏目录也需要同样操作。因为如果你安装有PCAnyWhere那么他的的配置信息都保存在其下，使用webshell或FSO可以轻松的调取这个配置文件。 1.4 配置Program files目录，为Common Files目录之外的所有目录赋予Administrators和SYSTEM有完全控制权。
一、先关闭不需要的端口 我比较小心，先关了端口。只开了3389、21、80、1433，有些人一直说什么默认的3389不安全，对此我不否认，但是利用的途径也只能一个一个的穷举爆破，你把帐号改了密码设置为十五六位，我估计他要破上好几年，哈哈！办法：本地连接--属性--Internet协议（TCP/IP）--高级--选项--TCP/IP筛选--属性--把勾打上，然后添加你需要的端口即可。PS一句：设置完端口需要重新启动！
当然大家也可以更改远程连接端口方法： Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE \ SYSTEM\ Current ControlSet \ Control \ Terminal Server\WinStations\RDP-Tcp] "PortNumber"=dword:00002683 保存为.REG文件双击即可！更改为9859，当然大家也可以换别的端口，直接打开以上注册表的地址，把值改为十进制的输入你想要的端口即可！重启生效！
还有一点，在2003系统里，用TCP/IP筛选里的端口过滤功能，使用FTP服务器的时候，只开放21端口，在进行FTP传输的时候，FTP 特有的Port模式和Passive模式，在进行数据传输的时候，需要动态的打开高端口，所以在使用TCP/IP过滤的情况下，经常会出现连接上后无法列出目录和数据传输的问题。所以在2003系统上增加的Windows连接防火墙能很好的解决这个问题，不推荐使用网卡的TCP/IP过滤功能。 做FTP下载的用户看仔细，如果要关闭不必要的端口，在 \system32\drivers\etc\services中有列表，记事本就可以打开的。如果懒的话，最简单的方法是启用WIN2003的自身带的网络防火墙，并进行端口的改变。功能还可以！
实施方案 1、项目概况 山东分公司所属河口、寿光、昌邑、羊口、即墨、楮岛、海阳风电场，每个风场两台，共计14台天气预报防火墙设备采购、运输、安装、调试及一年质保工作，用于满足自动化应用系统安全需求。 2、服务范围、服务内容 2.1 供货范围 本工程的供货范围见表2-1所示。 表2-1 供货需求一览表 2.2工作范围 供货商的工作范围包括： a)提供合同内所有硬件设备和软件，并保证系统完全符合最终技术规范的 要求。 b)提供所需的系统技术资料和文件，并对其正确性负责。 c)提供所有合同设备的备品备件和安装、维护所需的专门工具和试验仪器 仪表（包括调整、测试和校核）。 d)负责进行工厂验收，将设备运输（含搬运至指定位置）、安装在现场(设 备机房)以及现场调试直至成功地投入运行。 e)负责提出设备对供电、接地、消防、运行环境及安装等要求。 f)负责完成与买方另外购买的其它设备接口连接调试工作。 g)负责现场勘察，与风场协调、确定设备安装位置，制定设备安装、调试 计划。
h)负责编制试验、验收的计划报告。 i)在两年保修期内提供必要的保修服务，卖方应保证及时免费维修或更换 任何并非有买方人员非正常操作而导致的缺陷或故障，并应提供限时到达现场的维修服务。 j)由我公司进行安装调试，并提供售后服务。 k)技术培训。 l)按合同要求为买方提供必要其它的服务。 3、服务依据、工作目标； 3.1 服务依据 《信息技术设备的安全》 GB4943－2001 《建筑物电子信息系统防雷技术规范》GB50343-2004 《环境电磁卫生标准》 GB5175-88 《电磁辐射防护规定》 GB8702-88 《电气装置安装工程施工及验收规范》 GB50254-96 《电气装置安装工程施工及验收规范》 GB50255-96 3.2 工作目标 本工程计划工期30日历天，质量执行国家现行验收标准及要求，达到合格标准，严格执行安全措施，达到安全零事故。 4、服务机构设置、岗位职责 4.1 服务机构设置 **设立两个服务小组，随时调遣工作。 机构包括服务主管、调度员、市场信息收集员、三包配件管理员、配件鉴定员等。 下图为我公司的服务机构架构图：
服务器安全管理制度 1. 执行服务器管理制度目的 为安全有效地管理机房及服务器，促进网络系统安全的应用.高效运行，特制定本规章制度，请遵照执行。 2. 服务器管理 2.1 服务器监控 2.1.1 服务器日志监控 每天检查服务器系统日志，安全日志进行检查对错误、异常、警告等日志进行分析判断 并将判断结果进行有效解决处理并记录到《服务器监控记录表》，若服务器故障请按服务器故障处理流程及时处理并记录到《服务器维护及故障处理记录表》。 2.1.2 服务器面板信息监控 每天检查负责机房内所有服务器、存储、UPS及其他机房设备面板信息，对异常的指示信息及时作出分析判断并将判断结果进行有效解决处理并记录到《服务器监控记录表》，若服务器故障请按服务器故障处理流程及时处理并记录到《服务器维护及故障处理记录表》。 2.1.3 服务器操作系统信息监控 每天检查所有服务器系统信息，包括磁盘空间使用率、系统资源使用率、杀毒软件、服务器进程、必须启动的服务、用户访问记录、服务器时间。若有异常进行分析判断并将判断结果进行有效解决处理并记录到《服务器监控记录表》，若服务器故障请按服务器故障处理流程及时处理并记录到《服务器维护及故障处理记录表》。2.1.4 服务器数据库信息监控 每天检查服务器所有数据库运行状态。包括数据库定时代理运行、数据库备份计划、数据库日志及归档、数据库表空间使用率。若有异常进行分析判断并将判断结果进行有效解决处理并记录到《服务器监控记录表》，若服务器故障请按服务器故障处理流程及时处理并记录到《服务器维护及故障处理记录表》。 若监控数据库时发现数据库文件或日志增长过快等情况及时与负责系统的程序员检查是否为程序异常导致。 2.1.5 服务器数据备份监控 每天检查服务器数据备份情况，定期维护备份空间，若有异常及时处理。 2.2 服务器日常维护及故障处理 2.2.1 服务器定期维护 根据《服务器管理方案表》定期对服务器进行维护，维护内容如下： 2.2.1.1 在停止所有用户会话的情况下进行重启服务器释放资源使用。 2.2.1.2 检查数据库使用状态、裸设备,清理僵死进程、临时表空间等。 2.2.1.3 清理过期的数据库归档日志释放数据库归档日志空间，并收缩数据库。 2.2.1.4 根据数据库每天监控得到的数据适当调整表空间大小、临时表空间大小、内存使用调整、归档日 志库大小等。 2.2.1.5 清除数据库中无效的索引、存储过程、定时代理等。 2.2.1.6 每月备份一次服务器及数据库系统文件、并清理一次系统及安全日志（先备份再清除）。 2.2.1.7 每月对服务器进行一次硬件检测维护，主要包括安全隐患、性能等方面、如机器温度、使用率等。 2.2.1.8 每周每台服务器杀毒软件至少升级一次、全盘杀毒一次。 2.2.1.9 服务器必须启动服务必须设置为自动启动，人为重启服务器后必须检查各项系统运行必须服务是 否启动正常。
服务器基本安全配置 1.用户安全 (1)运行lusrmgr.msc,重命名原Administrator用户为自定义一定长度的名字，并新建同名 Administrator普通用户，设置超长密码去除所有隶属用户组。 (2)运行gpedit.msc——计算机配置—安全设置—账户策略—密码策略 启动密码复杂性要求，设置密码最小长度、密码最长使用期限，定期修改密码保证服务器账户的密码安全。 (3)运行gpedit.msc——计算机配置—安全设置—账户策略—账户锁定策略 启动账户锁定，设置单用户多次登录错误锁定策略，具体设置参照要求设置。
(4)运行gpedit.msc——计算机配置—安全设置—本地策略—安全选项 交互式登录:不显示上次的用户名；——启动 交互式登录：回话锁定时显示用户信息；——不显示用户信息 (5)运行gpedit.msc——计算机配置—安全设置—本地策略—安全选项 网络访问：可匿名访问的共享；——清空 网络访问：可匿名访问的命名管道；——清空 网络访问：可远程访问的注册表路径；——清空 网络访问：可远程访问的注册表路径和子路径；——清空 (6)运行gpedit.msc——计算机配置—安全设置—本地策略 通过终端服务拒绝登陆——加入一下用户（****代表计算机名）ASPNET Guest IUSR_***** IWAM_***** NETWORK SERVICE SQLDebugger 注：用户添加查找如下图：
(7)运行gpedit.msc——计算机配置—安全设置—本地策略—策略审核 即系统日志记录的审核消息，方便我们检查服务器的账户安全，推荐设置如下： (8)
XXX项目实施方案模板
网御神州科技（北京）有限公司 2009年月 目录 1概述 (3) 2工程实施安排 (3) 3工程总体要求 (6) 4工程实施步骤 (7) 4.1 前期准备工作 (7) 4.2 安装实施前期 (8) 4.2.1 资料采集 (8) 4.2.2 分析调研 (9) 4.2.3 规则翻译 (10) 4.2.4 产品到货验收 (10) 4.2.5 加电检测 (11) 4.2.6 配置安全设备（网御神州） (11) 4.2.7 模拟环境测试 (15) 4.3 安装实施中期 (16) 4.3.1 设备上线 (16) 4.3.2 应用系统验证性测试 (17) 4.3.3 计划变更 (17) 4.4安装实施后期 (18) 4.4.1 设备试运行 (18) 4.4.2 现场培训 (19)
4.4.3 节点初验 (19) 4.4.4 文档整理 (20) 5风险控制 (20) 5.1 实施现场的风险控制 (20) 5.1.1 业务全部中断情况的处理 (21) 5.1.2 部分业务中断情况的处理 (22) 5.2 运行期间的风险控制 (23) 6附件 (24) “XXX”项目设备到货确认单 (24) 1概述 XXX安全设备项目是2006年信息安全建设的一个重要项目，内容为更换副省级以上（含）机构XXX安全设备。此文档是XXX安全设备项目各节点的实施方案。 2工程实施安排 此次工程实施以各节点技术力量为主，厂商技术人员在实施现场做技术支持。各节点工程实施时间安排约为8天，第一批安装单位的开始为1月22日，第二批安装单位的开始时间为1月29日，项目分为实施前期、实施中期、实施后期三个阶段，其中：周一至周五为实施前期，主要是进行相关前期的准备工作和模拟环境测试工作；周末为实施中期，主要是上线切换、应用验证等工作；后期安排一天时间，主要是进行现场值守技术保障、文档整理等工作。工程开始时
1.1.1服务器安全解决方案 Trend Micro Deep Security发大发发大发啊方案是一种在虚拟、云计算和传统的数据中心环境之间统一安全性的服务器和应用程序防护软件。它帮助组织预防数据泄露和业务中断，符合包括 PCI 在内的关键法规和标准，并有助于应当今经济形势之要求降低运营成本。Deep Security 解决方案使系统能够自我防御，并经过优化，能够帮助您保护机密数据并确保应用程序的可用性。趋势科技的基于服务器的安全防护软件主要在服务器群上实现以下6大模块的安全控制： 1.基于主机的IDS/IPS ●防护未知漏洞，被未知攻击 ●防护已知攻击 ●防护零日攻击，确保未知漏洞不会被利用 2.Web应用防护 ●防护web应用程序的弱点和漏洞 ●防护Web应用程序的历史记录 ●支持PCI规范。 3.应用程序控制 ●侦测通过非标准端口进行通讯相关协议 ●限制和设定哪些应用程序能通过网络被访问 ●侦测和阻断恶意软件通过网络进行访问 4.基于主机的防火墙 5.一致性检查和监控 ●重要的操作系统和应用程序文件控制（文件，目录，注册表以及键值等等） ●监控制定的目录 ●灵活并且主动实用的监控 ●审计日志和报表 6.日志检查和审计 ●搜集操作系统和应用程序的日志，便于安全检查和审计 ●可疑行为侦测
●搜集安全行为相关的管理员设定 1.1.1.1 产品特点 数据中心服务器安全架构必须解决不断变化的 IT 架构问题，包括虚拟化和整合、新服务交付模式以及云计算。对于所有这些数据中心模式，Deep Security 解决方案可帮助： 1.1.1.1.1通过以下方式预防数据泄露和业务中断 ?在服务器自身位置提供一道防线–无论是物理服务器、虚拟服务器还是云服务器 ?针对 Web 和企业应用程序以及操作系统中的已知和未知漏洞进行防护，并阻止对这些系统的攻击 ?帮助您识别可疑活动及行为，并采取主动或预防性的措施 1.1.1.1.2通过以下方式实现合规性 ?满足六大 PCI 合规性要求（包括 Web 应用程序安全、文件完整性监控和服务器日志收集）及其他各类合规性要求 ?提供记录了所阻止的攻击和策略合规性状态的详细可审计报告，缩短了支持审计所需的准备时间 1.1.1.1.3通过以下方式支持降低运营成本 ?提供漏洞防护，以便能够对安全编码措施排定优先级，并且可以更具成本效益地实施未预定的补丁 ?为组织充分利用虚拟化或云计算并实现这些方法中固有的成本削减提供 必要的安全性 ?以单个集中管理的软件代理提供全面的防护–消除了部署多个软件客 户端的必要性及相关成本 1.1.1.1.4全面易管理的安全性 Deep Security 解决方案使用不同的模块满足了关键服务器和应用程序的防护要求：
Windows Server 2008 R2 WEB 服务器安全设置指南(四)之禁用不必要的服务和关闭端口 安全是重中之重，以最少的服务换取最大的安全。通过只启用需要用到的服务、关闭暂时用不到的服务或不用的服务，这样最大程度来提高安全性。 作为web服务器，并不是所有默认服务都需要的，所以像打印、共享服务都可以禁用。当然了，你的系统补丁也需要更新到最新，一些端口的漏洞已经随着补丁的更新而被修复了。网上的一些文章都是相互复制且是基于win2003系统较多，而win2008相比win2003本身就要安全很多。 那我们为什么还要谈关闭端口呢，因为我们要防患于未然，万一服务器被黑就不好玩了。 禁用不必要的服务 控制面板―――管理工具―――服务：把下面的服务全部停止并禁用。 TCP/IP NetBIOS Helper Server 这个服务器需要小心。天翼云主机需要用到这个服务，所以在天翼云主机上不能禁用。 Distributed Link Tracking Client Microsoft Search 如果有，则禁用
Print Spooler Remote Registry 因为我们使用的是云主机，跟单机又不一样，所以有些服务并不能一概而论，如上面的Server服务。例如天翼云的主机，上海1和内蒙池的主机就不一样，内蒙池的主机需要依赖Server服务，而上海1的不需要依赖此服务，所以上海1的可以禁用，内蒙池就不能禁用了。 所以在禁用某一项服务时必须要小心再小心。 删除文件打印和共享 本地连接右击属性，删除TCP/IPV6、Microsoft网络客户端、文件和打印共享。
石盖塘镇构筑社会消防安全“防火墙”工程 实施方案 为认真贯彻《中华人民共和国消防法》，《郴州市人民政府 关于构筑社会消防安全“防火墙”工程的实施意见》（郴政发…2010?3号）文件要求和区政府会议精神，进一步加强我镇消防工作，着力构筑社会消防安全“防火墙”，结合我镇实际，制定以下工作方案： 一、工作目标 以落实政府部门消防工作“四项责任”、提高社会单位消防安全“四个能力”、夯实农村社区火灾防控“四个基础”、提高公安机关消防监督管理“四个水平”为着力点，力争通过三年努力，使消防安全工作社会化水平明显提升，消防安全环境明显改善，杜绝各类火灾事故的发生，全镇火灾形势持续稳定。 二、工作任务 （一）落实政府部门消防工作“四项责任” 1.落实组织领导责任。镇组织成立镇消防安全工作领导小组，并要求每季度组织召开一次例会，沟通信息，研究解决消防工作中的重大问题，部署阶段性消防工作。特别是针对每年度的政府挂牌重大火灾隐患单位整改工作，及时组织召开专题协调会，明确督办人员，制定整改计划，落实整改资金和措施，确保按时完成整改工作。组织开展以人员密集场所、“多合一”场所等为重点的消防安全整治“十大行动”，深入开展全镇建筑消防设施和电
气消防安全整治，有效消除社会面上的突出火灾隐患。 2.落实监督管理责任。加强全镇整治工作的督查指导。要严格依法审批，将单位（场所）的消防安全状况作为行政许可的重要审查内容，严把“审批关”。同时，各村要根据自身职责，督促指导本村落实消防安全“四个能力”标准化建设，镇安全分管领导小组负责消防安全重点单位，并负责协调、指导开展全镇构筑消防安全“防火墙”工程工作。 3.落实设施建设责任。严格落实消防相关法律制度，根据有关规定和实际需要，将消防设备建设纳入年度投资计划和财政项目，确保消防装备建设任务按时保质保量地完成。 4.落实检查考评责任。将消防工作纳入各村各部门综合目标管理体系，作为平安建设考评、领导干部政绩考核的重要内容，建立消防工作目标责任书管理体系，年终进行考核。加大对各村开展消防工作情况的督查力度，每半年不少于1次。推行消防工作村书记、主任问责制，对消防工作履职不到位或辖区发生亡人火灾事故的，追究相关负责人的责任。 （二）提高社会单位消防安全“四个能力” 1.提高社会单位检查消除火灾隐患的能力。督促单位确定消防安全责任人和消防安全管理人，并组织进行消防安全培训，督促单位定期组织开展防火检查巡查，及时消除单位内部火灾隐患。 2.提高社会单位组织扑救初起火灾的能力。各单位要结合自身实际，制定灭火和应急疏散预案并定期组织演练。督促单位加强消防控制室标准化管理，严格落实值班操作人员持证上岗制度，熟
服务器安全方案 一、操作系统安全配 置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。1 1安装操作系统(NTFS分区)。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2 2.安装系统补丁，扫描漏洞全面杀毒。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2 3.删除Windows Server 2003默认共享。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2 4.禁用IPC连接。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2 5.删除"网络连接"里的协议和服务。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2 6.启用windows连接防火墙。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2 7.磁盘权限。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。3 8.本地安全策略设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。3 系统检查检测。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。4 二iis配置(包括网站所在目录)。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5 1.新建自己的网站。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5 2.删掉系统盘\inetpub目录。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5 3.删除不用的映射。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5 4.为网站创建系统用户。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5 5.设置应用程及子目录的执行权限。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5 6.应用程序池设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5 Iis检查检测。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5 1.密码设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。6 2.删除危险的扩展存储过程和相关.dll。。。。。。。。。。。。。。。。。。。。。。。。。。。。6 四、远程访问配置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。7 第一步，远程桌面设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。7 第二步.设客户端。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。8 第三步，远程连接。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。8 远程访问检查检测。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。9 五、其它设置(选用)。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。10 六、可以关闭的系统服务列表。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。10 七、禁止或卸载危险组件。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。11 八、windows自带防火墙设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。12 九、天网防火墙设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。15
服务器安全使用指引规范 撰写：杨胜灵 日期：2007/01/22 为了确保服务器安全、服务器性能以及服务器连接带宽，提高机房资源使用效率，提升客户满意度，特制定此服务器使用指引规范。 1,服务器范围 机房服务器是指公司所需要提供服务的所有客户的网络设备，不仅包括公司电信机房的服务器、交换机、带宽等，还包括部署有公司产品的客户自建机房的服务器。 2,服务器管理 服务器由专人管理，负责服务器的日常安全、数据备份、例行检查、域名解析、项目部署(研发人员指导支撑)、网络分析、带宽管理、设备扩容等，需要两名责任人，每个责任人负责制定各自负责领域的详细执行细则； 第一名责任人由客服中心王元超承担，负责服务器数据备份、日常运行情况监控、例行检查、域名解析、网络分析、带宽管理、设备扩容等； 第二名责任人由研发人员承担，负责服务器的系统配置、日常项目的发布部署等；目前暂定由王嵛田同志整理具体执行细则； 3,服务器使用 3.1,使用原则： 1)责任人统一管理服务器账号密码；除责任人授权外，其它任何人不允许拥有服务器账号 密码信息。 2)中小企业网站，逐步迁移到阿里云服务器等专业托管商；带宽分流，减少使用成本； 3)政府类项目根据情况，需要独享服务器的尽量推荐使用独享服务器；后续根据访问流量， 该收费的需要收费；避免公司买单，客户无偿、无限制使用，影响其它付费优质客户的使用。 4)研发测试类、临时演示类项目使用单独服务器，不允许放到正式服务器，避免运营商封 闭IP。责任人可以给每个技术部门负责人创建账号，并对账号进行管理和监控； 5)数据库服务器，如果条件可行，单独配置专用服务器，同其它应用服务分开；避免性能 问题。
精心整理1项目实施方案 1.1项目实施计划 考虑到xxx与数据库建设项目的工程量、质量与涉及面等因素，在此工程实施前必需有严密的进度控制和精心的组织安排。我们根据本方案确定的项目目标以及具体建设要求，对建设任务以及工程进度进行综合安排计划，具体各个部分的实施可以视工程情况相互协调、齐头并进。 ?查看软件版本
1)通过IE浏览器登陆到安全设备,查看当前安全设备的软件版本。 2)通过串口登陆到安全设备后台,查看软件版本。 ?产品信息记录 记录下用户安全设备编号，作好记录工作 ?查看安全设备重启后能否正常启动 ? 配置 而不 8.加固防火墙操作系统，并使用防火墙软件的最新稳定版本或补丁，确保补丁的来源可 靠。 9.是否对防火墙进行脆弱性评估/测试？（随机和定期测试） 10.防火墙访问控制规则集是否和防火墙策略一致？应该确保访问控制规则集依从防
火墙策略，如严格禁止某些服务、严格开放某些服务、缺省时禁止所有服务等，以满足用户安全需求，实现安全目标。 11.防火墙访问控制规则是否有次序性？是否将常用的访问控制规则放在前面以增加防火墙的性能？评估防火墙规则次序的有效性。 12.防火墙访问控制规则集的一般次序为： 17.确保有仅允许源IP是内部网的通信通过而源IP不是内部网的通信被丢弃的规则，并确保任何源IP不是内部网的通信被记录。 18.是否执行NAT，配置是否适当？ 19.任何和外网有信息交流的机器都必须经过地址转换（NAT）才允许访问外网，同样外网的机器要访问内部机器，也只能是其经过NAT后的IP，以保证系统的内部地址、配置和有
关的设计信息如拓扑结构等不能泄露到不可信的外网中去。 20.在适当的地方，防火墙是否有下面的控制？ 21.如，URL过滤、端口阻断、防IP欺骗、过滤进入的Java或ActiveX、防病毒等。 22.防火墙是否支持“拒绝所有服务，除非明确允许”的策略？ 23.根据xxx的需求，配置系统所需对外开放的端口映射。 帮助分析防火墙的活动，并为管理部门提供防火墙效率情况。 5.重大事件或活动是否设置报警？是否有对可以攻击的响应程序？ 6.如适当设置入侵检测功能，或者配合使用IDS（入侵检测系统），以防止某些类型的攻击或预防未知的攻击。 7.是否有灾难恢复计划？恢复是否测试过？
Windows 2003服务器安全加固方案【桓文】培训包就业考试包通过 NA599 21世纪IT人才网热门招聘职位 系统集成系统维护工程师系统分析员嵌入式程序开发教程 Windows高级工程师的培训地 【就业】先实习后上岗，入职年薪5-10万！中国IT实验室收集整理佚名 2010-4-19 保存本文推荐给好友收藏本页欢迎进入Windows社区论坛，与200万技术人员互动交流 >>进入 因为IIS(即Internet Information Server)的方便性和易用性，使它成为最受欢迎的Web服务器软件之一。但是，IIS的安全性却一直令人担忧。如何利用IIS建立一个安全的Web服务器，是很多人关心的话题。要创建一个安全可靠的Web服务器，必须要实现Windows 2003和IIS的双重安全，因为IIS的用户同时也是Windows 2003的用户，并且IIS目录的权限依赖Windows的NTFS文件系统的权限控制，所以保护IIS安全的第一步就是确保Windows 2000操作系统的安全，所以要对服务器进行安全加固，以免遭到黑客的攻击，造成严重的后果。 我们通过以下几个方面对您的系统进行安全加固： 1. 系统的安全加固：我们通过配置目录权限，系统安全策略，协议栈加强，系统服务和访问控制加固您的系统，整体提高服务器的安全性。 2. IIS手工加固：手工加固iis可以有效的提高iweb站点的安全性，合理分配用户权限，配置相应的安全策略，有效的防止iis用户溢出提权。 3. 系统应用程序加固，提供应用程序的安全性，例如sql的安全配置以及服务器应用软件的安全加固。 系统的安全加固： 1.目录权限的配置： 1.1 除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权，之后再对其下的子目录作单独的目录权限，如果WEB站点目录，你要为其目录权限分配一个与之对应的匿名访问帐号并赋予它有修改权限，如果想使网站更加坚固，可以分配只读权限并对特殊的目录作可写权限。 1.2 系统所在分区下的根目录都要设置为不继承父权限，之后为该分区只赋予Administrators和SYSTEM有完全控制权。 1.3 因为服务器只有管理员有本地登录权限，所在要配置Documents and Settings这个目录权限只保留Administrators和SYSTEM有完全控制权，其下的子目录同样。另外还有一个隐藏目录也需要同样操作。因为如果你安装有PCAnyWhere那么他的的配置信息都保存在其下，使用webshell或FSO可以轻松的调取这个配置文件。
随着网络技术的发展，服务器面临着越来越多的安全威胁。因此，加强服务器的安全防护成为一项迫切需要解决的问题。那么到底该怎么做才能使服务器更安全呢？今天，我们来谈一谈具体的防护措施，可以从以下五大方面入手： 一、安全设置 1、加强服务器的安全设置 以Linux为操作平台的服务器安全设置策略，能够有效降低服务器的安全隐患，以确保它的安全性。安全设置主要包括：登录用户名与密码的安全设置、系统口令的安全设置、BIOS的安全设置、使用SSL通信协议、命令存储的修改设置、隐藏系统信息、启用日志记录功能以及设置服务器有关目录的权限等。 2、加强内网和外网的安全防范 服务器需要对外提供服务，它既有域名,又有公网IP，显然存在着一些安全隐患。因此，可以给服务器分配私有的IP地址，并且运用防火墙来做NAT （网络地址转换），可将其进行隐藏。 有些攻击来源于内网，如果把内网计算机和服务器放置在相同的局域网之内，则在一定程度上会增加很多安全隐患，所以必须把它划分为不同的虚拟局域网。运用防火墙的“网络地址转换”来提供相互间的访问，这样就能极大提
高服务器的安全性和可靠性。 把服务器连接至防火墙的DMZ（隔离区）端口，将不适宜对外公布的重要信息的服务器，放在内部网络，进而在提供对外服务的同时，可以最大限度地保护好内部网络。 3、网络管理员，要不断加强网络日常安全的维护与管理 要对“管理员用户名与密码”定期修改；要对服务器系统的新增用户情况进行定时核对，并且需要认真仔细了解网络用户的各种功能；要及时更新服务器系统的杀毒软件以及病毒数据库，必要时，可针对比较特殊的病毒，安装专门的杀毒程序，同时要定期查杀服务器的系统病毒，定期查看CPU的正常工作使用状态、后台工作进程以及应用程序等。如若发现异常情况，需要及时给予妥当处理。因为很多“病毒与木马程序”，都是运用系统漏洞来进行攻击的，所以需要不断自动更新服务器系统，以及定期扫描服务器系统的漏洞。 很多服务器已经成为了“病毒、木马程序”感染的重灾区。不但企业的门户网站被篡改、资料被窃取，而且本身还成为了“病毒与木马程序”的传播者。有些服务器管理员采取了一些措施，虽然可以保证门户网站的主页不被篡改，但是却很难避免自己的网站被当作“肉鸡”，来传播“病毒、恶意插件、木马程序”等等。这很大一部分原因是，网络管理员在网站安全的防护上太被动。他们只是被动的防御，而没有进行主动防御和检测。为了彻底提高服务器的安全等级，网站安全需要主动出击。、
第一章项目概论 一、项目概况 （一）项目名称 防火墙项目 （二）项目选址 xx高新区 所选场址应避开自然保护区、风景名胜区、生活饮用水源地和其他特别需要保护的环境敏感性目标。项目建设区域地理条件较好，基础设施等配套较为完善，并且具有足够的发展潜力。 （三）项目用地规模 项目总用地面积31509.08平方米（折合约47.24亩）。 （四）项目用地控制指标 该工程规划建筑系数72.06%，建筑容积率1.59，建设区域绿化覆盖率6.34%，固定资产投资强度182.69万元/亩。 （五）土建工程指标 项目净用地面积31509.08平方米，建筑物基底占地面积22705.44平方米，总建筑面积50099.44平方米，其中：规划建设主体工程31714.77平方米，项目规划绿化面积3175.35平方米。
（六）设备选型方案 项目计划购置设备共计74台（套），设备购置费2583.97万元。 （七）节能分析 1、项目年用电量1038962.45千瓦时，折合127.69吨标准煤。 2、项目年总用水量14788.76立方米，折合1.26吨标准煤。 3、“防火墙项目投资建设项目”，年用电量1038962.45千瓦时，年 总用水量14788.76立方米，项目年综合总耗能量（当量值）128.95吨标准煤/年。达产年综合节能量47.69吨标准煤/年，项目总节能率22.76%，能 源利用效果良好。 （八）环境保护 项目符合xx高新区发展规划，符合xx高新区产业结构调整规划和国 家的产业发展政策；对产生的各类污染物都采取了切实可行的治理措施， 严格控制在国家规定的排放标准内，项目建设不会对区域生态环境产生明 显的影响。 （九）项目总投资及资金构成 项目预计总投资11294.64万元，其中：固定资产投资8630.28万元， 占项目总投资的76.41%；流动资金2664.36万元，占项目总投资的23.59%。 （十）资金筹措 该项目现阶段投资均由企业自筹。 （十一）项目预期经济效益规划目标
WEB 服务器硬件配置方案 一、入门级常规服务器硬配置方案： 备注：作为WEB服务器，首先要保证不间断电源，机房要控制好相对温度和湿度。这里有额外配置的UPS不间断电源和稳压器，此服务器配置能胜基本的WEB请求服务，如大量的数据交换，文件读写，可能会存在带宽瓶颈。 二、顶级服务器配置方案
备注： 1，系统支持Windows Server 2003 R2 Enterprise Edition、Windows Server 2003 R2 Web Edition、Windows Server 2003 R2 x64 Enterprise Edition、Windows Server 2003 R2 x64 Standard Edition、Windows Storage Server 2003 R2 Workgroup Edition 2，工作环境：相对工作温度10℃-35℃，相对工作湿度20%-80% 无冷凝，相对存储温度-40℃-65℃，相对湿度5%-95% 无冷凝 3，以上配置为统一硬件配置，为DELL系列服务器标准配置，参考价位￥13000 WEB 服务器软件配置和安全配置方案 一、系统的安装 １、按照Windows2003安装光盘的提示安装，默认情况下2003没有把IIS6.0安装在系统里面。 ２、IIS6.0的安装 开始菜单—>控制面板—>添加或删除程序—>添加/删除Windows组件 应用程序———https://www.doczj.com/doc/8d13827238.html,（可选） |——启用网络COM+ 访问（必选）
|——Internet 信息服务(IIS)———Internet 信息服务管理器（必选） |——公用文件（必选） |——万维网服务———Active Server pages（必选） |——Internet 数据连接器（可选） |——WebDAV 发布（可选） |——万维网服务（必选） |——在服务器端的包含文件（可选） 然后点击确定—>下一步安装。 ３、系统补丁的更新 点击开始菜单—>所有程序—>Windows Update 按照提示进行补丁的安装。 ４、备份系统 用GHOST备份系统。 ５、安装常用的软件 例如：杀毒软件、解压缩软件等；安装之后用GHOST再次备份系统。 二、系统权限的设置 １、磁盘权限 系统盘及所有磁盘只给Administrators 组和SYSTEM 的完全控制权限 系统盘\Documents and Settings 目录只给Administrators 组和SYSTEM 的完全控制权限 系统盘\Documents and Settings\All Users 目录只给Administrators 组和SYSTEM 的完全控制权限 系统盘\Inetpub 目录及下面所有目录、文件只给Administrators 组和SYSTEM 的完全控制权限 系统盘\Windows\System32\cacls.exe、cmd.exe、net.exe、net1.exe 文件只给Administrators 组和SYSTEM 的完全控制权限 ２、本地安全策略设置 开始菜单—>管理工具—>本地安全策略 A、本地策略——>审核策略 审核策略更改成功失败 审核登录事件成功失败 审核对象访问失败 审核过程跟踪无审核 审核目录服务访问失败 审核特权使用失败 审核系统事件成功失败 审核账户登录事件成功失败 审核账户管理成功失败 B、本地策略——>用户权限分配 关闭系统：只有Administrators组、其它全部删除。 通过终端服务拒绝登陆：加入Guests、User组 通过终端服务允许登陆：只加入Administrators组，其他全部删除 C、本地策略——>安全选项 交互式登陆：不显示上次的用户名启用 网络访问：不允许SAM帐户和共享的匿名枚举启用 网络访问：不允许为网络身份验证储存凭证启用 网络访问：可匿名访问的共享全部删除