服务器主机安全规范
启用防火墙
阿里云windows Server 2008 R2默认居然没有启用防火墙。2012可能也是这样的，不过这个一定要检查！
补丁更新
启用windows更新服务，设置为自动更新状态，以便及时打补丁。
阿里云windows Server 2008 R2默认为自动更新状态，2012可能也是这样的，不过这个一定要检查！
账号口令
优化账号
操作目的减少系统无用账号，降低风险
加固方法“Win+R”键调出“运行”->compmgmt.msc（计算机管理）->本地用户和组。
1、删除不用的账号，系统账号所属组是否正确。云服务刚开通时，应该只有一个
administrator账号和处于禁用状态的guest账号；
2、确保guest账号是禁用状态
3、买阿里云时，管理员账户名称不要用administrator
备注
口令策略
操作目的增强口令的复杂度及锁定策略等，降低被暴力破解的可能性
加固方法“Win+R”键调出“运行”->secpol.msc （本地安全策略）->安全设置
1、账户策略->密码策略
密码必须符合复杂性要求：启用
密码长度最小值：8个字符
密码最短使用期限：0天
密码最长使用期限：90天
强制密码历史：1个记住密码
用可还原的加密来存储密码：已禁用
2、本地策略->安全选项
交互式登录：不显示最后的用户名：启用
备注“Win+R”键调出“运行”->gpupdate /force立即生效
网络服务
优化服务（1）
操作目的关闭不需要的服务，减小风险
加固方法“Win+R”键调出“运行”->services.msc，以下服务改为禁用：
Application Layer Gateway Service（为应用程序级协议插件提供支持并启用网
络/协议连接）
Background Intelligent Transfer Service（利用空闲的网络带宽在后台传输文
件。如果服务被停用，例如Windows Update 和 MSN Explorer的功能将无法自动
下载程序和其他信息）
Computer Browser（维护网络上计算机的更新列表，并将列表提供给计算机指定浏
览）
DHCP Client
Diagnostic Policy Service
Distributed Transaction Coordinator
DNS Client
Distributed Link Tracking Client
Remote Registry（使远程用户能修改此计算机上的注册表设置）
Print Spooler（管理所有本地和网络打印队列及控制所有打印工作）
Server（不使用文件共享可以关闭，关闭后再右键点某个磁盘选属性，“共享”这个
页面就不存在了）
Shell Hardware Detection
TCP/IP NetBIOS Helper（提供 TCP/IP (NetBT) 服务上的NetBIOS 和网络
上客户端的NetBIOS 名称解析的支持，从而使用户能够共享文件、打印和登录到网
络）
Task Scheduler（使用户能在此计算机上配置和计划自动任务）
Windows Remote Management(47001端口，Windows远程管理服务，用
于配合IIS管理硬件，一般用不到)
Workstation（创建和维护到远程服务的客户端网络连接。如果服务停止，这些连接
将不可用）
备注用服务需谨慎，特别是远程计算机
优化服务（2）
在"网络连接"里，把不需要的协议和服务都移除
2去掉Qos数据包计划程序
2关闭Netbios服务（关闭139端口）
网络连接->本地连接->属性->Internet协议版本4->属性->高级->WINS->禁用TCP/IP上的NetBIOS。
说明：关闭此功能，你服务器上所有共享服务功能都将关闭，别人在资源管理器中将看不到你的共享
资源。这样也防止了信息的泄露。
2Microsoft网络的文件和打印机共享
网络连接->本地连接->属性，把除了“Internet协议版本4”以外的东西都勾掉。
2ipv6协议
先关闭网络连接->本地连接->属性->Internet协议版本 6 (TCP/IPv6)
然后再修改注册表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters，增加一个Dword项，名字：DisabledComponents，值：ffffffff（十六位的8个f）
重启服务器即可关闭ipv6
2microsoft网络客户端（主要是为了访问微软的网站）
关闭445端口
445端口是netbios用来在局域网内解析机器名的服务端口，一般服务器不需要对LAN开放什么共享，所以可以关闭。
修改注册表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters，则更加一个Dword项：SMBDeviceEnabled，值：0
关闭LLMNR（关闭5355端口）
什么是LLMNR？本地链路多播名称解析，也叫多播DNS，用于解析本地网段上的名称，没啥用但还占着5355端口。
使用组策略关闭，运行->gpedit.msc->计算机配置->管理模板->网络->DNS客户端->关闭多播名称解析->启用
网络限制
操作目的网络访问限制
加固方法“Win+R”键调出“运行”->secpol.msc ->安全设置->本地策略->安全选项
网络访问: 不允许SAM 帐户的匿名枚举：已启用
网络访问: 不允许SAM 帐户和共享的匿名枚举：已启用
网络访问: 将Everyone权限应用于匿名用户：已禁用
帐户: 使用空密码的本地帐户只允许进行控制台登录：已启用
备注“Win+R”键调出“运行”->gpupdate /force立即生效
远程访问
一定要使用高强度密码
更改远程终端默认端口号
步骤：
1.防火墙中设置
1.控制面板——windows防火墙——高级设置——入站规则——新建规则——端口——特定端口tcp（如13688）——允许连接
2.完成以上操作之后右击该条规则作用域——本地ip地址——任何ip地址——远程ip地址——下列ip地址——添加管理者ip 同理其它端口可以通过此功能对特定网
段屏蔽（如80端口）。
请注意：不是专线的网络的IP地址经常变，不适合限定IP。
2.运行regedit 2.[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal
Server\Wds \rdpwd\Tds \tcp] 和[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\WinStati
ons\RDP-TCP]，看见PortNamber值了吗？其默认值是3389，修改成所希望的端口即可，例如13688
3.[HKEY_LOCAL_MACHINE\SYSTEM\CurrentContro1Set\Control\Tenninal
Server\WinStations\ RDP\Tcp]，将PortNumber的值（默认是3389）修改成端口13688（自定义）。
4.重新启动电脑，以后远程登录的时候使用端口13688就可以了。
文件系统
检查Everyone权限
操作目的增强Everyone权限
加固方法鼠标右键系统驱动器（磁盘）->“属性”->“安全”，查看每个系统驱动器根目录是否设置为Everyone有所有权限
删除Everyone的权限或者取消Everyone的写权限
备注
NTFS权限设置
注意：
1、2008 R2默认的文件夹和文件所有者为TrustedInstaller，这个用户同时拥有所有控制权限。
2、注册表同的项也是这样，所有者为TrustedInstaller。
3、如果要修改文件权限时应该先设置管理员组administrators 为所有者，再设置其它权限。
4、如果要删除或改名注册表，同样也需先设
置管理员组为所有者，同时还要应该到子项，直接删除当前项还是删除不掉时可以先删除子项后再
删除此项。
步骤：
1.C盘只给administrators 和system权限，其他的权限不给，其他的盘也可以这样设置
（web目录权限依具体情况而定）
2.这里给的system权限也不一定需要给，只是由于某些第三方应用程序是以服务形式启动的，
需要加上这个用户，否则造成启动不了。
3.Windows目录要加上给users的默认权限，否则ASP和ASPX等应用程序就无法运行（如
果你使用IIS的话，要引用windows下的dll文件）。
4.c:/user/ 只给administrators 和system权限
日志和授权
增强日志
操作目的增大日志量大小，避免由于日志文件容量过小导致日志记录不全
加固方法“Win+R”键调出“运行”->eventvwr.msc ->“windows日志”->查看“应用程序”“安全”“系统”的属性
建议设置：
日志上限大小：20480 KB
Windows server 2008 R2默认就是这样设置的
备注
增强审核
操作目的对系统事件进行审核，在日后出现故障时用于排查故障
加固方法“Win+R”键调出“运行”->secpol.msc ->安全设置->本地策略->审核策略建议设置：
审核策略更改：成功
审核登录事件：成功，失败
审核对象访问：成功
审核进程跟踪：成功，失败
审核目录服务访问：成功，失败
审核系统事件：成功，失败
审核帐户登录事件：成功，失败
审核帐户管理：成功，失败
备注“Win+R”键调出“运行”->gpupdate /force立即生效
授权
进入“控制面板->管理工具->本地安全策略”，在“本地策略->用户权利指派”：
把“关闭系统”设置为“只指派给Administrators组”
把“从远端系统强制关机”设置为“只指派Administrators组”
设置“取得文件或其它对象的所有权”设置为“只指派给Administrators组
攻击保护
关闭ICMP
也就是平时说的PING，让别人PING不到服务器，减少不必要的软件扫描麻烦。
在服务器的控制面板中打开windows防火墙，点击高级设置：
点击入站规则——找到文件和打印机共享(回显请求- ICMPv4-In)，启用此规则即是开启ping，禁用此规则IP将禁止其他客户端ping通，但不影响TCP、UDP等连接。
应用服务安全
IIS
web.config配置不能返回详细的应用异常
，这样用户能看到异常详情。
在IIS角色服务中去掉目录浏览、ASP、CGI、在服务器端包含文件IIS用户
匿名身份验证不能使用管理员账号，得使用普通用户账号。
中心机房安全管理操作规程 一、机房安保规程 1.出入机房应注意关闭机房门。对于有客人进出机房，机房相关的工作人员应负责该客人的安全防范工作，最后离开机房的人员必须自觉检查和关闭所有机房门窗、锁定门禁系统，拒绝陌生人进出机房。 2.工作人员离开工作区域前，应保证工作区域内保存的重要文件、资料、设备、数据处于安全保护状态（如检查并锁上自己工作柜、锁定工作电脑、并将桌面重要资料和数据妥善保存等等）。 3.工作人员和到访人员需填写《机房出入管理登记表》，外来人员进入必须有专门的工作人员全面负责其行为安全，禁止带领与机房工作无关的人员进出机房。 4.未经主管领导批准，禁止将机房相关的钥匙、密码透露给其它人员，同时有责任对信息保密；对于遗失物品的情况要即时上报，并积极主动采取措施保证机房安全。 5.机房人员对机房安全制度上的漏洞和不完善的地方应及时提出改善建议，绝不允许与机房工作无关的人员直接或间接操纵机房任何设备。 6.出现机房盗窃、破门、水浸等严重事件时，机房工作人员有义务以最快的速度和最短的时间到达现场，协助处理相关
的事件。 二、机房用电安全操作规程 1.机房人员应学习常规的用电安全操作和知识，掌握机房用电应急处理步骤、措施和要领，了解机房内部的供电、用电设施的操作规程。 2.机房应安排专业人员定期检查供电、用电设备，如发现用电安全隐患，应采取措施解决，不能解决的必须及时联系相关负责人解决；严禁随意对设备断电、更改设备线路。 3.外来人员需要用电，必须得到机房管理人员允许，并使用安全和不对机房设备影响的供电方式。 4.在使用功率超过特定瓦数的用电设备前，必须得到上级主管批准，并在保证线路安全的基础上使用。 5.在危险性高的位置应张贴相应的安全操作方法、警示以及指引，实际操作时应严格执行。 6.在外部供电系统停电时，机房工作人员应全力配合完成停电应急工作。 三、机房消防安全操作规程 1.机房工作人员应熟悉机房内部消防安全操作，了解消防设备操作原理、掌握消防应急处理步骤、措施和要领。
Windows Server 2008 R2 WEB 服务器安全设置指南(四)之禁用不必要的服务和关闭端口 安全是重中之重，以最少的服务换取最大的安全。通过只启用需要用到的服务、关闭暂时用不到的服务或不用的服务，这样最大程度来提高安全性。 作为web服务器，并不是所有默认服务都需要的，所以像打印、共享服务都可以禁用。当然了，你的系统补丁也需要更新到最新，一些端口的漏洞已经随着补丁的更新而被修复了。网上的一些文章都是相互复制且是基于win2003系统较多，而win2008相比win2003本身就要安全很多。 那我们为什么还要谈关闭端口呢，因为我们要防患于未然，万一服务器被黑就不好玩了。 禁用不必要的服务 控制面板―――管理工具―――服务：把下面的服务全部停止并禁用。 TCP/IP NetBIOS Helper Server 这个服务器需要小心。天翼云主机需要用到这个服务，所以在天翼云主机上不能禁用。 Distributed Link Tracking Client Microsoft Search 如果有，则禁用
Print Spooler Remote Registry 因为我们使用的是云主机，跟单机又不一样，所以有些服务并不能一概而论，如上面的Server服务。例如天翼云的主机，上海1和内蒙池的主机就不一样，内蒙池的主机需要依赖Server服务，而上海1的不需要依赖此服务，所以上海1的可以禁用，内蒙池就不能禁用了。 所以在禁用某一项服务时必须要小心再小心。 删除文件打印和共享 本地连接右击属性，删除TCP/IPV6、Microsoft网络客户端、文件和打印共享。
安全生产法最新版本（2014年12月1日实施） 安全生产法最新版本（2014年12月1日实施）安全生产法最新版本（2014年12月1日实施）——核心内容：安全生产法最新版本是经过2014年全国人大常委会关于安全生产法的修正案修改后的2014年修订版，安全生产法最新版本（2014年修订）经过五十多项的修改，更加强调安全生产监管主体责任、生产经营单位安全... 核心内容：安全生产法最新版本是经过2014年全国人大常委会关于安全生产法的修正案修改后的2014年修订版，安全生产法最新版本（2014年修订）经过五十多项的修改，更加强调安全生产监管主体责任、生产经营单位安全生产管理义务以及违法惩处的力度。修订后的安全生产法最新版本共114条，涵盖了从业人员的安全生产权利义务、生产经营单位的安全生产保障、安全生产的监督管理等内容。 第一章总则 第一条为了加强安全生产工作，防止和减少生产安全事故，保障人民群众生命和财产安全，促进经济社会持续健康发展，制定本法。 第二条在中华人民共和国领域内从事生产经营活动的单位（以下统称生产经营单位）的安全生产，适用本法；有关法律、行政法规对消防安全和道路交通安全、铁路交通安全、水上交通安全、民用航空安全以及核与辐射安全、特种设备安全另有规定的，适用其规定。 第三条安全生产工作应当以人为本，坚持安全发展，坚持安全第一、预防为主、综合治理的方针，强化和落实生产经营单位的主体责任，建立生产经营单位负责、职工参与、政府监管、行业自律和社会监督的机制。 第四条生产经营单位必须遵守本法和其他有关安全生产的法律、法规，加强安全生产管理，建立、健全安全生产责任制和安全生产规章制度，改善安全生产条件，推进安全生产标准化建设，提高安全生产水平，确保安全生产。 第五条生产经营单位的主要负责人对本单位的安全生产工作全面负责。 第六条生产经营单位的从业人员有依法获得安全生产保障的权利，并应当依法履行安全生产方面的义务。 第七条工会依法对安全生产工作进行监督。 生产经营单位的工会依法组织职工参加本单位安全生产工作的民主管理和民主监督，维护职工在安全生产方面的合法权益。
管理制度编号：LX-FS-A64088 服务器机房安全管理制度标准范本 In The Daily Work Environment, The Operation Standards Are Restricted, And Relevant Personnel Are Required To Abide By The Corresponding Procedures And Codes Of Conduct, So That The Overall Behavior Can Reach The Specified Standards 编写：_________________________ 审批：_________________________ 时间：________年_____月_____日 A4打印/ 新修订/ 完整/ 内容可编辑
服务器机房安全管理制度标准范本 使用说明：本管理制度资料适用于日常工作环境中对既定操作标准、规范进行约束，并要求相关人员共同遵守对应的办事规程与行动准则，使整体行为或活动达到或超越规定的标准。资料内容可按真实状况进行条款调整，套用时请仔细阅读。 为科学、有效地管理服务器机房，促进网络系统安全的应用、高效运行，特制定本规章制度，请遵照执行。 一、机房管理 1、路由器、交换机和服务器以及通信设备是网络的关键设备，须放置服务器机房内，不得自行配置或更换，更不能挪作它用。 2、服务器房要保持清洁、卫生，并由专人7×24负责管理和维护(包括温度、湿度、电力系统、网络设备等)，无关人员未经管理人员批准严禁进入机房。
3、严禁易燃易爆和强磁物品及其它与机房工作无关的物品进入机房。 4、建立机房登记制度，对本地局域网络、广域网的运行，建立档案。未发生故障或故障隐患时当班人员不可对中继、光纤、网线及各种设备进行任何调试，对所发生的故障、处理过程和结果等做好详细登记。 6、做好操作系统的补丁修正工作。 7、网管人员统一管理服务器及其相关设备，完整保存服务器及其相关设备的驱动程序、保修卡及重要随机文件。 8、服务器及其相关设备的报废需经过管理部门或专职人员鉴定，确认不符合使用要求后方可申请报废。 二、服务器病毒防范制度
服务器基本安全配置 1.用户安全 (1)运行lusrmgr.msc,重命名原Administrator用户为自定义一定长度的名字，并新建同名 Administrator普通用户，设置超长密码去除所有隶属用户组。 (2)运行gpedit.msc——计算机配置—安全设置—账户策略—密码策略 启动密码复杂性要求，设置密码最小长度、密码最长使用期限，定期修改密码保证服务器账户的密码安全。 (3)运行gpedit.msc——计算机配置—安全设置—账户策略—账户锁定策略 启动账户锁定，设置单用户多次登录错误锁定策略，具体设置参照要求设置。
(4)运行gpedit.msc——计算机配置—安全设置—本地策略—安全选项 交互式登录:不显示上次的用户名；——启动 交互式登录：回话锁定时显示用户信息；——不显示用户信息 (5)运行gpedit.msc——计算机配置—安全设置—本地策略—安全选项 网络访问：可匿名访问的共享；——清空 网络访问：可匿名访问的命名管道；——清空 网络访问：可远程访问的注册表路径；——清空 网络访问：可远程访问的注册表路径和子路径；——清空 (6)运行gpedit.msc——计算机配置—安全设置—本地策略 通过终端服务拒绝登陆——加入一下用户（****代表计算机名）ASPNET Guest IUSR_***** IWAM_***** NETWORK SERVICE SQLDebugger 注：用户添加查找如下图：
(7)运行gpedit.msc——计算机配置—安全设置—本地策略—策略审核 即系统日志记录的审核消息，方便我们检查服务器的账户安全，推荐设置如下： (8)
文件编号：RHD-QB-K1372 （管理制度范本系列） 编辑：XXXXXX 查核：XXXXXX 时间：XXXXXX 服务器机房安全管理制 度标准版本
服务器机房安全管理制度标准版本操作指导：该管理制度文件为日常单位或公司为保证的工作、生产能够安全稳定地有效运转而制定的，并由相关人员在办理业务或操作时必须遵循的程序或步骤。，其中条款可根据自己现实基础上调整，请仔细浏览后进行编辑与保存。 为科学、有效地管理服务器机房，促进网络系统安全的应用、高效运行，特制定本规章制度，请遵照执行。 一、机房管理 1、路由器、交换机和服务器以及通信设备是网络的关键设备，须放置服务器机房内，不得自行配置或更换，更不能挪作它用。 2、服务器房要保持清洁、卫生，并由专人7×24负责管理和维护(包括温度、湿度、电力系统、网络设备等)，无关人员未经管理人员批准严禁进入机房。
3、严禁易燃易爆和强磁物品及其它与机房工作无关的物品进入机房。 4、建立机房登记制度，对本地局域网络、广域网的运行，建立档案。未发生故障或故障隐患时当班人员不可对中继、光纤、网线及各种设备进行任何调试，对所发生的故障、处理过程和结果等做好详细登记。 6、做好操作系统的补丁修正工作。 7、网管人员统一管理服务器及其相关设备，完整保存服务器及其相关设备的驱动程序、保修卡及重要随机文件。 8、服务器及其相关设备的报废需经过管理部门或专职人员鉴定，确认不符合使用要求后方可申请报废。 二、服务器病毒防范制度
1、网络管理人员应有较强的病毒防范意识，定期进行病毒检测(特别是邮件服务器)，发现病毒立即处理并通知管理部门或专职人员。 2、采用国家许可的正版防病毒软件并及时更新软件版本。 3、未经上级管理人员许可，当班人员不得在服务器上安装新软件，若确为需要安装，安装前应进行病毒例行检测。 4、经远程通信传送的程序或数据，必须经过检测确认无病毒后方可使用。 三、机房安全保密制度 1. 机房所有人员必须严格遵守单位各项安全保密制度，高度重视信息系统的安全保密工作，积极参加各种形式的安全保密工作的学习培训活动，接受安全检查。机房信息系统涉及全单位的管理、业务等企
网络服务器主机安全规范 启用防火墙 阿里云windows Server 2008 R2默认居然没有启用防火墙。2012可能也是这样的，不过这个一定要检查！ 补丁更新 启用windows更新服务，设置为自动更新状态，以便及时打补丁。 阿里云windows Server 2008 R2默认为自动更新状态，2012可能也是这样的，不过这个一定要检查！ 账号口令 优化账号 口令策略
网络服务 优化服务（1）
优化服务（2） ?在"网络连接"里，把不需要的协议和服务都移除 2去掉Qos数据包计划程序 2关闭Netbios服务（关闭139端口） 网络连接->本地连接->属性->Internet协议版本4->属性->高级->WINS->禁用TCP/IP上的NetBIOS。 说明：关闭此功能，你服务器上所有共享服务功能都将关闭，别人在资源管理器中将看不到你的共享资源。这样也防止了信息的泄露。 2Microsoft网络的文件和打印机共享 网络连接->本地连接->属性，把除了“Internet协议版本4”以外的东西都勾掉。 2ipv6协议 先关闭网络连接->本地连接->属性->Internet协议版本 6 (TCP/IPv6) 然后再修改注册表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters，增加一个Dword项，名字：DisabledComponents，值：ffffffff（十六位的8个f） 重启服务器即可关闭ipv6 2microsoft网络客户端（主要是为了访问微软的网站） ?关闭445端口
6、先关闭不需要的端口开启防火墙导入IPSEC策略 在” 网络连接”里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP），由于要控制带宽流量服务，额外安装了Qos数据包计划程序。在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS（S）"。在高级选项里，使用"Internet连接防火墙"，这是windows 2003 自带的防火墙，在2000系统里没有的功能，虽然没什么功能，但可以屏蔽端口，这样已经基本达到了一个IPSec 的功能。 然后点击确定—>下一步安装。（具体见本文附件1） ３、系统补丁的更新 点击开始菜单—>所有程序—>Windows Update 按照提示进行补丁的安装。 ４、备份系统 用GHOST备份系统。 ５、安装常用的软件 例如：杀毒软件、解压缩软件等；安装完毕后,配置杀毒软件,扫描系统漏洞,安装之后用GHOST再次备份
修改3389远程连接端口 修改注册表. 开始--运行--regedit 依次展开HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/ TERMINAL SERVER/WDS/RDPWD/TDS/TCP 右边键值中PortNumber 改为你想用的端口号.注意使用十进制(例10000 ) HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/TERMINAL SERVER/ WINSTATIONS/RDP-TCP/ 右边键值中PortNumber 改为你想用的端口号.注意使用十进制(例10000 )
新版安全生产法逐条解读 Revised by Hanlin on 10 January 2021
新版《中华人民共和国安全生产法》逐条解读第一条为了加强安全生产工作，防止和减少生产安全事故，保障人民群众生命和财产安全，促进经济社会持续健康发展，制定本法。 解读：这条是立法目的。一是加强安全生产。安全生产就是在生产经营活动中，为避免发生造成人员伤害和财产损失的事故，有效消除或控制危险和有害因素而采取一系列措施，使生产过程在符合规定的条件下进行，以保证从业人员的人身安全与健康及设备和设施免受损坏，环境免遭破坏，保证生产经营活动得以顺利进行的相关活动。二是防止和减少生产安全事故。生产安全事故是指生产经营单位在生产经营活动（包括与生产经营有关的活动）中突然发生的，伤害人身安全和健康，或者损坏设备设施，或者造成经济损失的，导致原生产经营活动（包括与生产经营活动有关的活动）暂时中止或永远终止的意外事件。根据国务院《生产安全事故报告和调查处理条例》的规定，根据生产安全事故造成的人员伤亡或直接经济损失，事故分为四个等级：特别重大事故、重大事故、较大事故、一般事故。三是保障人民群众生命和财产安安全。通过立法，强化生产经营单位主体责任，重视安全生产，防止和减少生产安全事故，其根本目的，还是为了保障人民群众的生命和财产安全。四是促进经济社会持续健康发展。安全生产是安全与生产的统一，其宗旨是安全促进生产，生产必须安全。安全生产与经济发展应当同步，并要促进经济社会持续健康发展。
第二条在中华人民共和国领域内从事生产经营活动的单位(以下统称生产经营单位)的安全生产，适用本法;有关法律、行政法规对消防安全和道路交通安全、铁路交通安全、水上交通安全、民用航空安全以及核与辐射安全、特种设备安全另有规定的，适用其规定。 解读：这条是适用范围。凡在中华人民共和国领域内从事生产经营活动的单位，一切合法或非法从事生产经营活动的企业、事业单位和个体经济组织及其他组织，不论其性质如何、规模大小，只要从事生产经营活动，都应适应本法。 本法的调整事项，是生产经营活动中的安全问题。这里讲的“生产经营活动”，既包括资源的开采活动、各种产品的加工、制作活动，也包括各类工程建设和商业、娱乐业及其他服务业的经营活动。公共场所集会活动的安全问题等，不属本法调整范围。 另外，消防安全，道路、铁路、水运、空运等交通运输安全，核与辐射安全，特种设备安全等适用专门的法律和行政法规调理。但对于一些安全生产方面的问题，专门的法律法规未作规定的，适用本法的规定。 第三条安全生产工作应当以人为本，坚持安全发展，坚持安全第一、预防为主、综合治理的方针，强化和落实生产经营单位的主体责任，建立生产经营单位负责、职工参与、政府监管、行业自律和社会监督的机制。 解读：这条是安全生产工作方针和工作机制。以人为本，坚持安全发展，是安全生产工作的新理念。“安全第一、预防为主、综合治理”是安全生产工作方针。生产经营单位的主体责任，指生产经营单位依照法
服务器安全使用指引规范 撰写：杨胜灵 日期：2007/01/22 为了确保服务器安全、服务器性能以及服务器连接带宽，提高机房资源使用效率，提升客户满意度，特制定此服务器使用指引规范。 1,服务器范围 机房服务器是指公司所需要提供服务的所有客户的网络设备，不仅包括公司电信机房的服务器、交换机、带宽等，还包括部署有公司产品的客户自建机房的服务器。 2,服务器管理 服务器由专人管理，负责服务器的日常安全、数据备份、例行检查、域名解析、项目部署(研发人员指导支撑)、网络分析、带宽管理、设备扩容等，需要两名责任人，每个责任人负责制定各自负责领域的详细执行细则； 第一名责任人由客服中心王元超承担，负责服务器数据备份、日常运行情况监控、例行检查、域名解析、网络分析、带宽管理、设备扩容等； 第二名责任人由研发人员承担，负责服务器的系统配置、日常项目的发布部署等；目前暂定由王嵛田同志整理具体执行细则； 3,服务器使用 3.1,使用原则： 1)责任人统一管理服务器账号密码；除责任人授权外，其它任何人不允许拥有服务器账号 密码信息。 2)中小企业网站，逐步迁移到阿里云服务器等专业托管商；带宽分流，减少使用成本； 3)政府类项目根据情况，需要独享服务器的尽量推荐使用独享服务器；后续根据访问流量， 该收费的需要收费；避免公司买单，客户无偿、无限制使用，影响其它付费优质客户的使用。 4)研发测试类、临时演示类项目使用单独服务器，不允许放到正式服务器，避免运营商封 闭IP。责任人可以给每个技术部门负责人创建账号，并对账号进行管理和监控； 5)数据库服务器，如果条件可行，单独配置专用服务器，同其它应用服务分开；避免性能 问题。
服务器主机安全规范 启用防火墙 阿里云windows Server 2008 R2默认居然没有启用防火墙。2012可能也是这样的，不过这个一定要检查！ 补丁更新 启用windows更新服务，设置为自动更新状态，以便及时打补丁。 阿里云windows Server 2008 R2默认为自动更新状态，2012可能也是这样的，不过这个一定要检查！ 账号口令 优化账号 口令策略
网络服务 优化服务（1） 操作目的关闭不需要的服务，减小风险 加固方法“Win+R”键调出“运行”->services.msc，以下服务改为禁用： Application Layer Gateway Service（为应用程序级协议插件提供支持并启用网 络/协议连接） Background Intelligent Transfer Service（利用空闲的网络带宽在后台传输文 件。如果服务被停用，例如Windows Update 和 MSN Explorer的功能将无法自动 下载程序和其他信息） Computer Browser（维护网络上计算机的更新列表，并将列表提供给计算机指定浏 览） DHCP Client Diagnostic Policy Service Distributed Transaction Coordinator DNS Client Distributed Link Tracking Client Remote Registry（使远程用户能修改此计算机上的注册表设置） Print Spooler（管理所有本地和网络打印队列及控制所有打印工作） Server（不使用文件共享可以关闭，关闭后再右键点某个磁盘选属性，“共享”这个 页面就不存在了） Shell Hardware Detection TCP/IP NetBIOS Helper（提供 TCP/IP (NetBT) 服务上的NetBIOS 和网络 上客户端的NetBIOS 名称解析的支持，从而使用户能够共享文件、打印和登录到网 络）
WebSphere Web服务器 安全配置基线 中国移动通信有限公司管理信息系统部 2012年 04月
备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (4) 1.1目的 (4) 1.2适用范围 (4) 1.3适用版本 (4) 1.4实施 (4) 1.5例外条款 (4) 第2章帐号管理、认证授权 (5) 2.1帐号 (5) 2.1.1应用程序角色 (5) 2.1.2控制台帐号安全 (5) 2.1.3口令管理 (6) 2.1.4密码复杂度 (6) 2.2认证授权 (7) 2.2.1控制台安全 (7) 2.2.2全局安全性与Java2安全 (7) 第3章日志配置操作 (9) 3.1日志配置 (9) 3.1.1日志与记录 (9) 第4章备份容错 (10) 4.1备份容错 (10) 第5章设备其他配置操作 (11) 5.1安全管理 (11) 5.1.1控制台超时设置 (11) 5.1.2示例程序删除 (11) 5.1.3错误页面处理 (12) 5.1.4文件访问限制 (12) 5.1.5目录列出访问限制 (13) 5.1.6控制目录权限 (13) 5.1.7补丁管理* (13) 第6章评审与修订 (15)
第1章概述 1.1目的 本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的WebSphere Web 服务器应当遵循的安全性设置标准，本文档旨在指导系统管理人员进行WebSphere Web服务器的安全配置。 1.2适用范围 本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。 本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的WebSphere Web服务器系统。 1.3适用版本 6.x版本的WebSphere Web服务器。 1.4实施 本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。 本标准发布之日起生效。 1.5例外条款 欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。
Apache服务器配置安全规范以及其缺陷！正如我们前言所说尽管Apache服务器应用最为广泛，设计上非常安全的程序。但是同其它应用程序一样，Apache也存在安全缺陷。毕竟它是完全源代码，Apache服务器的安全缺陷主要是使用HTTP 协议进行的拒绝服务攻击(denial of service)、缓冲区溢出攻击以及被攻击者获得root权限三缺陷和最新的恶意的攻击者进行拒绝服务(DoS)攻击。合理的网络配置能够保护Apache服务器免遭多种攻击。我们来介绍一下主要的安全缺陷。主要安全缺陷（1）使用HTTP协议进行的拒绝服务攻击(denial of service)的安全缺陷这种方法攻击者会通过某些手段使服务器拒绝对HTTP应答。这样会使Apache对系统资源(CPU时间和内存)需求的剧增，最终造成Apache系统变慢甚至完全瘫痪。（2）缓冲区溢出的安全缺陷该方法攻击者利用程序编写的一些缺陷，使程序偏离正常的流程。程序使用静态分配的内存保存请求数据，攻击者就可以发送一个超长请求使缓冲区溢出。（3）被攻击者获得root权限的安全缺陷该安全缺陷主要是因为Apache服务器一般以root权限运行(父进程)，攻击者会通过它获得root权限，进而控制整个Apache系统。（4）恶意的攻击者进行拒绝服务(DoS)攻击的安全缺陷这个最新在6月17日发现的漏洞，它主要是存在于Apache的chunk encoding中，这是一个HTTP协议定义的用于接受web用户所提交数据的功能。所有说使用最高和最新安全版本对于加强Apache Web服务器的安全是至关重要的。正确维护和配置Apache服务器虽然Apache服务器的开发者非常注重安全性，由于Apache服务器其庞大的项目，难免会存在安全隐患。正确维护和配置Apache WEB服务器就很重要了。我们应注意的一些问题：（1）Apache服务器配置文件Apache Web服务器主要有三个配置文件，位于 /usr/local/apache/conf目录下。这三个文件是：httpd.conf-----主配置文件srm.conf------填加资源文件access.conf---设置文件的访问权限（2）Apache服务器的目录安全认证在Apache Server中是允许使用 .htaccess做目录安全保护的，欲读取这保护的目录需要先键入正确用户帐号与密码。这样可做为专门管理网页存放的目录或做为会员区等。在保护的目录放置一个档案，档名为.htaccss。AuthName 会员专区 AuthType BasicAuthUserFile /var/tmp/xxx.pw -----把password放在网站外 require valid-user 到apache/bin目录，建password档 % ./htpasswd -c /var/tmp/xxx.pw username1 -----第一次建档要用参数-c % /htpasswd /var/tmp/xxx.pw username2 这样就可以保护目录内的内容，进入要用合法的用户。注：采用了Apache内附的模组。也可以采用在httpd.conf中加入：options indexes followsymlinks allowoverride authconfig order allow,deny allow from all （3）Apache服务器访问控制我们就要看三个配置文件中的第三个文件了，即access.conf文件，它包含一些指令控制允许什么用户访问Apache目录。应该把deny from all设为初始化指令，再使用allow from指令打开访问权限。order deny,allowdeny from allallow from https://www.doczj.com/doc/f17663239.html, 设置允许来自某个域、IP地址或者IP段的访问。（4）Apache服务器的密码保护问题我们再使 用.htaccess文件把某个目录的访问权限赋予某个用户。系统管理员需要在httpd.conf或者rm.conf文件中使用 AccessFileName指令打开目录的访问控制。如：AuthName PrivateFilesAuthType BasicAuthUserFile /path/to/httpd/usersrequire Phoenix# htpasswd -c /path/to/httpd/users Phoenix设置Apache服务器的WEB和文件服务器我们在Apache服务器上存放WEB 服务器的文件，供用户访问，并设置/home/ftp/pub目录为文件存放区域，用
WEB 服务器硬件配置方案 一、入门级常规服务器硬配置方案： 备注：作为WEB服务器，首先要保证不间断电源，机房要控制好相对温度和湿度。这里有额外配置的UPS不间断电源和稳压器，此服务器配置能胜基本的WEB请求服务，如大量的数据交换，文件读写，可能会存在带宽瓶颈。 二、顶级服务器配置方案
备注： 1，系统支持Windows Server 2003 R2 Enterprise Edition、Windows Server 2003 R2 Web Edition、Windows Server 2003 R2 x64 Enterprise Edition、Windows Server 2003 R2 x64 Standard Edition、Windows Storage Server 2003 R2 Workgroup Edition 2，工作环境：相对工作温度10℃-35℃，相对工作湿度20%-80% 无冷凝，相对存储温度-40℃-65℃，相对湿度5%-95% 无冷凝 3，以上配置为统一硬件配置，为DELL系列服务器标准配置，参考价位￥13000 WEB 服务器软件配置和安全配置方案 一、系统的安装 １、按照Windows2003安装光盘的提示安装，默认情况下2003没有把IIS6.0安装在系统里面。 ２、IIS6.0的安装 开始菜单—>控制面板—>添加或删除程序—>添加/删除Windows组件 应用程序———https://www.doczj.com/doc/f17663239.html,（可选） |——启用网络COM+ 访问（必选）
|——Internet 信息服务(IIS)———Internet 信息服务管理器（必选） |——公用文件（必选） |——万维网服务———Active Server pages（必选） |——Internet 数据连接器（可选） |——WebDAV 发布（可选） |——万维网服务（必选） |——在服务器端的包含文件（可选） 然后点击确定—>下一步安装。 ３、系统补丁的更新 点击开始菜单—>所有程序—>Windows Update 按照提示进行补丁的安装。 ４、备份系统 用GHOST备份系统。 ５、安装常用的软件 例如：杀毒软件、解压缩软件等；安装之后用GHOST再次备份系统。 二、系统权限的设置 １、磁盘权限 系统盘及所有磁盘只给Administrators 组和SYSTEM 的完全控制权限 系统盘\Documents and Settings 目录只给Administrators 组和SYSTEM 的完全控制权限 系统盘\Documents and Settings\All Users 目录只给Administrators 组和SYSTEM 的完全控制权限 系统盘\Inetpub 目录及下面所有目录、文件只给Administrators 组和SYSTEM 的完全控制权限 系统盘\Windows\System32\cacls.exe、cmd.exe、net.exe、net1.exe 文件只给Administrators 组和SYSTEM 的完全控制权限 ２、本地安全策略设置 开始菜单—>管理工具—>本地安全策略 A、本地策略——>审核策略 审核策略更改成功失败 审核登录事件成功失败 审核对象访问失败 审核过程跟踪无审核 审核目录服务访问失败 审核特权使用失败 审核系统事件成功失败 审核账户登录事件成功失败 审核账户管理成功失败 B、本地策略——>用户权限分配 关闭系统：只有Administrators组、其它全部删除。 通过终端服务拒绝登陆：加入Guests、User组 通过终端服务允许登陆：只加入Administrators组，其他全部删除 C、本地策略——>安全选项 交互式登陆：不显示上次的用户名启用 网络访问：不允许SAM帐户和共享的匿名枚举启用 网络访问：不允许为网络身份验证储存凭证启用 网络访问：可匿名访问的共享全部删除
2016安全生产法全文（最新修订版）《安全生产法》的颁布为保护劳动者的安全健康提供法律保障，进一步加强安全生产责任的法制化管理，指导和推动安全生产工作的发展，促进企业安全生产，同时推动生产力的发展，保证企业效益的实现和国家经济建设事业的顺利发展。下面就跟小编一起来看看具体的内容吧! 第一条为了加强安全生产工作，防止和减少生产安全事故，保障人民群众生命和财产安全，促进经济社会持续健康发展，制定本法。 第二条在中华人民共和国领域内从事生产经营活动的单位(以下统称生产经营单位)的安全生产及其监督管理，适用本法;有关法律、行政法规对消防安全和道路交通安全、铁路交通安全、水上交通安全、民用航空安全以及核与辐射安全、特种设备安全另有规定的，适用其规定。 第三条安全生产工作应当以人为本，坚持安全发展，坚持安全第一、预防为主、综合治理的方针，强化和落实生产经营单位的主体责任，建立生产经营单位负责、职工参与、政府监管、行业自律和社会监督的机制。 第四条生产经营单位必须遵守本法和其他有关安全生产的法律、法规，加强安全生产管理，建立、健全安全生产责任制和安全生产规章制度，改善安全生产条件，推进安
全生产标准化建设，提高安全生产水平，确保安全生产。” 第五条生产经营单位的主要负责人对本单位的安全生产工作全面负责。 第六条生产经营单位的从业人员有依法获得安全生产保障的权利，并应当依法履行安全生产方面的义务。 第七条工会依法对安全生产工作进行监督。生产经营单位的工会依法组织职工参加本单位安全生产工作的民主管理和民主监督，维护职工在安全生产方面的合法权益。生产经营单位制定或者修改有关安全生产的规章制度，应当听取工会的意见。 第八条国务院和县级以上地方各级人民政府应当根据国民经济和社会发展规划制定安全生产规划，并组织实施。安全生产规划应当与城乡规划相衔接。 “国务院和县级以上地方各级人民政府应当加强对安全生产工作的领导，支持、督促各有关部门依法履行安全生产监督管理职责，建立健全安全生产工作协调机制，及时协调、解决安全生产监督管理中存在的重大问题。 “乡、镇人民政府以及街道办事处、开发区管理机构等地方人民政府的派出机关应当按照职责，加强对本行政区域内生产经营单位安全生产状况的监督检查，协助上级人民政府有关部门依法履行安全生产监督管理职责。 第九条国务院安全生产监督管理部门依照本法，对全
2003服务器系统安全配置-中级安全配置 08-06-16 05:27 发表于：《玉色主流空间》分类：未分类 [作者：墨鱼来源：互联网时间：2008-6-14QQ书签搜藏]【大中小】 2003服务器系统安全配置-中级安全配置！做好此教程的设置可防御一般 入侵，需要高级服务器安全维护，请联系我。我们一起交流一下！做为一 个网管，应该在处理WEB服务器或者其他服务器的时候配合程序本身或者 代码本身去防止其他入侵，例如跨站等等！前提，系统包括软件服务等的 密码一定要强壮！ 服务器安全设置 1.系统盘和站点放置盘必须设置为NTFS格式,方便设置权限. 2.系统盘和站点放置盘除administrators 和system的用户权限全部去 除. 3.启用windows自带防火墙,只保留有用的端口,比如远程和 Web,Ftp(3389,80,21)等等,有邮件服务器的还要打开25和130端口.
4.安装好SQL后进入目录搜索 xplog70 然后将找到的三个文件改名或者删除.
5.更改sa密码为你都不知道的超长密码,在任何情况下都不要用sa这个帐户. 6.改名系统默认帐户名并新建一个Administrator帐户作为陷阱帐户,设置超长密码,并去掉所有用户组.(就是在用户组那里设置为空即可.让这个帐号不属于任何用户组)同样改名禁用掉Guest用户.
7.配置帐户锁定策略(在运行中输入gpedit.msc回车，打开组策略编辑器，选择计算机配置-Windows设置-安全设置-账户策略-账户锁定策略，将账户设为“三次登陆无效”，“锁定时间30分钟”，“复位锁定计数设为30分钟”。) 8.在安全设置里本地策略-安全选项将 网络访问:可匿名访问的共享 ; 网络访问:可匿名访问的命名管道 ; 网络访问:可远程访问的注册表路径 ; 网络访问:可远程访问的注册表路径和子路径 ; 以上四项清空.
Web服务器安全标准 前言和文档控制 此文档是西安石油大学制定发布的有关信息安全政策规定、处理流程、行业标准和指导意见的系列文档之一。该文档应保证至少一年审核一次，以保证其有效性。 在没有得到文档发布者的明确授权下，此文档的全部或部分内容，均不得重制或发布。
目录 1目的 (3) 2范围 (3) 3责任 (3) 4Web服务器安全要求 (3) 4.1总则 (3) 4.2网络安全 (3) 4.3流量过滤 (3) 4.4合规性 (4) 4.5数据保护 (4) 4.6输入和输出管理 (4) 4.7安全代码/应用/插件 (4)
1目的 发布本文档所列标准的目的是为了保护学校网站和相关信息资产。本标准的目标是为了确保： ●按照现有最佳的实践经验，在全校统一部署安全控制措施，以消除或者最低限 度的减少系统漏洞和其他安全隐患。 ●学校能在信息安全的完善方面更方便的有据监管、理解风险和评估改进。 ●所有的院系部门和网站开发人员都能了解相应的安全需求 2范围 所列标准适用于学校所有的web网站服务器，包括：学校内部或第三方建设、采购、部署、修改和维护的。具体为： ●所有仅限内部和面向公共的web服务器 ●所有由外部供应商托管的面向公共的web服务器 ●所有通过学校或者代表学校的web服务器建设、采购、部署、修改和维护的 3责任 以下学校实体具体的信息安全责任 ●学校信息化委员会 ●信息安全部门领导 ●信息安全小组应支撑学校满足信息安全功能和防护的各项要求。 ●学院和部门领导对所在部门的信息安全负有义务和责任。 ●Web服务器用户对其处理的信息负有安全责任。 4Web服务器安全要求 4.1总则 4.1.1基于风险分析的深度信息安全防范手段应被采用，包括： 4.1.1.1安全控件在Web服务器的每一层次上都应部署，以避免过度依赖单一 安全防护手段。 4.1.1.2在所有Web服务器上应部署最基本的安全控制措施，以解决常见风险。 4.1.1.3安全控制措施应该是务实的、易于部署、有效和可以衡量的。 4.1.2在虚拟化环境中，所有能考虑到的安全因素都应当适用于主机系统、虚拟机 管理层和虚拟化管理工具。 4.1.3渗透性测试每年至少执行一次，并且在重要系统架构部署、应用升级或修改 后，都应测试。 4.1.4每季度应执行一次漏洞扫描。 4.2网络安全 4.2.1安全控制措施应涵盖每一个活跃版本的网络协议，包括IPv4和IPv6。 4.2.2Web服务器都应分配相应的静态IP地址，除了需要部署动态域名系统技术以 实现负载均衡的服务器。 4.2.3只使用唯一可信的授权DNS来源，避免受到DNS劫持和攻击。 4.2.4所有的非console口管理员级别的访问应使用高强度加密手段进行加密。 4.3流量过滤 4.3.1只有从Internet到特定的IP地址和授权的公共可用服务、协议和端口的入 站流量是允许的。 4.3.2从Web服务器的非授权出站流量是禁止的。
数据库服务器对硬件配置的五个要求 【来源：小鸟云计算】 小鸟云- 企业级云服务器、虚拟主机、服务器租用托管服务提供商 说了这么多数据库的重要性，那么如何挑选一款可靠的，稳定的数据库服务器呢？我们从五个方面入手，帮助您系统的了解数据库服务器对服务器硬件有哪些要求。 选择数据库服务器的五个原则： 1)高性能原则 保证所选购的服务器，不仅能够满足运营系统的运行和业务处理的需要，而且能够满足一定时期业务量的增长。一般可以根据经验公式计算出所需的服务器TpmC值(Tpmc是衡量计算机系统的事务处理能力的程序)，然后比较各服务器厂商和TPC组织公布的TpmC值，选择相应的机型。同时，用服务器的市场价/报价除去计算出来的TpmC值得出单位TpmC值的价格，进而选择高性能价格比的服务器。 结论：服务器处理器性能很关键，CPU的主频要高，要有较大的缓存 2)可靠性原则 可靠性原则是所有选择设备和系统中首要考虑的，尤其是在大型的、有大量处理要求的、需要长期运行的系统上。考虑服务器系统的可靠性，不仅要考虑服务器单个节点的可靠性或稳定性，而且要考虑服务器与相关辅助系统之间连接的整体可靠性，如：网络系统、安全系统、远程打印系统等。在必要时，还应考虑对关键服务器采用集群技术，如：双机热备份或集群
并行访问技术，甚至采用可能的完全容错机。 结论：服务器要具备冗余技术，同时像硬盘、网卡、内存、电源此类设备要以稳定耐用为主，性能其次。 3)可扩展性原则 保证所选购的服务器具有优秀的可扩展性原则。因为服务器是所有系统处理的核心，要求具有大数据吞吐速率，包括：I/O速率和网络通讯速率，而且服务器需要能够处理一定时期的业务发展所带来的数据量，需要服务器能够在相应时间对其自身根据业务发展的需要进行相应的升级，如：CPU型号升级、内存扩大、硬盘扩大、更换网卡、增加终端数目、挂接磁盘阵列或与其他服务器组成对集中数据的并发访问的集群系统等。这都需要所选购的服务器在整体上具有一个良好的可扩充余地。一般数据库和计费应用服务器在大型计费系统的设计中就会采用集群方式来增加可靠性，其中挂接的磁盘存储系统，根据数据量和投资考虑，可以采用DAS、NAS或SAN等实现技术。 结论：服务器的IO要高，否则在CPU和内存都是高性能的情况下，会出现瓶颈。除此之外，服务器的扩展性要好，为的是满足企业在日后发展的需要。 4)安全性原则 服务器处理的大都是相关系统的核心数据，其上存放和运行着关键的交易和重要的数据。这些交易和数据对于拥有者来说是一笔重要的资产，他们的安全性就非常敏感。服务器的安全性与系统的整体安全性密不可分，如：网络系统的安全、数据加密、密码体制等。服务器需要在其自身，包括软硬件，都应该从安全的角度上设计考虑，在借助于外界的安全设施保障下，更要保证本身的高安全性。