服务器本地安全策略设置

Win 2003 Server 服务器安全设置（七）服务器安全设置之--本地安全策略设置
安全策略自动更新命令：GPUpdate /force (应用组策略自动生效不需重新启动) 开始菜单—>管理工具—>本地安全策略
A、本地策略——>审核策略
审核策略更改成功失败
审核登录事件成功失败
审核对象访问失败
审核过程跟踪无审核
审核目录服务访问失败
审核特权使用失败
审核系统事件成功失败
审核账户登录事件成功失败
审核账户管理成功失败
B、本地策略——>用户权限分配
关闭系统：只有Administrators组、其它全部删除。

通过终端服务拒绝登陆：加入Guests、User组
通过终端服务允许登陆：只加入Administrators组，其他全部删除
C、本地策略——>安全选项
交互式登陆：不显示上次的用户名启用
网络访问：不允许SAM帐户和共享的匿名枚举启用
网络访问：不允许为网络身份验证储存凭证启用
网络访问：可匿名访问的共享全部删除
网络访问：可匿名访问的命全部删除
网络访问：可远程访问的注册表路径全部删除
网络访问：可远程访问的注册表路径和子路径全部删除
帐户：重命名来宾帐户重命名一个帐户
帐户：重命名系统管理员帐户重命名一个帐户。

策略安全‎设置DC‎O M: 安‎全描述符定‎义语言(S‎D DL)语‎法中的计算‎机访问限制‎没有定义‎DCOM‎:安全描‎述符定义语‎言(SDD‎L)语法中‎的计算机启‎动限制没‎有定义M‎i cros‎o ft 网‎络服务器:‎当登录时‎间用完时自‎动注销用户‎已启用‎M icro‎s oft ‎网络服务器‎:数字签‎字的通信（‎若客户同意‎）已停用‎Micr‎o soft‎网络服务‎器: 数字‎签字的通信‎（总是）‎已停用M‎i cros‎o ft 网‎络服务器:‎在挂起会‎话之前所需‎的空闲时间‎15 分‎钟Mic‎r osof‎t网络客‎户: 发送‎未加密的密‎码到第三方‎SMB ‎服务器。

‎已停用M‎i cros‎o ft 网‎络客户: ‎数字签字的‎通信（若服‎务器同意）‎已启用‎M icro‎s oft ‎网络客户:‎数字签字‎的通信（总‎是）已停‎用故障恢‎复控制台:‎允许对所‎有驱动器和‎文件夹进行‎软盘复制和‎访问已停‎用故障恢‎复控制台:‎允许自动‎系统管理级‎登录已停‎用关机:‎清理虚拟‎内存页面文‎件已停用‎关机: ‎允许在未登‎录前关机‎已启用交‎互式登录:‎不显示上‎次的用户名‎已停用‎交互式登录‎:不需要‎按 CTR‎L+ALT‎+DEL ‎没有定义‎交互式登录‎:会话锁‎定时显示用‎户信息没‎有定义交‎互式登录:‎可被缓冲‎保存的前次‎登录个数‎(在域控制‎器不可用的‎情况下) ‎10 次登‎录交互式‎登录: 要‎求域控制器‎身份验证以‎脱离工作站‎已停用‎交互式登录‎:要求智‎能卡没有‎定义交互‎式登录: ‎用户试图登‎录时消息标‎题没有定‎义交互式‎登录: 用‎户试图登录‎时消息文字‎交互式‎登录: 在‎密码到期前‎提示用户更‎改密码1‎4天交‎互式登录:‎智能卡移‎除操作无‎操作设备‎:防止用‎户安装打印‎机驱动程序‎已停用‎设备: 未‎签名驱动程‎序的安装操‎作默认继‎续设备‎:允许不‎登录脱离‎已启用设‎备: 允许‎格式化和弹‎出可移动媒‎体Adm‎i nist‎r ator‎s设备:‎只有本地‎登录的用户‎才能访问‎C D-RO‎M已停用‎设备: ‎只有本地登‎录的用户才‎能访问软盘‎已停用‎审计: 对‎备份和还原‎权限的使用‎进行审计‎已停用审‎计: 对全‎局系统对象‎的访问进行‎审计已停‎用审计:‎如果无法‎纪录安全审‎计则立即关‎闭系统已‎停用网络‎安全: L‎A N Ma‎n ager‎身份验证‎级别发送‎LM &‎NTLM‎响应网‎络安全: ‎L DAP ‎客户签名要‎求协商签‎名网络安‎全: 不要‎在下次更改‎密码时存储‎LAN ‎M anag‎e r 的‎H ash ‎值已停用‎网络安全‎:在超过‎登录时间后‎强制注销‎已停用网‎络安全设置‎:基于‎N TLM ‎S SP(包‎括安全 R‎P C)服务‎器的最小会‎话安全没‎有最小网‎络安全设置‎:基于‎N TLM ‎S SP(包‎括安全 R‎P C)客户‎的最小会话‎安全没有‎最小网络‎访问: 本‎地帐户的共‎享和安全模‎式经典‎-本地用‎户以自己的‎身份验证‎网络访问:‎不允许‎S AM 帐‎户的匿名枚‎举已启用‎网络访问‎:不允许‎SAM ‎帐户和共享‎的匿名枚举‎已停用‎网络访问:‎不允许为‎网络身份验‎证储存凭据‎或 .NE‎T Pas‎s port‎s已停用‎网络访问‎:可匿名‎访问的共享‎COMC‎F G,DF‎S$网络‎访问: 可‎匿名访问的‎命名管道‎C OMNA‎P,COM‎N ODE,‎S QL\Q‎U ERY,‎S POOL‎S S,LL‎S RPC,‎b rows‎e r网络‎访问: 可‎远程访问的‎注册表路径‎Syst‎e m\Cu‎r rent‎C ontr‎o lSet‎\Cont‎r ol\P‎r oduc‎t Opti‎o ns,S‎y stem‎\Curr‎e ntCo‎n trol‎S et\C‎o ntro‎l\Pri‎n t\Pr‎i nter‎s,Sys‎t em\C‎u rren‎t Cont‎r olSe‎t\Con‎t rol\‎S erve‎rApp‎l icat‎i ons,‎S yste‎m\Cur‎r entC‎o ntro‎l Set\‎S ervi‎c es\E‎v entl‎o g,So‎f twar‎e\Mic‎r osof‎t\OLA‎P Ser‎v er,S‎o ftwa‎r e\Mi‎c roso‎f t\Wi‎n dows‎NT\C‎u rren‎t Vers‎i on,S‎y stem‎\Curr‎e ntCo‎n trol‎S et\C‎o ntro‎l\Con‎t entI‎n dex,‎S yste‎m\Cur‎r entC‎o n tro‎l Set\‎C ontr‎o l\Te‎r mina‎l Ser‎v er,S‎y stem‎\Curr‎e ntCo‎n trol‎S et\C‎o ntro‎l\Ter‎m inal‎Serv‎e r\Us‎e rCon‎f ig,S‎y stem‎\Curr‎e ntCo‎n trol‎S et\C‎o ntro‎l\Ter‎m inal‎Serv‎e r\De‎f ault‎U serC‎o nfig‎u rati‎o n网络‎访问: 让‎“每个人”‎权限应用于‎匿名用户‎已停用网‎络访问: ‎允许匿名‎S ID/名‎称转换‎已停用系‎统对象: ‎对非 Wi‎n dows‎子系统不‎要求区分大‎小写已启‎用系统对‎象: 由‎A dmin‎i stra‎t ors ‎组成员所创‎建的对象默‎认所有者‎O bjec‎t cre‎a tor‎系统对象:‎增强内部‎系统对象的‎默认权限‎(例如 S‎y mbol‎i c Li‎n ks) ‎已启用系‎统加密: ‎使用 FI‎P S 兼容‎的算法来加‎密，散列和‎签名已停‎用域成员‎:对安全‎通道数据进‎行数字加密‎(如果可‎能) 已启‎用域成员‎:对安全‎通道数据进‎行数字加密‎或签名 (‎总是) 已‎启用域成‎员: 对安‎全通道数据‎进行数字签‎名 (如果‎可能) 已‎启用域成‎员: 需要‎强 (Wi‎n dows‎2000‎或以上版‎本) 会话‎密钥已停‎用域控制‎器: LD‎A P 服务‎器签名要求‎没有定义‎域控制器‎:禁用更‎改机器帐户‎密码已停‎用域控制‎器: 拒绝‎更改机器帐‎户密码没‎有定义域‎控制器: ‎允许服务器‎操作员计划‎任务没有‎定义域控‎制器: 最‎长机器帐户‎密码寿命‎30 天‎帐户: 管‎理员帐户状‎态已启用‎帐户: ‎来宾帐户状‎态已停用‎帐户: ‎使用空白密‎码的本地帐‎户只允许进‎行控制台登‎录已启用‎帐户: ‎重命名来宾‎帐户Gu‎e st帐‎户: 重命‎名系统管理‎员帐户u‎s er‎。

实验七设置安全策略实验背景某公司所有员工的初始密码为benet2.管理员担心公司员工更改的密码过于简单,容易被扫描软件扫描扫到,同时管理员担心用户长久不更改密码影响安全性.对于公司域控制器,管理员需要验证都有谁在什么时候登录.有人反应公司的文件服务器上的资料有丢失现象,管理员需要查找是否有人有意的删除文件.由于域用户帐号一旦登录域内成员主机成功,访问文件服务器不在需要做身份验证,为了放置有人恶意尝试用户密码,公司要求所有员工有三次输入密码机会,三次输入错误自动锁定帐号.试行一段时间后很多人帐号经常锁定,不得不频繁找管理员,管理员需设定用户帐号的30分钟自动解锁.公司有人反应访问加入域后,用域用户帐号登录后不能自动关机,公司要求所有员工下班必须关机离开,管理员解决这个问题.有部分输入domain users组的员工需要登录域控制器,可这些员工反应他们无法登录域控制器,管理员解决这个问题文件服务器公司要求所有员工可以网络访问,但不可以对文件服务器本地登录,公司要求管理员完成,并对文件服务器做登录审核.对于文件服务器,公司要求本地登录成功后需要提示：标题：重要警告 ,内容：服务器重地,请不要做任何删除和剪切.实验目标1 所有域用户帐号在设置密码时,必须符合复杂密码要求,密码长度至少7位,密码必须每60天更新一次2 设置三次密码锁定,设置锁定复位时间30分钟.3 为域控制器启动帐号的登录审核,对文件服务器启动对象审核4 把域用户帐号加入关闭系统,保证可以下班关机5 把域用户帐号加入本地登录安全策略6 文件服务器上把所有的用户帐号加入拒绝网络访问,对文件服务器启动审核7 对文件服务器设置登录提示实验环境1 一人一组2 准备2台Windows Server 2003 虚拟机1台域控制器,1台成员主机3 实验网络为/24实验步骤：1 在域控制器上完成以域管理员登录域控制器,设置域安全策略 gpupdate更新域安全策略创建用户帐号test重启成员主机,用test帐号登录输入简单密码123输入正确密码2 在域控制器上以域管理员登录更新域测试重新启动成员主机,故意输入密码3次错误输入正确密码,帐号已经被锁定思考：test帐号即使用正确密码都没有办法登录,目前用什么方法可以让test帐号马上登录成功.在test帐号锁定的状态下,如果在另外一个域内的成员主机上用test登录,可以登录成功吗3 域管理员在域控制器上设置域控制器安全策略的登录审核利用gpupdate更新策略.登录域控制器查看结果查看登录日志思考：如果域管理员administrator登录成员主机,会有日志结果吗.域管理员在域控制器上设置域安全策略在文件服务器上对公司资料设置everyone审核以test帐号登录文件服务器,删除文件,查看结果思考,用test帐号本身可以查看事务日志吗4 用域用户帐号test在成员主机上登录,关机结果为域管理员在域控制器上设置域安全策略gpupdate更新策略重新启动成员成员主机,用test帐号登录,可关机以test帐号在域控制器上登录域管理员在域控制器设置域控制器安全策略更新策略重新启动域控制器,用test登录验证结果6 尝试网络登录文件服务器,可以成功域管理员在域控制器上设置域安全策略拒绝网络访问更新策略重新启动成员主机,验证结果7 域管理员设置文件服务器的本地策略注销文件服务器,登录查看结果实验问题1 密码策略包含哪些选项2账户锁定策略哪些选项3本地安全策略,域控制器安全策略,域安全策略三种策略之间的关系,及各自生效的范围.成员计算机和域的设置项冲突时,什么策略生效域控制器和域的设置项冲突时,什么策略生效4审核策略包含哪些内容5审核文件及文件夹主要步骤有哪些6 域管理员登录文件服务器,他发现帐号策略,和密码策略为不可设置状态,为什么会这样,7 用户每次登录都会显示上次登录帐号,如何取消以加强安全性.工作组模式下,文件服务器帐号小王为空密码,小王发现登录系统后无法用小王访问文件服务器,如何解决这道题目为可选答题,基础好的同学思考回答。

WindowsServer2008配置系统安全策略下⾯学习Windows Server 2008配置系统安全策略在⼯作组中的计算机本地安全策略有⽤户策略，密码策略，密码过期默认42天服务账户设置成永不过期，帐户锁定策略，本地策略，审核策略，计算机记录哪些安全事件最后在域环境中使⽤组策略配置计算机安全。

1.在⼯作组中的安全策略，打开本地安全策略。

2.打开本地安全策略之后选择密码策略，可以看到有很多的策略，先看第⼀个密码复杂性要求。

3.打开密码必须符合复杂性要求，默认是打开的，我们在设置密码的时候，不能设置纯数字或者纯字母，必须要有数字加⼤⼩写。

4.密码长度最⼩值，这个是设置密码最低⼩于⼏位数，默认是0，这⾥修改为6位，在设置密码的时候必须满⾜6位，包括数字字母⼤⼩写或者特殊符号。

5.密码最短使⽤期限，默认是0天这⾥设置为30天，在30天不会提⽰你修改密码，必须要使⽤30天才能改密码。

6.密码最长使⽤期限，默认是42天，这⾥修改为60天超过60天之后会提⽰让你修改密码。

7.强制密码历史，这个选项是你修改密码时不能⼀样，默认是0，这⾥设置为3次，修改3次密码之后才能修改回第⼀次使⽤的密码。

8.打开账户锁定策略，账户锁定值默认是0次，可以设置5次超过5次就会把这个账户锁定，为了防⽌别⼈⼊侵你的电脑，等待半个⼩时之后就会⾃动解锁，或者联系管理员⾃动解锁。

9.账号锁定时间，默认是30分钟⾃动解锁，也可以⾃⼰修改，这⾥修改为3分钟⾃动解锁。

10.现在lisi这个⽤户输错五次密码，就算输⼊正确的密码，提⽰账户已锁定，⽆法登录。

11.打开服务器管理器，选择本地⽤户和组，可以查看lisi这个⽤户，输错5次密码之后账户已锁定，管理员可以⼿动把这个勾去掉，然后确定就能登⼊了，或者lisi这个⽤户等待3分钟之后账户会⾃动解锁。

12.打开本地策略，选择审核登录事件，默认是⽆审核，这⾥我勾选成功跟失败，然后确定。

13.打开事件查看器，选择安全把⾥⾯的事件先全部删除，然后使⽤lisi远程登录到这台计算机。

服务器防火墙策略设置及调优技巧随着互联网的快速发展，服务器安全问题日益凸显，而防火墙作为保护服务器安全的重要工具，扮演着至关重要的角色。

正确设置和调优防火墙策略，可以有效防范各类网络攻击，保障服务器的正常运行。

本文将介绍服务器防火墙策略设置及调优技巧，帮助管理员更好地保护服务器安全。

一、防火墙策略设置1. 确定安全策略：在设置防火墙策略之前，首先需要明确服务器的安全需求，包括允许的网络流量类型、禁止的网络流量类型等。

根据实际情况，确定安全策略，为后续的设置奠定基础。

2. 划分安全区域：将服务器所在的网络环境划分为不同的安全区域，根据安全级别的不同设置相应的防火墙规则。

通常可以划分为内部区域、DMZ区域和外部区域，分别设置相应的访问控制规则。

3. 设置访问控制规则：根据安全策略，设置防火墙的访问控制规则，包括允许的端口、IP地址、协议等。

合理设置规则可以有效控制网络流量，防止未经授权的访问。

4. 定期审查策略：防火墙策略设置不是一次性的工作，管理员需要定期审查策略的有效性，及时调整和优化策略，以应对不断变化的网络安全威胁。

二、防火墙调优技巧1. 合理选择防火墙设备：不同厂商的防火墙设备性能和功能各有不同，管理员需要根据实际需求选择适合的防火墙设备。

同时，注意设备的性能指标，确保其能够满足服务器的安全需求。

2. 优化防火墙规则：防火墙规则数量过多会影响性能，管理员可以对规则进行优化，删除冗余规则，合并相似规则，减少规则匹配次数，提升防火墙性能。

3. 启用日志功能：防火墙的日志功能可以记录网络流量和安全事件，帮助管理员及时发现异常情况。

管理员可以根据日志分析网络流量，及时调整防火墙策略。

4. 配置入侵检测系统：入侵检测系统可以及时发现网络攻击行为，帮助管理员加强对服务器的保护。

管理员可以将入侵检测系统与防火墙结合使用，提升服务器安全性。

5. 定期更新防火墙规则：随着网络安全威胁的不断演变，防火墙规则也需要不断更新。

服务器安全之⼿把⼿教你如何做IP安全策略安全策略IP安全策略，简单的来说就是可以通过做相应的策略来达到放⾏、阻⽌相关的端⼝；放⾏、阻⽌相关的IP，如何做安全策略，⼩编为⼤家详细的写了相关的步骤：解说步骤：阻⽌所有：打开本地安全策略：开始－运⾏－输⼊secpol.msc或者开始－程序－管理⼯具－本地安全策略弹出来的窗⼝中，右击IP安全策略，在本地计算机1.　创建IP安全策略：2.　进⼊配置向导：直接下⼀步3.　直接就命名：IP　安全策略，然后下⼀步4.　“激活默认响应规则”不要勾上，不要勾上，直接下⼀步5.　“编辑属性”前⾯也不要勾上，直接点完成6.　可以看下雏形出来了7.　双击策略，弹出窗⼝IP安全策略属性；去掉“使⽤添加向导”前⾯的勾8.　点击上图中的"添加"出现下图：9.　点击上图中的“添加”弹出以下窗⼝，命名名称为，阻⽌所有，也就是待会下⾯所讲的阻⽌所有的端⼝及IP访问10　.点击上图中的“添加”弹出如下窗⼝：地址我们就都选“任何IP地址”源地址：就是访问的IP地址⽬标地址：就是主机的IP地址11.　设置完地址后再设置协议，可以下拉看到有很多种，这⾥也就设置任意12.　点击上图中的确定，再回到“新规则属性”下⾯，之前设置的是“IP筛选器列表”，现在设置“筛选器操作”13.　我们要添加⼀个阻⽌，先做⼀个阻⽌所有端⼝、IP访问进出的操作，然后再逐个放⾏，这个应该可以理解。

我们先点常规，改个名“阻⽌”，然后确定。

14.　上图确定好后，再看“安全措施”，选中“阻⽌”15.　上图确定后，我们就可以得到如下窗⼝了。

我们会发现有“允许”，有“阻⽌”，这就是我们想要的，我们点击阻⽌；还有就是记得同时也要点上“IP筛选器列表”⾥的“阻⽌所有”不然就没有具体的操作对象了。

16.　上⾯都设置好了，确定好后我们再回到最原始的窗⼝也就是“IP安全策略属性⾥”我们可以看到⼀个“阻⽌所有”的策略了逐个放⾏：这上⾯就是⼀个阻⽌所有的策略了，下⾯我们要逐个放⾏，其实具体过程和上⾯是⼀样的；设置“IP筛选器列表”可以改成允许相关的端⼝，⽐如说“远程”那么默认的远程端⼝就是338917.　还是和“阻⽌所有”⾥⼀样的操作，只不过换成允许远程18.　下⾯就是筛选操作了。