windows服务器安全加固方案

华道数据服务器安全加固方案

设置权限的设置

1. 系统盘权限设置

C:盘的权限

对于C:\WINDOWS目录， 只有Administrators 、SYSTEM用户全部权限，对于CREATOR OWNER 全部(只有子文件夹及文件)，Users 用户默认权限不作修改。要求删除Everyone用户组对其所拥有的权限。

需要删除C:\Documents and Settings\All Users或Default User 中Everyone用户对其访问的权限；

需要删除C:\WINDOWS\PCHealth、C:\windows\Installer目录中Everyone用户对其访问的权限。

2. 应用程序清理

对于我的文档、C盘、D盘中一些非法软件程序、无关数据进行清理；

对于已安装的非法软件进行卸载。

服务的设置

应该禁用下面服务：

1. Computer Browser 维护网络上计算机的最新列表以及提供这个列表；

2. Task scheduler 允许程序在指定时间运行；

3. Removable storage 管理可移动媒体、驱动程序和库；

4. Remote Registry Service 允许远程注册表操作；

5. Print Spooler 将文件加载到内存中以便以后打印。要用打印机的朋友不能禁用这项；

6. Error Reporting Service 收集、存储和向 Microsoft 报告异常应用程序；

7. Help and Support计算机上运行帮助和支持中心；

8. Print Spooler 将文件加载到内存中以便迟后打印；

9. Shell Hardware Detection 为自动播放硬件事件提供通知；

10. TCP/IP NetBIOS Helper 允许对“TCP/IP 上 NetBIOS (NetBT)”服务以及 NetBIOS 名称解析的支持；

Linux操作系统 合理配置应用帐号或用户自建帐号权限；

删除系统中多余的自建帐号；

修改帐号口令，确保系统帐号口令长度和复杂度满足安全要求；

禁用或删除非root的超级用户；

禁止系统伪帐户登录；

限制能够su为root的用户

在不影响业务系统正常运行情况下，停止或禁用与承载业务无关的服务；

屏蔽与承载业务无关的网络端口

配置系统重要文件的访问控制策略，严格限制访问权限（如读、写、执行），避免被普通修改和删除；

设置合理的初始文件权限

关闭多余的远程管理方式；

使用安全的远程管理方式；

设置访问控制策略限制能够访问本机的用户或 IP 地址；

禁止 root 用户远程登陆；

在主机信任关系配置文件中，删除远程信任主机；

禁止 root 用户远程登陆；

屏蔽登录 banner 信息

开启口令复杂性要求，设置口令长度>8位；

开启口令复杂性要求

设置帐户锁定登录失败锁定次数、锁定时间；

修改帐户 TMOUT 值，设置自动注销时间

配置系统日志策略配置文件，使系统对鉴权事件、登录事件、重要的系统管理、系统软硬件故障等进行审计； 对审计产生的数据分配合理的存储空间和存储时间；

设置合适的日志配置文件的访问控制避免被普通用户修改和删除

关闭存在漏洞的与承载业务无关的服务；

安装系统安全补丁；

通过访问控制限制对漏洞程序的访问

Unix系统

序号 检查项 评价指标 标准分值 评分标准 实际得分 扣分问题记录

1 帐号管理 应对操作系统用户、用户组进行权限设置，应用系统用户和系统普通用户权限的定义遵循最小权限原则，删除系统多余用户，不能出现空口令或弱口令 7  未合理配置应用帐号或用户自建帐号权限（扣1分）

 未删除系统中多余的自建帐号（扣1分）

 未修改帐号口令，系统帐号口令长度和复杂度未满足安全要求，存在弱口令（此项不得分）

 未禁用或删除root之外的超级用户（扣1分）

永恒之蓝解决方案

1. 第一项工作：安全策略加固

此方案是通过组策略屏蔽掉危险端口，保证主机安全，适合全部windows服务器

一、 第一项工作：配置组策略

1、 登陆windows，点击开始菜单，选择“运行”，如图所示：

2、 输入“gpedit.msc”，回车，选择“计算机配置->windows设置->IP 安全策略，在本地计算机”，如图所示：

3、 选中“IP 安全策略，在本地计算机”，右键 选择创建IP安全策略，如图： 4、 在“新IP安全策略” 位置命名，例如：比特，如图

5、 激活默认响应规则 复选框 取消

6、 编辑属性 复选框 保留，点击完成，如图：

7、 双击创建的 “新IP 安全策略”（第四步 命名的策略名），如图： 8、 选择添加，注意：使用添加向导 复选框 勾掉。

9、 选择添加，命名一个名称，例如：屏蔽 135 139 445 端口。

10、 选择添加，源地址选择 “任意IP地址”，目标地选择 “我的IP地址”，最下方复选框保留

11、 选择协议选项， 协议类型选“TCP”，其它如图所示，图中的135 端口，根据实际要屏蔽的填写，然后一直点击确定，返回主界面。

12、 选择“筛选器操作->添加->阻止->确定”

13、 勾选后，点击应用。

14、 然后，右键选择 “指派”，使其生效，如图：

15、 可以用端口扫描工具测试一下，生效前如图：

16、 生效后，如图，标记红底部分。： 2. 第二项工作：升级补丁，补丁升级后需重启服务器，补丁下载地址：

http://10.157.142.229/

点击下载，附件中包含windows相关系统补丁，服务器请选择“windows2008”目录下的“AMD64-all-windows6.1-kb4012212-x64_2decefaa02e2058dcd965702509a992d8c4e92b3.msu”进行安装，注意：安装后服务器需要重启。

浪潮SSR—服务器安全加固系统产品v1.0

序号 名称及规格 配置要求 数量

1 浪潮服务器安全加固系统企业版V1.0 见下表 1（1个服务节点）

指标项 模块 实现 说明 备注

安全功能要求 强制的访问控制功能 内核级实现

文件强制访问控制 允许对用户或进程以不同访问权限对文件/目录设制访问规则，并且可以对文件/目录和用户设定安全级别，改造原有的访问控制模型，将自主访问控制升级为强制访问控制,任何用户（包括系统管理员）及其调用的进程对敏感文件或目录进行创建、删除、修改、读取等操作时，将根据系统规则进行过滤（允许或拒绝）

注册表强制访问控制 允许对进程以不同访问权限对注册表项设制访问规则，任何用户（包括系统管理员）及其调用的非授权进程对SSR

设置为“只读”或“禁止访问”的注册表项进行写操作将无条件拒绝。

进程强制访问控制 允许对进程以不同访问权限对进程设制访问规则，任何用户（包括系统管理员）及其调用的非授权进程都无权终止与操作受SSR 保护的进程。

服务强制访问控制 该模块通过及时发现新增应用服务或驱动，并立即强行终止应用服务或驱动的注册，达到对服务进行访问控制的目的。

安全审计功能 文件的完整性检测 由用户指定需要建立校验信息的关键性只读目录及数据文件名称，检测程序自动记录目录中所有文件的基本属性及内容校验和。通过定期进行校验和的有效性检测，可以达到验证重要文件或目录完整性的目的。

服务的完整性检测 检测程序自动记录目录中所有服务的基本属性及内容校验和。通过定期进行校验和的有效性检测，可以达到验证服 务完整性的目的。

WEB 请求监测过滤 监测所有用户提交的GET、POST 请求，监测服务器的返回信息，防止非法的请求。

权限分离 身份认证功能 三权分离 系统分为系统管理员、安全管理员、审计管理员，在尊重传统身份认证下，运用硬件USB-KEY和密码分别对安全管理员及审计管理员进行双重身份认证。形成三者相互监督,相互制约的机制。