下载文档原格式
Windows 2003服务器安全加固方案sql服务器安全加固安装最新的mdac()5.1 密码策略由于sql server不能更改sa用户名称，也不能删除这个超级用户，所以，我们必须对这个帐号进行最强的保护，当然，包括使用一个非常强壮的密码，最好不要在数据库应用中使用sa帐号。
新建立一个拥有与sa一样权限的超级用户来管理数据库。
同时养成定期修改密码的好习惯。
数据库管理员应该定期查看是否有不符合密码要求的帐号。
比如使用下面的sql语句：use masterselect name,password from syslogins where password is null5.2 数据库日志的记录核数据库登录事件的"失败和成功"，在实例属性中选择"安全性"，将其中的审核级别选定为全部，这样在数据库系统和操作系统日志里面，就详细记录了所有帐号的登录事件。
5.3 管理扩展存储过程xp_cmdshell是进入操作系统的最佳捷径，是数据库留给操作系统的一个大后门。
请把它去掉。
使用这个sql语句：use mastersp_d ropextendedproc ’xp_cmdshell’注：如果你需要这个存储过程，请用这个语句也可以恢复过来。
sp_addextendedproc ’xp_cmdshell’, ’xpsql70.dll’ole自动存储过程(会造成管理器中的某些特征不能使用)，这些过程包括如下(不需要可以全部去掉：sp_oacreate sp_oadestroy sp_oageterrorinfo sp_oagetpropertysp_oamethod sp_oasetproperty sp_oastop去掉不需要的注册表访问的存储过程，注册表存储过程甚至能够读出操作系统管理员的密码来，如下：xp_regaddmultistring xp_regkey xp_regvalue xp_regenumvaluesxp_regread xp_regremovemultistring xp_regwrite5.4 防tcp/ip端口探测在实例属性中选择tcp/ip协议的`属性。
一. 主机操作系统加固策略1.1Windows 2003操作系统加固方案1.1.1系统基本信息1.1.2安全补丁检测及安装实施工程师备注:1.1.3系统用户口令及策略加固实施编号：Topsec—Win2003—1201实施名称：系统用户口令策略加固系统当前状态: 查看系统“本地安全设置”－“帐户策略”中“密码策略”和“账号锁定策略”当前情况：（以下为示例图）实施方案：密码必须符合复杂性要求：启用密码长度最小值8个字符密码最长使用期限：90天强制密码历史：24个记住的密码帐户锁定阀值：3次无效登陆帐户锁定时间：15分钟复位帐户锁定计数器：15分钟之后策略更改后，督促现有用户更改其登陆口令以符合最新策略要求。
实施目的：保障用户账号及口令的安全，防止口令猜测攻击。
实施风险: 账号锁定后15分钟后才解锁。
回退方案恢复默认值是否实施:实施工程师备注：实施编号：Topsec-Win2003—1202实施名称：禁用guest账户权限1.1.4日志及审核策略配置系统当前状态: 在“本地安全策略”－“本地策略"中查看系统“审核策略”:（以下为示例图）实施方案：审核策略更改成功，失败审核登陆事件成功，失败审核对象访问失败审核目录服务访问成功，失败审核特权使用失败审核系统事件成功，失败审核账户登陆事件成功,失败审核帐户管理成功，失败实施目的：对重要事件进行审核记录，方便日后出现问题时查找问题根源。
实施风险：无回退方案恢复默认状态是否实施:实施工程师备注：实施编号：Topsec—Win2003-1302实施名称: 调整事件日志的大小及覆盖策略系统当前状态：日志类型日志大小覆盖策略应用程序日志K 覆盖早于天的日志安全日志K 覆盖早于天的日志系统日志K 覆盖早于天的日志实施方案：日志类型日志大小覆盖策略应用程序日志80000 K 覆盖早于30天的日志安全日志80000 K 覆盖早于30天的日志系统日志80000K 覆盖早于30天的日志其他日志（如存在）80000 K 覆盖早于30天的日志实施目的：增大日志大小，避免由于日志文件容量过小导致重要日志记录遗漏实施风险：回退方案恢复默认设置是否实施：实施工程师备注:1.1.5安全选项策略配置实施编号: Topsec—Win2003-1401实施名称：Microsoft 网络服务器：当登录时间用完时自动注销用户系统当前状态：查看系统当前设置：实施方案：在管理工具->本地安全策略->选择本地策略->选择安全选项-> Microsoft 网络服务器：当登录时间用完时自动注销用户(改成已启用）！实施目的：可以避免用户在不适合的时间登录到系统，或者用户登录到系统后忘记退出登录实施风险: 无回退方案恢复默认设置是否实施：实施工程师备注：实施编号: Topsec—Win2003—1402实施名称：Microsoft 网络服务器：在挂起会话之前所需的空闲时间系统当前状态：查看系统当前设置：实施方案：在管理工具—〉本地安全策略->选择本地策略->选择安全选项—> Microsoft 网络服务器：在挂起会话之前所需的空闲时间(小于等于30分钟)实施目的: 设置挂起会话之前所需的空闲时间为30分钟实施风险：无回退方案无是否实施：实施工程师备注：实施编号：Topsec-Win2003—1403实施名称: Microsoft 网络客户端:发送未加密的密码到第三方SMB服务器系统当前状态：查看系统当前设置：实施方案: 在管理工具—〉本地安全策略-〉选择本地策略—>选择安全选项—〉Microsoft 网络客户端：发送未加密的密码到第三方SMB服务器（禁用）实施目的：禁止发送未加密的密码到第三方SMB服务器实施风险: 无回退方案无是否实施：实施工程师备注：实施编号：Topsec—Win2003-1404实施名称：故障恢复控制台:允许对所有驱动器和文件夹进行软盘复制和访问系统当前状态：查看系统当前设置：实施方案: 在管理工具->本地安全策略—>选择本地策略->选择安全选项—〉故障恢复控制台：允许对所有驱动器和文件夹进行软盘复制和访问（禁用)实施目的：Windows 2003控制台恢复的另一个特性是它禁止访问硬盘驱动器上的所有文件和目录。
windows2003安全配置大全windows2003安全配置大全一直以来，很少在网络上看到关于windows服务器管理的全方面的文章，即使是在windows网络安全设置方面，虽然网络上有着不少的关于这个方面的话题，但是这些文章当中并没有完全彻底的贯彻“最少的服务+最小的权限=最大的安全”这一原则，笔者由于前段时间工作于一家虚拟主机提供商,因工作需要对此进行了深入的探索。
本文所有的环境均是在windows 2000 adv server上测试，因此部分内容可能不适合于windows 2003系统，但是大部分内容是通用的。
这里我们以虚拟主机为例来探讨。
第一部分服务器安全设置安装之前的准备工作很多时候，一部分的安全问题在你将windows安装光盘放入光驱中的时候就已产生，所以，在安装之前我们必须做好一些必要的准备工作。
主要包括安装源和物理介质的安全检查以及服务器的安全规划。
这部分内容主要包括以下几个方面：1.确保你的安装光盘没有任何问题，这里所说的是指光盘内容没有经过第三方加以修改和光盘没有遭到物理损坏。
对于刻录的安装光盘请确认你的源文件安全可靠，尽量使用集成了SP4的安装光盘，以减少后面打补丁的工作量。
2.确保你的硬盘没有任何问题，请尽量使用新硬盘，对于使用过的硬盘应先进行低级格式化。
无论新旧硬盘需要确认硬盘本身没有遭受到病毒感染。
3.规划好系统安装过程与服务器的所需要的程序、服务等并准备好这些安装程序且确保这些安装程序没有任何问题，尽量使用官方提供的安装程序。
规划好硬盘的分区以及各分区的功用。
分区方案建议分四个分区，将系统存放在C盘，应用程序放在D盘，备份文件和一些重要的日志等放在E盘，用户站点等放在F盘中，尽可能少的向系统盘写入非系统文件以减少系统备份的工作量，至于各分区的容量视情况而定。
不要安装任何多余的程序或组件，遵循“最少的服务+最小的权限=最大的安全”原则。
4．完成之后以上工作，对bios进行所需的相关设置，便可以进行安装了，如需要做raid，则需要在安装前完成raid的设置工作。
如何让Windows 2003系统更加安全Windows Server 2003作为Microsoft 最新推出的服务器操作系统，相比Windows 2000/XP 系统来说，各方面的功能确实得到了增强，尤其在安全方面，总体感觉做的还算不错。
但“金无足赤”任何事物也没有十全十美的，微软Windows 2003也是如此，照样存在着系统漏洞、存在着不少安全隐患！无论你用计算机欣赏音乐、上网冲浪、运行游戏，还是编写文档都要不可避免地遭受新病毒泛滥时的威胁，如何让Server 2003更加安全，成为广大用户十分关注的问题。
一、取消IE安全提示对话框面对黑客组织恶意程序的攻击，微软公司一直都在努力致力于降低产品的安全隐患，这是有目共睹的。
微软新一代的Server 2003操作系统在安全性能方面就得到了加强。
比如在使用Server 2003自带的IE浏览器浏览网页时，每次都会弹出一个安全提示框，“不厌其烦”地提示我们，是否需要将当前访问的网站添加到自己信任的站点中去；如果表示不信任的话，只能单击“关闭”按钮；而要是想浏览该站点的话，就必须单击“添加”按钮，将该网页添加到信任网站的列表中去。
不过每次访问网页，都要经过这样的步骤，实在是太烦琐了。
其实我们可以通过下面的方法来让IE取消对网站安全性的检查：1.一旦系统打开安全提示页面时，你可以用鼠标将其中的“当网站的内容被堵塞时继续提示”复选项选中；2.在浏览界面中，用鼠标单击“工具”菜单项，从打开的下拉菜单中执行“Internet选项”命令；3.在弹出的选项设置界面中，你可以将系统默认状态下的最高安全级别设置为中等级别；4.设置时，只要在“安全”标签页面中，拖动其中的安全滑块到“中”位置处就可以了；5.完成设置后，单击“确定”按钮，就可以将浏览器的安全自动提示页面取消了。
经过修改IE的默认安全级别的设置，再上网的时候，IE就不会自动去检查网站的安全性了，麻烦解决了吧！二、重新支持ASP脚本提起ASP(ActiveServerPage)大家都会联想到Windows，它以其强大的功能，简单易学的特点而受到广大开发人员的喜欢。
Windows Server 2003安全加固设置一、用户账户安全1.Administrator账户的安全性a)重命名adminstrator,并将其禁用。
右击“我的电脑”,在单击“管理”，选择“本地用户和组"，选择“用户”，右侧窗口的“administrator”右击“重命名”“administrator”右击“属性”b)创建一个用户账户并将其加入管理员组,日常管理工作使用这个账户完成。
操作步骤：在右侧窗口空白处右击鼠标，再单击“新用户”a)即可以用创建的“test"用户名和密码，赋予“test”用户管理员的权限，日常管理工作使用这个账户完成.当我们再次登录时，administrator用户无法登陆用“test”用户登录系统，才能成功,且“test”用户拥有管理员的权限。
思考：我们为什么要这么做？?2.启用账户锁定策略开始—-程序——管理工具—-本地安全策略-—账户策略——账户锁定策略-—设置“账户锁定阈值为3”3.修改本地策略限制用户权限开始——程序—-管理工具——本地安全策略——本地策略——用户权限分配—-设置“拒绝从网络访问这台计算机”，限制从网络访问该服务器的账户。
二、服务器性能优化，稳定性优化1.“我的电脑"右键属性——高级-—性能-—设置-—设置为“性能最佳”2.“我的电脑”右键属性——高级——性能-—设置——高级页面为如图设置3.停止暂时未用到的服务a)在开始“运行”中输入:services.mscb)停止并禁用以下服务puter Browser 计算机浏览2.Distributed Link Tracking Client如果此服务被停用，这台计算机上的链接将不会维护或跟踪.3.Print Spooler（如果没有打印需求可以停止该服务)4.Remote Registry 远程注册表5.Remote Registry（如果没有无线设备可以停止该服务）6.TCP/IP NetBIOS Helper三、系统安全及网络安全设置1.开启自动更新“我的电脑"右键“属性”--“自动更新"Windows Server 2003会自动下载更新，无须人为打补丁。
