服务器安全配置（三）

1.为了控制好服务器上用户的权限，同时也为了预防以后可能的入侵和溢出，NT的访问权限分为：读取、写入、读取及执行、修改、列目录、完全控制。在默认的情况下，大多数的文件夹对所有用户（Everyone这个组）是完全敞开的（Full Control），你需要根据应用的需要进行权限重设。
在进行权限控制时，请记住以下几个原则：
1>限是累计的：如果一个用户同时属于两个组，那么他就有了这两个组所允许的所有权限；
2>拒绝的权限要比允许的权限高（拒绝策略会先执行）如果一个用户属于一个被拒绝访问某个资源的组，那么不管其他的权限设置给他开放了多少权限，他也一定不能访问这个资源。所以请非常小心地使用拒绝，任何一个不当的拒绝都有可能造成系统无法正常运行；
3>文件权限比文件夹权限高
4>利用用户组来进行权限控制是一个成熟的系统管理员必须具有的优良习惯之一；
5>仅给用户真正需要的权限，权限的小化原则是安全的重要保障；

2.只安装一种操作系统；
说明：安装两种以上操作系统，会给以可乘之机，利用攻击使系统重启到另外一个没有安全设置的操作系统（或者他熟悉的操作系统），进而进行破坏。
3.安装成独立的域控制器（Stand Alone）,选择工作组成员，不选择域；
说明：主域控制器（PDC）是局域网中队多台联网机器管理的一种方式，用于网站服务器包含着安全隐患，使有可能利用域方式的漏洞攻击站点服务器。

4.将操作系统文件所在分区与WEB数据包括其他应用程序所在的分区分开，并在安装时不要使用系统默认的目录，如将\WINNT改为其他目录；
说明：有可能通过WEB站点的漏洞得到操作系统对操作系统某些程序的执行权限，从而造成更大的破坏。同时如果采用IIS的话你应该在其设置中删除掉所有的无用的映射，同时不要安装索引服务，远程站点管理与服务器扩展也不要要，然后删掉默认路径下的www，整个删，不要手软，然后再硬盘的另一个硬盘建立存放你网站的文件夹，同时一定记得打开w3c日志纪录，切记（不过本人建议采用apache 1.3.24）

系统安装过程中一定本着小服务原则，无用的服务一概不选择，达到系统的小安装，多一个服务，多一份风险，呵呵，所以无用组件千万不要安装！

5.关于补丁：在NT下，如果安装了补丁程序，以后如果要从NT光盘上安装新的Windows程序,都要重新安装一次补丁程序， 2000下不需要这样做。
说明：
新的补丁程序，表示系统以前有重大漏洞，非补不可了，对于局域网内服务器可以不是新的，但站点必须安装新补丁，否则可能会利用低版本补丁的漏洞对系统造成威胁。这是一部分管理员较易忽视的一点；
安装NT的SP5、SP6有一个潜在威胁，就是一旦系统崩溃重装NT时，系统将不会认NTFS分区，原因是微软在这两个补丁中对NTFS做了改进。只能通过Windows 2000安装过程中认NTFS，这样会造成很多麻烦，建议同时做好数据备份工作。
安装Service Pack前应先在测试机器上安装一次，以防因为例外原因导致机器死机，同时做好数据备份。

尽量不安装与WEB站点服务无关的软件；
说明：其他应用软件有可能存在熟知的安全漏洞。

6.解除NetBios与TCP/IP协议的绑定

说明：NetBois在局域网内是不可缺少的功能，在网站服务器上却成了扫描工具的目标。方法：NT：控制面版――网络――绑定――NetBios接口――禁用 2000：控制面版――网络和拨号连接――本地网络――属性――TCP/IP――属性――高级――WINS――禁用TCP/IP上的NETBIOS

7.删除所有的网络共享资源，在网络连接的设置中删除文件和打印共享，只留下TCP/IP协议
说明：2000在默认情况下有不少网络共享资源，在局域网内对网络管理和网络通讯有用，在网站服务器上同样是一个特大的安全隐患。（卸载“Microsoft 网络的文件和打印机共享”。当查看“网络和拨号连接”中的任何连接属性时，将显示该选项。单击“卸载”按钮删除该组件；“Microsoft 网络的文件和打印机共享”复选框将不起作用。）
中光电信专业的IDC运营商，提供服务器托管，服务器租用，VPS，网站空间等服务器，机房：高新路十字电信大楼10层，24小时的在线和电话服务，欢迎亲们来实地考察。
qq:713003543   企业Q Q：1006@4000868810
电话：18291489163/400   02985269867转802
网址：www.***