Configuración de seguridad del servidor Win2003

Hay mucha seguridad en línea acerca de la configuración del sistema Windows Server 2003, pero un análisis cuidadoso encontró que muchos no son exhaustivos y muchos aún no son lo suficientemente razonables, y existen grandes riesgos de seguridad. Hoy decidí hacer todo lo posible. La configuración de seguridad del servidor 2003 permite que más amigos de la administración de la red se sienten y se relajen.
Los componentes que debemos admitir son los siguientes: (ASP, ASPX, CGI, PHP, FSO, JMAIL, MySql, SMTP, POP3, FTP, 3389 Terminal Services, Servicio de administración de conexión web de escritorio remoto, etc.) Se ha instalado el sistema, IIS, incluido el servidor FTP, el servidor de correo, etc., estos métodos de configuración específicos no se repetirán, y ahora nos centramos en la configuración de seguridad.
Acerca de los sistemas de instalación de seguridad regulares, configuración y administración de cuentas, cierre de servicios redundantes, políticas de auditoría, modificación de los puertos de administración de terminal y configuración de MS-SQL, eliminación de procedimientos almacenados peligrosos, conexión con la cuenta pública menos privilegiada, etc. Espera En primer lugar, sobre la configuración de permisos de disco NTFS del sistema, es posible que haya visto más, pero el servidor 2003 tiene algunos detalles a los que prestar atención, he leído muchos artículos que no se han escrito por completo. La unidad
C solo le da a los administradores y permisos del sistema, no se otorgan otros permisos, otros discos también se pueden configurar de esta manera, los permisos del sistema que se dan aquí no necesariamente deben darse, solo porque algunas aplicaciones de terceros se inician como servicios Debe agregar este usuario, de lo contrario no se iniciará.
directorio de Windows para agregar los permisos predeterminados para los usuarios, de otro modo ASP y ASPX y otras aplicaciones no se ejecutará. En el pasado, un amigo configuraba por separado los permisos de directorio, como Instsrv y temp. De hecho, no existe tal necesidad.
También en el directorio C: /Documents and Settings /Xiangdangchongyao aquí, detrás del directorio de permisos no heredarán la configuración anterior, si sólo se establece justo arriba de los permisos de la unidad C para los administradores, y en el Todos los usuarios /Aplicación En el directorio de datos, todos tienen permisos de control total, por lo que la intrusión puede saltar a este directorio, escribir scripts o archivos solamente, y combinar otras vulnerabilidades para mejorar los permisos; por ejemplo, usar el desbordamiento local de serv-u para mejorar los permisos o el sistema Faltan parches, debilidades en la base de datos e incluso ingeniería social y otros métodos N, no solía haber nadie que dijera: "Solo dame un webshell, puedo obtener el sistema", lo cual es posible. En los sistemas que utilizan el servidor web /ftp, la recomendación es bloquear estos directorios. Los directorios de cada uno de los otros discos están configurados como tales, y ninguno de los discos solo da permiso a los administradores.
Además, se hará lo siguiente: net.exe, cmd.exe, tftp.exe, netstat.exe, regedit.exe, at.exe, attrib.exe, cacls.exe, estos archivos se establecen para permitir sólo los administradores Acceso
Los servicios innecesarios están prohibidos, aunque los atacantes no pueden explotarlos, pero en términos de normas y estándares de seguridad, no es necesario abrir cosas innecesarias, lo que reduce el peligro oculto.