Configuración de seguridad Windows2000 Server

Primero: cómo instalar

Primero, selección de versión

Recomiendo encarecidamente: si el idioma no se convierte en un obstáculo, utilice la versión en inglés. Ya sabes, los productos de Microsoft se conocen como "Bug &Patch". La versión en chino del error es mucho más que la versión en inglés, y el parche es generalmente al menos medio mes más tarde (es decir, Microsoft Su servidor permanecerá desprotegido durante medio mes después de que se anuncie la vulnerabilidad.

En segundo lugar, la personalización de componentes

WIN2K instalará algunos componentes comunes de forma predeterminada, pero es que esta instalación predeterminada es muy peligrosa, de acuerdo con el principio de seguridad "Servicio mínimo + mínimo Permisos = Máxima seguridad ", solo instale los servicios que realmente necesita. Los recordatorios especiales aquí son: "Servicio de indexación", "Extensiones de servidor de FrontPage 2000", "Administrador de servicios de Internet" son servicios peligrosos.

Tercero, la elección de las aplicaciones de administración

Elegir un buen software de administración remota es muy importante, esto no es solo un requisito de seguridad, sino también una necesidad de la aplicación. El servicio de terminal de WIN2K es un software de control remoto basado en RDP (Protocolo de escritorio remoto). Es rápido y fácil de operar, y es adecuado para operaciones de rutina. Sin embargo, el servicio de Terminal Server también tiene sus limitaciones. Debido a que utiliza escritorios virtuales y la programación de Microsoft no es rigurosa, cuando utiliza el Servicio de terminales para instalar software o reiniciar servidores e interactuar con escritorios reales, a menudo aparece. El fenómeno del llanto y la risa, por ejemplo: el uso del Servicio de Terminal Server para reiniciar el servidor de autenticación de Microsoft (Compaq, IBM, etc.) puede cerrarse directamente. Por lo tanto, por razones de seguridad, se recomienda equipar con un software de control remoto como ayuda, complementando el Servicio de terminal, como PcAnyWhere es una buena opción.

Cuarto, partición y asignación de disco lógico

Al menos dos particiones, una partición del sistema, una partición de aplicación. Esto se debe a que el IIS (servidor de información de Internet) de Microsoft a menudo tiene lagunas. Si coloca el sistema y el IIS en la misma unidad, provocará la fuga de archivos del sistema e incluso permitirá que el intruso obtenga los derechos de administración de forma remota.

Se recomienda crear tres unidades lógicas, la primera para instalar el sistema y los archivos de registro importantes; la segunda para colocar IIS; la tercera para poner FTP, por lo que no importa si IIS o FTP no tienen agujeros de seguridad Afectar directamente el directorio del sistema y los archivos del sistema.

V. Selección del orden de instalación

No piense que mientras se pueda instalar el sistema, se terminará. De hecho, el orden de instalación de WIN2K es muy importante.

En primer lugar, preste atención al tiempo de acceso a la red. WIN2K tiene una vulnerabilidad en la instalación, es decir, después de ingresar la contraseña del Administrador, el sistema establecerá un recurso compartido "$ ADMIN", pero no lo protege con la contraseña que acaba de ingresar, esta situación continuará hasta que la computadora vuelva a iniciarse. Mientras tanto, cualquier persona puede ingresar al sistema a través de "$ ADMIN"; al mismo tiempo, tan pronto como se complete la instalación, los diversos servicios se ejecutarán automáticamente, y el servidor estará lleno de lagunas, lo cual es muy fácil de invadir desde el exterior. Por lo tanto, no conecte el host a la red hasta que el servidor WIN2K esté completamente instalado y configurado.

Segundo, preste atención a la instalación del parche. Los parches deben instalarse después de que se hayan instalado todas las aplicaciones, ya que los parches a menudo tienen que reemplazar o modificar ciertos archivos del sistema. Si instala el parche primero, es posible que no funcione como se espera.

Segundo: Cómo configurar

Incluso si el servidor WIN2K está instalado correctamente, hay muchas lagunas en el sistema y se requiere una configuración más detallada.

I. Puerto

El puerto es la interfaz lógica entre la computadora y la red externa. También es la primera barrera de la computadora. La configuración de puerto correcta afecta directamente la seguridad del host.

Segundo, IIS

IIS es el componente más problemático de los componentes de Microsoft, un promedio de dos o tres meses será una laguna, y la instalación por defecto de IIS de Microsoft realmente no es halagadora, por lo que La configuración de IIS es nuestro enfoque.

Primero, elimine el directorio Inetpub en la unidad C, cree un Inetpub en la unidad D y apunte el directorio principal a D: Inetpub en el Administrador de IIS.
En segundo lugar, los archivos virtuales predeterminados, como los scripts, también se eliminan cuando se instala IIS. Si necesita algún permiso, el directorio se puede crear más adelante (atención especial para escribir permisos y ejecutar permisos de programas).

Luego está la configuración de la aplicación. Elimine todas las asignaciones inútiles en el Administrador de IIS (por supuesto, debe mantenerlas como ASP, ASA, etc.). En el Administrador de IIS, "Host → Propiedades → Edición de servicios WWW → Configuración del directorio de inicio → Asignación de aplicaciones", y luego comience a eliminar uno por uno. Luego en la aplicación de depuración de marcadores ,? "El mensaje de error de la secuencia de comandos" se cambió a "enviar texto". Al hacer clic en "Aceptar" para salir, no olvide dejar que el sitio virtual herede la propiedad que acaba de establecer.
Finalmente, para estar seguro, puede usar la función de copia de seguridad de IIS. Simplemente haga una copia de seguridad de todas las configuraciones para poder restaurar la configuración de seguridad de IIS en cualquier momento. Además, si teme que la carga de IIS sea demasiado alta y el servidor se bloquee, también puede abrir el límite de rendimiento de la CPU, como limitar el uso máximo de la CPU de IIS para 70%.