windows server 2003安全管理实战的文档
windows+Server+2003+系统安全实训
湖南科技职业学院Windows Server 2003系统安全项目文档班级：网络3061指导老师：邓卫军组长：丁传华组员：刘宏谱曹伟李子霖严萌2008年12月目录一、配置域的基础结构 (2)1.1 创建一个用于管理的OU (2)1.2 组策略管理和安全模板的导入 (3)1.3 设置密码策略 (5)1.4 设置安全选项 (5)二、成员服务器基线 (7)2.1考察审核策略 (7)2.2考察用户权限 (9)2.3考察其他安全选项 (10)2.4统服务设置 (11)三、强化域控制器 (13)3.1重新部署数据― Active Directory 数据库和日志文件 (13)3.2配置使用Syskey保护帐户数据 (14)3.3禁用错误报告 (15)3.4用IPSec过滤器阻断端口 (15)四、强化IIS服务器 (19)4.1 Internet信息服务（IIS）6.0 (19)4.2 创建站点及访问设置 (19)4.3 配置DNS服务实现域名解析访问 (21)4.4 创建FTP站点及访问设置 (22)附一第九组项目任务分配 (25)一、配置域的基础结构1.1 创建一个用于管理的OU1)分别启动三台虚拟机Server、DC、RRAS。
依次在这三台虚拟机上安装DHCP服务、AD（）、WINS服务。
2)将三台服务器的ip改成同一网段（192.168.100.0/24）；将DHCP、WINS服务器的主机名改为DHCP、WINS，DNS指定为DC服务器的ip地址；将DHCP和WINS加入到域。
3)在DC上在打开Active Directory用户和计算机，创建两个组织单元和一个全局安全组分别定义为：基础结构、成员服务器、基础结构管理员。
4)点击域中的Computers，将DHCP、WINS移动到刚创建的组织单元“基础结构”。
如图1-1所示：图1-15)新建三个用户，名称分别为adminA、adminB、adminC；密码为list123/.,然后就这三用户添加到已建立的全局安全组—基础结构管理员。
windows2003服务器安全配置实战(经过验证)
最小的权限,请根据需要设置A.NTFS系统权限设置在使用之前将每个硬盘根加上Administrators 用户为全部权限(可选加入SYSTEM用户)删除其它用户.B.进入系统盘:权限如下C:\WINDOWS Administrators SYSTEM用户全部权限Users 用户默认权限不作修改.其它目录删除Everyone用户，注意以下文件夹保留Everyone用户,C:\Documents and Settings 下All Users\Default User目录及其子目录如C:\Documents and Settings\All Users\Application Data 目录默认配置保留了Everyone用户权限,C:\WINDOWS\PCHealth、C:\windows\Installer 也是保留了Everyone权限.删除C:\WINDOWS\Web\printers目录，此目录的存在会造成IIS里加入一个.printers的扩展名，可溢出攻击.默认IIS错误页面已基本上没多少人使用了。
建议删除C:\WINDOWS\Help\iisHelp目录.删除C:\WINDOWS\system32\inetsrv\iisadmpwd，此目录为管理IIS密码之用，如一些因密码不同步造成500,这里可以删掉,下面设置将会杜绝因系统问题.C,打开C:\Windows 搜索(可以不做)net.execmd.exetftp.exenetstat.exeregedit.exeat.exeattrib.execacls.exeregsvr32.exexcopy.exewscript.execscript.exeftp.exetelnet.exearp.exeedlin.exeping.exeroute.exefinger.exeposix.exersh.exeatsvc.exeqbasic.exerunonce.exesyskey.exe修改权限，删除所有的用户只保存Administrators 和SYSTEM为所有权限D.关闭445端口HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\netBT\Parameters新建“DWORD值”值名为“SMBDeviceEnabled”数据为默认值“0”禁止建立空连接HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa新建“DWORD值”值名为“RestrictAnonymous”数据值为“1”[2003默认为1]禁止系统自动启动服务器共享HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters新建“DWORD值”值名为“AutoShareServer”数据值为“0”禁止系统自动启动管理共享HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters新建“DWORD值”值名为“AutoShareWks”数据值为“0”禁止dump file的产生dump文件在系统崩溃和蓝屏的时候是一份很有用的查找问题的资料。
《Windows server 2003管理》实训大纲
《Windows Server 2003管理》实训大纲
一、实训目的
本课程实践性强，为了加强工程实践，配合教学，安排课程设计，培养学生实际操作的能力，要求独立操作，熟练使用Windows server 2003网络操作系统的基本管理方法。
二、实训要求
通过一周的Windows Server 2003管理课程设计，学生应能针对小型网络进行管理，达到以下目标：
1、学会Windows Server 2003的安装，掌握不同版本的安装方法。
2、掌握本地用户帐户和域用户帐户的创建和管理
3、掌握域控制器的管理
4、掌握域安全策略的设置
5、掌握磁盘配额和脱机文件
6、掌握基本磁盘和动态磁盘之间的相互转换，理解各种卷的特点
7、掌握打印机的添加和管理
三、考核办法
每人独立完成所有实训项目，将个人所做的各项设置在学生机上保存，并完成各个实验的课程设计报告。
学生的保存设置和课程设计报告各占50%，并在期末考试中记入总成绩。
制订人：梁秀清
1。
Windows2003Server安全配置完整篇（3）服务器教程-电脑资料
Windows2003Server安全配置完整篇（3）服务器教程-电脑资料四、磁盘权限设置C盘只给administrators和system权限，其他的权限不给，其他的盘也可以这样设置，这里给的system权限也不一定需要给，只是由于某些第三方应用程序是以服务形式启动的，需要加上这个用户，否则造成启动不了，。
Windows目录要加上给users的默认权限，否则ASP和ASPX等应用程序就无法运行。
以前有朋友单独设置Instsrv和temp等目录权限，其实没有这个必要的。
另外在c:/Documents and Settings/这里相当重要，后面的目录里的权限根本不会继承从前的设置，如果仅仅只是设置了C盘给administrators权限，而在All Users/Application Data目录下会出现everyone用户有完全控制权限，这样入侵这可以跳转到这个目录，写入脚本或只文件，再结合其他漏洞来提升权限；譬如利用serv-u的本地溢出提升权限，或系统遗漏有补丁，数据库的弱点，甚至社会工程学等等N多方法，从前不是有牛人发飑说："只要给我一个webshell，我就能拿到system"，这也的确是有可能的。
在用做web/ftp服务器的系统里，建议是将这些目录都设置的锁死。
其他每个盘的目录都按照这样设置，每个盘都只给adinistrators权限。
另外，还将：net.exe NET命令cmd.exetftp.exenetstat.exeregedit.exeat.exeattrib.execacls.exe ACL用户组权限设置，此命令可以在NTFS下设置任何文件夹的任何权限！format.exe大家都知道ASP木马吧，有个CMD运行这个的，这些如果都可以在CMD下运行..55，，估计别的没啥，format下估计就哭料~~~（：这些文件都设置只允许administrator访问。
Windows Server2003的安全管理
4.8.2 Netview 如果有了空IPC会话，网络入侵者也能获得网络共享列表，否则就无法 得到。为此，网络入侵者希望了解到在你的机器上有哪些可用的网络共 享。为了收集到这些信息，要采用下列这个标准的netview命令： c:\>netview\\[远程主机的IP地址] 根据目标机的安全约束规则，可以拒绝或不拒绝这个列表。
网络操作系统的安全是网络安全的核心，提高网络安全的基点应该 是从操作系统的安全进行着手，Windows系列服务器版目前最新版 为Server 2003，微软宣称其为迄今为止微软最强大的Windows服务 器操作系统。一个安全的网络操作系统的安全性特征是贯穿于整个 系统之中的，操作系统要安全就必须保证文件系统、用户帐户目录 、用户确认系统、存储管理、交换和环境子系统等的安全性。 Windows 的安全环境就是将保密性溶入每一个组件的创建过程中， Windows Server2003的安全设计有很大改进，主要体现在网络身份 验证、基于对象的授权、比较完整的安全策略、数据加密保护等， 以此来保证服务器的安全。
4.5 Windows Server 2003的授权管理器
授权管理器是Windows Server 2003的新功能。
4.6 Windows Server 2003的安全模式
在现在的网络应用中，信息的安全则显得更加重要。这里，我们从用户 的角度对Windows的安全性做一些探讨。 Windows Server 2003通过一系列的管理工具，以及对用户帐号，口令的 管理，对文件、数据授权访问，执行动作的限制，以及对事件的审核达 到C2级安全，从用户的角度看，通过这一套完整、可行、易用而非繁琐 的措施可以达到较好的效果。 Windows 的安全机制的基础是所有的资源和操作都受到选择访问控制的 保护，许多安全机制不是外加的，而是建立在操作系统内部的，可以通 过一定的设置使文件和其他资源免受在存放的计算机上工作的用户和通 过网络接触资源的用户的威胁（破坏、非法的编辑等等）。安全机制甚 至提供基本的系统功能，例如设置系统时钟。对用户帐号、用户权限及 资源权限的合理组合，可以有效地保证安全性。
实训：windows Server 2003安全配置
4. 清空远程可访问的注册表路径
（1）打开组策略编辑器， 依次展开“计算机配置 →Windows 设置→安全设 置→本地策略→安全选 项”，在右侧窗口中找到 “网络访问：可远程访问 的注册表路径”，如图622所示。 （2）然后在打开的窗口中， 将可远程访问的注册表路 径和子路径内容全部设置 为空即可，如图6-23所示。
图6-17 组策略编辑器 图6-18 添加脚本
2. 杜绝非法访问应用程序
（1）打开“组策略编辑器”窗
口。然后依次打开“组策略控
制台→用户配置→管理模板→
系统”中的“只运行许可的
Windows应用程序”并启用此 图6-19 只运行许可的Windows应用程序 策略，如图6-19所示。
（2）然后点击下面的“允许的
图6-27 TCP/IP属性
（2）关闭445端口
• 445端口可以让用户在局域网中轻松访问各种共享文件夹或 共享打印机，但它也是冲击波病毒最爱光顾的的端口。
• 1）运行regedit，找到项 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\S ervices\NetBT\Parameters]；
（3）选中“账户锁定策略”目录， 在右边窗口中列出了可设置的各 种账户锁定项目，如图6-31所示。
（4）在右侧的策略窗口中，双击 “账户锁定阈值”策略，显示 “账户锁定阈值属性”对话框， 如图6-32所示。
图6-31 账户锁定策略 图6-32 账户锁定阈值属性
（5）在“在发生以下情况之后，锁定账户”文本框中， 键入无效登录的次数，例如3，则表示3次无效登录后，锁 定登录所使用的账户。 （6）单击“确定”按钮，显示如图6-33所示的“建议的 数值改动“对话框。本策略的更改将同步更改其他关联策 略。单击“确定”按钮即可完成其他关联策略的设定。
WindowsServer2003的安全性和管理(补充内容)
4. Windows Server 2003的安全验证
安
全 策 略 配 置
Windows Server 2003
文件的压缩、加密与磁盘整理
文件、文件夹的压缩与解压缩 文件复制或移动对压缩属性的影响 文件与文件夹的加密、解密 磁盘整理与故障恢复
Windows Server 2003
文件、文件夹的压缩与解压缩(1)
Windows Server 2003
２．网络性能优化调整项目(1)
1.内存优化 合理使用内存 在内存一定的情况下，合理地使用内存可以提 高网络的性能。这要求管理员必须对系统中的内存 使用情况非常了解，对于那些不再需要的功能、应 用程序或服务应及时关闭，以便释放内存给其他应 用程序和服务。另外，管理员还可以通过系统设置 来决定内存的主要优化对象。一般，服务器的主要 优化对象应该是后台服务，而工作站和单个计算机 的主要优化对象应该是前台应用程序。
Windows Server 2003
２．网络性能优化调整项目(2)
2.设置虚拟内存
所谓虚拟内存就是系统把硬盘空间当作 额外的内存来使用。因为通过使用磁盘空间， 操作系统给进程分配比实际可用内存更多的 内存。
Windows Server 2003
Windows Server 2003
２．网络性能优化调整项目(3)
Windows Server 2003
２．网络性能优化调整项目(5)
6.网络接口优化
网卡和驱动程序的选择 服务和协议的设置
Windows Server 2003
２．网络性能优化调整项目(6)
7.服务器进程优化 进程是包含地址空间和程序运行资源的程序请求。当某 个应用程序启动时，系统就创建一个进程。这个进程所拥有 的内存、资源和执行线程与运行可执行应用程序的特定实例 相关联。在创建一个进程时，同时还会创建一个主线程。只 要还有一个线程与进程相关联，该进程就将继续运行。 线程是进程的实体，它是系统中最小的执行单位。线程 是一直与进程相关联的，并存在于特定的进程之中。尽管在 进程的整个生存周期内，许多进程都只有一个线程会始终伴 随它，但是进程在整个生存周期内可拥有多个线程。
《Windows Server 2003组网教程(管理篇)》第9章：安全的管理
9.3.3 Passport身份验证
Passport 身份验证是由 Microsoft 提供的集中服 务，可为成员网站提供单个的登录和核心配置文件服 务。由于不必重新登录即可访问其他受保护的资源或 网站，网站用户可从中获益。可通过使用 Passport 身份验证提供程序，使您的商务网站与 Passport 身 份验证和授权兼容。
图9-17 委派控制
图9-18 选择委派的权限
9.2.6 设计审核策略来自图9-21设计审核策略界面
9.3 设计身份验证
身份验证是系统安全的一个基础方面。它将对尝 试登录到域或访问网络资源的任何用户进行身份确认。 Windows Server 2003 家族身份验证启用对所有网络 资源的单一登录。单一登录允许用户使用一个密码或 智能卡一次登录到域，然后向域中的任何计算机验证 身份。
9.2 设计活动目录安全
设计活动目录安全包括一系列的内容，包括设置 组织单元、设置用户和用户组安全、设置密码、设计 委派权限和设计审核策略等。
9.2.1 设计组织单元（OU）
图9-1 新建一个组织单位
图9-3选择“新建对象→组织单位”
9.2.2 设置用户和用户组
1.为每个OU创建一个用户组
图9-6 新建用户组
9.3.1 Kerberos V5 身份验证
Kerberos V5 是在域中进行身份验证的主要安全 协议。Kerberos V5 协议同时要验证用户的身份和网 络服务。这种双重验证称为“相互身份验证。
图9-22 设定Kerberos V5身份验证界面
9.3.2 NTLM身份验证
NTLM 身份验证在网络环境中，NTLM 用作身份验证 协议以处理两台计算机（其中至少有一台计算机运行 Windows NT 4.0 或更早版本）之间的事务。