1、网络服务器安全配置最佳实践网络服务器功能强大，而且极易上手，可是要配置一个安全的网络服务器难度是比较高的。本文结合近几年的网络安全管理实施过程.总结出一些经验来提高网络服务器的安全性。Windows Server 2003是目前成熟的网络服务器系统，提供了强人的网络服务功能，而且极易上手，网络管理者不需要太多的培训即可配置和管理。不过，要配置一个安全的网络服务器难度是比较高的，需要有经验的网络管理者手动配置很长时间。笔者为网络管理员，结合近几年的网络安全管理实施过程，总结出一些经验来提高网络服务器的安全性。一、安装 Windows Server 2003时应注意的问题1.确保操作系统的来源合法
2、性。不要使用非正常渠道得到的系统安装盘。防止在安装操作系统的同时就被安装了木马或者间谍软件。2.保证硬件设备的可靠性。尽量使系统运行在 RAIDS 方式的磁盘阵列中，确保服务器环境的稳定。3.将操作系统安装在一个十净的系统中。在软件安装之前，确定磁盘所有的数据都已经删除十净，磁盘完好无损。4.在操作系统安装完成但没有正式运行前，保证系统在安装过程中不与仟何公共的系统相连。如果必须要有网络安装，要确保服务器在一个独立可信的网段中，建议拔掉网线安装操作系统。5.尽量安装操作系统的笑文版木。因为微软总是最先发布笑文版木的补丁，中文版木的补丁相对滞后一段时间。6.使用 NTFS 分区作为唯一的系统文件
3、分区标准。NTFS 是真正的日志性文件系统，使用日志和检查点信息，即使在系统崩溃或者电源故障时也能保证文件系统的一致性。7.安装 TCP/IP 协议，不要安装其他仟何协议。8.在选择安装程序的时候不要安装仟何额外的程序和服务。9.服务器最好不加入到域，要安装成独立服务器模式。10.为系统管理员设置一个足够强壮的密码，长度最好在20位以上。二、安装防病毒系统防病毒软件设置时应注意的问题:1.确认防病毒软件来源的合法性、完整性及可升级性。2.在没有接人网络环境前安装防病毒软件，同时安装最新防病毒软件的病毒库。3.运行防病毒程序的病毒实时监测系统，同时配置防病毒软件的自动更新、扫描、受感染文件的处理
4、方式等操作。4.对刚安装完成的操作系统进行一次完整的病毒扫描。5.经常查看防病毒系统产生的日志文件。三、配置应用程序在服务器上安装正常使用的应用程序(包括更新的 IE 浏览器版木)，同时安装配置网络服务的程序(如微软的 IIS 服务、FTP 服务、SQL Server 数据库服务等)。注意事项:1.不要安装仟何多余的程序。服务器仅提供网络服务，不是个人电脑，不需要安装其他程序。2.安装服务和应用程序，尽量选择最新的安装版木，这通常可以保证没有近期发布的程序漏洞。不需要的应用程序服务尽量不要安装，或者配置成禁止使用的模式。3.不要在服务器上运行系统提供的应用程序访问网络，服务器的漏洞有时会被恶意
5、利用。4.为安全起见，建议将系统附件中除写字板、记事木以外的所有应用程序删除。5.不要在服务器上安装仟何开发工具、软件调试器、扇区读写编辑器等可对系统底层进行操作的应用软件，可执行程序越少越好。四、账户管理注意事项配置服务器系统时，应当注意对 系统账户的管理。1.重新命名管理员账号。这是为了防止对“Administrator“账号的密码猜测行为。2.禁用或者删除“Guest“账号。Windows 2003操作系统默认此账号禁止使用，必须检查此账号是否处于启用状态。3.检查系统中存在的账号的状况。审核不必要的账号和组，审核账号隶属的组权限和用户权限井定期记录;对于长时间不使用的账号应该查明原因
6、;对于因为员工离职等原因废弃的账号要立即删除。4.建议使用非管理员账号来管理系统，只有在必须使用管理员权限的时候才采用管理员账号。5.建议新用户赋予 User 或者 Guest 组权限，不要赋予“Power Users”组权限，对于仟何特定的操作在建立一个特定组的同时赋予其权限来执行。五、启用日志审核审核是 Windows 2003中木地安全策略的一部分，它是一个维护系统安全性的工具，允许跟踪用户的活动和 Windows NT/2000系统的活动。根据监控审核结果，管理员可以将计算机资源的非法使用消除或减到最小。微软操作系统的日志审核默认是关闭的，必须手动开启。六、禁止远程注册表访问Windo
7、ws Server 2003在默认安装的时候启用了允许远程访问注册表如果开启此功能，服务的启动、ACL 权限的修改、用户名的建立等信息，都可以在注册表中完成，严禁使用远程注册表访问功能。七、设定访问控制的文件权限在使用 NTFS 文件系统的基础上定制分区和文件访问条件，加强 Windows Server 2003在默认状态下的访问权限，构建一个更加安全的系统。1.取消默认安装时“Everyone”组拥有的对所有磁盘的完全控制权限。2.取消系统的文件保护功能。移除系统中备份的系统文件，包括在根分区“Winnt Driver cache”目录下的所有文件以及如果在安装 SP 包时选择了“存档”选项时要移除的存档文件夹。移除系统文件以后，在命令行模式下先执行“SFC/Purgccache”命令清除缓存文件，再执行“SFC/cachcsize=0”命令井重新启动系统，就可以取消操作系统的文件保护功能。
