淺談Win2003網(wǎng)站服務(wù)器的安全策略

　　摘要：該文闡述了Windows Server 2003操作系統(tǒng)，置于公網(wǎng)之中對外提供WEB服務(wù)時物理安全、策略安全、數(shù)據(jù)安全三方面的安全策略。該文著重從更改Administrator賬戶名稱、添加Internet來賓帳戶并設(shè)置權(quán)限、關(guān)閉不必要的服務(wù)、定期殺毒、漏洞掃描等幾個方面對如何加強(qiáng)Windows Server 2003系統(tǒng)的安全性進(jìn)行了介紹。
　　關(guān)鍵詞：Win2003；安全；服務(wù)器
　　中圖分類號：TP368.5文獻(xiàn)標(biāo)識碼：A文章編號：1009-3044(2012)06-1221-02
　　 1物理安全
　　物理安全環(huán)境主要是指服務(wù)器托管機(jī)房的設(shè)施狀況，包括通風(fēng)系統(tǒng)、電源系統(tǒng)、防雷防火系統(tǒng)以及機(jī)房的溫度、濕度條件等。這些因素會影響到服務(wù)器的壽命和所有數(shù)據(jù)的安全。
　　放置服務(wù)器的機(jī)房應(yīng)切實(shí)做好防雷、防火、防水、防電等工作，確保機(jī)房內(nèi)部空間的溫度和濕度在合適范圍。為保證各個網(wǎng)站正常運(yùn)行、服務(wù)器24小時處于工作狀態(tài)，機(jī)房應(yīng)配備不間斷電源。放置服務(wù)器的機(jī)房應(yīng)安裝好報(bào)警系統(tǒng)，工作人員要管理好機(jī)房的鑰匙和門卡，無關(guān)人員應(yīng)禁止進(jìn)入機(jī)房，防止人為的蓄意破壞和盜竊事件發(fā)生。
　　 2策略安全
　　同物理安全相比，服務(wù)器策略方面的安全問題是最多的，也是最復(fù)雜的，目前，許多學(xué)校的校園網(wǎng)都以WINDOWS 2003 Server作為系統(tǒng)平臺，由IIS（Internet Information Server）提供WEB等等服務(wù)。下面本人結(jié)合自己對WINDOWS 2003 Server網(wǎng)絡(luò)管理和維護(hù)的一點(diǎn)體會，就策略安全方面談?wù)勛约旱囊恍┛捶ā?br/>　　2.1用戶權(quán)限的分配與管理策略
　　根據(jù)安全原則，最少的服務(wù)+最小的權(quán)限=最大的安全。權(quán)限設(shè)置應(yīng)遵循最小特權(quán)原則，有效地限制、分割用戶對服務(wù)器進(jìn)行訪問時的權(quán)限。
　　2.1.1更改Administrator賬戶名稱
　　Windows 2003作為一個多任務(wù)多用戶的操作系統(tǒng)，性能得到了很大的提高，為使用者帶來了極大的方便，但是作為網(wǎng)站服務(wù)器管理人員要盡量少建賬戶，并且要更改默認(rèn)的賬戶名（Administrator）和描述，密碼最好采用大小寫字母、數(shù)字、特殊字符(～!@#￥%《》，。?)的組合，長度最好不少于20位。同時設(shè)置一個Administrator的陷阱賬戶，為其設(shè)置最小的權(quán)限，只隸屬于Guests組，密碼同樣是數(shù)字加大小寫字母加數(shù)字上檔鍵組合，且不少于20位。
　　2.1.2添加Internet來賓帳戶并設(shè)置權(quán)限
　　Internet來賓帳戶是匿名訪問Internet信息服務(wù)的內(nèi)置賬戶，不能有完全控制權(quán)限，一般來說Internet來賓帳戶有寫入和讀取的權(quán)限就可以，如果要上傳數(shù)據(jù)，則需要將Data和Uploadfiles目錄給予修改的權(quán)限。右鍵單擊“Data”，打開“Data”屬性對話框，在“安全”選項(xiàng)卡下，點(diǎn)擊“添加……”，跳出“選擇用戶和組”對話框，選擇“高級”，然后點(diǎn)擊“立即查找”，在下面的列表中選擇“IUSR_”（下劃線后是計(jì)算機(jī)名），之后在“安全”選項(xiàng)卡中就會出現(xiàn)“Internet來賓賬戶”，將這個賬戶的權(quán)限設(shè)置為“修改”和“寫入”，最后確定。
　　2.1.3經(jīng)常檢查系統(tǒng)賬戶
　　經(jīng)常檢驗(yàn)系統(tǒng)的賬戶，刪除不再使用的賬戶，包括所有的測試賬戶和臨時賬戶。這些賬戶很多時候都是入侵系統(tǒng)的突破口，系統(tǒng)的賬戶越多，攻擊者得到合法用戶的權(quán)限可能性也就越大。2.2關(guān)閉不必要的服務(wù)，只開該開的端口
　　開放危險(xiǎn)的服務(wù)可能會給入侵者提供一個潛在的入侵通道。在安全要求較高的服務(wù)器上，建議關(guān)閉以下服務(wù)：Computer Brows? er(維護(hù)網(wǎng)絡(luò)計(jì)算機(jī)更新)、Distributed Flie System（局域網(wǎng)管理共享文件）、Distributed linktracking client（用于局域網(wǎng)更新連接信息）、Error reporting service（發(fā)送錯誤報(bào)告）、Microsoft Search（提供快速單詞搜索）、Telnet服務(wù)、Remote Registry（遠(yuǎn)程修改注冊表）、Remote Desktop Help Session Manager（遠(yuǎn)程桌面協(xié)助進(jìn)程管理）。
　　禁止文件共享，本地連接屬性-去掉“Microsoft網(wǎng)絡(luò)的文件和打印共享”和“Microsoft網(wǎng)絡(luò)客戶端”前面的對號。
　　3389端口是遠(yuǎn)程桌面連接的默認(rèn)端口，為了保證服務(wù)器系統(tǒng)安全，應(yīng)關(guān)閉3389端口。
　　網(wǎng)絡(luò)安全最基本的是端口設(shè)置。為了進(jìn)一步增加服務(wù)器系統(tǒng)的安全，應(yīng)當(dāng)把不用的端口一律關(guān)閉，只開放提供服務(wù)所必需的端口。配置的方法是設(shè)置外網(wǎng)“Internet協(xié)議（TCP/IP）屬性”，打開“高級TCP/IP設(shè)置”對話框，單擊“選項(xiàng)”，打開“TCP/IP篩選”，只允許開放服務(wù)器提供網(wǎng)絡(luò)服務(wù)所必需的TCP端口(80)。
　　2.3定期殺毒、漏洞掃描
　　安裝殺毒軟件并保持病毒庫最新，定期查殺病毒，禁止在服務(wù)器上運(yùn)行來歷不明的程序，禁止在服務(wù)器上瀏覽不安全的網(wǎng)頁和打開不安全的電子郵件。
　　定期使用漏洞掃描軟件（安全衛(wèi)士）檢查系統(tǒng)是否存在安全漏洞，安全工具會根據(jù)服務(wù)器環(huán)境的情況智能安裝補(bǔ)丁，節(jié)省系統(tǒng)資源，保證安全。
　　 3數(shù)據(jù)安全
　　除了采用上述技術(shù)手段防止各種安全隱患，還要有數(shù)據(jù)備份與恢復(fù)的應(yīng)急措施，保證受到網(wǎng)絡(luò)攻擊、服務(wù)器出現(xiàn)系統(tǒng)故障后，能盡快的恢復(fù)網(wǎng)站服務(wù)。備份“Internet信息服務(wù)(IIS)管理器”配置，雙擊“Internet信息服務(wù)(IIS)管理器”，在“網(wǎng)站”上右擊，選擇“所有任務(wù)”下的“將配置保存到一個文件”，輸入要保存的文件名，選擇保存的路徑；網(wǎng)站數(shù)據(jù)庫的備份要做到每天的增量備份和定期的完全備份，若有條件應(yīng)實(shí)現(xiàn)異地備份，重要的網(wǎng)站還可以選擇安裝雙機(jī)熱備份服務(wù)器，當(dāng)一個數(shù)據(jù)庫遭破壞時，啟用備用服務(wù)器立即恢復(fù)，保證網(wǎng)站順暢運(yùn)行。
　　 4結(jié)束語
　　維護(hù)網(wǎng)站服務(wù)器安全是一項(xiàng)復(fù)雜的系統(tǒng)工程，要確保網(wǎng)站不被破壞，網(wǎng)站內(nèi)容不被惡意篡改，保證網(wǎng)站服務(wù)器和網(wǎng)絡(luò)的正常運(yùn)行，依靠文中提到的安全策略，可以抵御絕大部分攻擊。但是，在服務(wù)器數(shù)據(jù)安全問題上，新的安全隱患總在不斷出現(xiàn)，維護(hù)人員必須根據(jù)情況的變化和出現(xiàn)的問題，利用先進(jìn)的技術(shù)手段，及時防御、及時處理，確保網(wǎng)站服務(wù)器高效運(yùn)行。
　　參考文獻(xiàn)：
　　[1]