打造安全的Ｗｉｎｄｏｗｓ２００３服务器_服务器安全解决方案

摘要：Windows Server 2003是已经被广泛使用的网络操作系统，它的安全影响到网络的安全，所以如何提高Windows Server 2003的安全性显得尤为重要。本文介绍了Windows Server 2003采用的用于提高安全性的组件，分析了影响Windows Server 2003的安全因素，由于篇幅原因，只是列出了几种比较常见的几种不安全因素，最后并给出了提高系统安全的措施。

关键词：操作系统；因素；措施

中图分类号：TP316文献标识码：A文章编号：1009-3044(2007)18-31727-01

Setting up Secure Windows 2003 Server

CHEN Jin-jun

(Telecommunication ltd.of Guizhou Province,Tongren Branch,Tongren 554300,China)

Abstract:Windows Server 2003 has been wildly used, its security effected the security of the whole net, so how to improve the security is especial important. This paper introduces the module developed for Windows Server 2003, analyze the elements effecting the security, and propose the measures to improve the security of system at last.

Key words:operation system; elements; measures

1 引言

Windows的安全性历来都是为大家关注，到了Windows 2000，安全性方面有了很大改观，但问题依然突出：登陆时的输入法漏洞，IIS特殊网址漏洞都是著名的例子。Windows 2003操作系统是微软继XP系统后推出的一款真正的面向对象的操作系统，在服务器操作系统中获得了广泛使用，虽然windows 2003的稳定性能得到了普遍的肯定，但操作系统的安全性无疑还是大家最关注的问题。

2 基于安全理念的新组件

Windows 2003 Server作为微软推出的最新服务器操作系统，在安全上下了大力气，不仅堵完了已发现的所有NT漏洞，而且还重新设计了安全子系统，增加了新的安全认证，改进了安全算法，其性能和安全性方面比以往系统都有了很大提高。Windows2003 Server以安全为理念重新设计了许多组件，而这些组件也形成了其以安全为主要目标的创新点。

2.1 Internet Information Services(IIS) 6.0

Windows 2003经过重新设计，允许应用程序或Web services的工作程序以较低权限的使用者账户来执行，借由限制网络存取的方法降低潜在的攻击win8.1本地安全策略，并修改了IIS 5.0服务器证书不能删除的Bug。

2.2 Common Language Runtime（CLR）

本软件引擎是Windows2003 Server的关键部分，它提高了可靠性并有助于保证计算环境的安全，降低了错误数量，并减少了由常见的编程错误引起的安全漏洞。公共语言运行库还验证应用程序是否能无错误运行，并检查适当的安全性权限，以确保代码只执行适当的操作。

但这些远远不能满足我们对服务器安全的要求。我们需要充分利用Windows Server2003的安全功能和选项进行合理地配置，以期建立一个高安全的服务器环境，下面首先分析Windows 2003中存在哪些不安全的因素。

3 Windows 2003中存在的不安全因素

3.1漏洞带来的安全问题

Windows Server 2003提供极其丰富的网络服务功能，但是和Windows 2000一样存在安全漏洞，成为攻击的突破口。例如，Microsoft的RPC在通过TCP/IP处理信息交换时存在多个远程堆缓冲区溢出问题，远程攻击者可以利用这些漏洞以本地系统权限在系统上执行任意指令。如果不采取措施，有可能使网络服务器遭到致命的打击。

3.2服务的安全问题

Windows服务的很多特性导致它受到黑客的特别关照：多数服务的运行安全等级是比管理员权力还高的LocalSystem；一个服务存在的安全问题通常导致系统崩溃；服务能够在用户登录之前由系统运行，这也是木马喜欢的运行方式。

Windows的用户账号信息记录在SAM（安全账户管理器）数据库中，一旦被黑客获取，便可以破解出所有Windows用户的密码。

3.3使用默认访问控制列表引起的安全问题

访问控制是实现用户、组和计算机访问网络上的对象的安全机制。权限是访问控制的重要概念，权限定义了授予用户或组对某个对象或对象属性的访问类型。在默认的情况下大多数的文件夹对Everyone组是完全控制的（Full Control）如果系统的管理员不进行修改，则系统的安全性将非常薄弱共享权限的使用在方便管理的同时，也容易导致安全问题尤其是系统的默认共享（比如IPC$、C$、ADMIN$等）常常被用来作为入侵通道利用。

总之，影响Windows 2003安全的因素还有很多，这些都需要我们采取相应措施来保证Windows 2003服务器系统安全的。

4 解决措施

4.1账户安全策略

账户安全策略包括密码策略、账户锁定策略和Kerberos策略三个方面。

密码策略用于域账户或本地用户账户。在Windows Server 2003系统中，可以通过账户策略设置中的“密码策略”来进行设置。密码为抵御对系统的非法访问的一个关键措施，它在保证网络安全中扮演的角色很重要，但是却经常被人们低估甚至忽略。用户设置习惯用生日、电话号码或者其它有意义的数字。在大多数情况下，这些密码都不可靠，容易被入侵者猜到或使用密码破解软件计算出来。

保护系统账户数据库的关键是系统账户的密码设置，密码设置在长度上应该在8位以上，而且由数字、字母和特殊字符组合而成，字母的大小写都用，创建安全级别高的密码。系统帐号策略依照如下原则设置：

具体方法：打开管理工具－本地安全设置－密码策略。

(1)密码要密码必须符合复杂性要求；

(2)密码最小值设为0；

(3)密码最长使用期限，设置得不要太长，一般一个月左右；

(4)密码最短使用期限设置为0天，确保随时可以更改密码；

(5)用可还原得加密来存储密码，这一项禁用，如果密码存储是可还原的话，则密码容易被破解。

账户锁定策略用于域账户或本地用户账户。包含账户锁定时间、账户锁定阈值、以及复位账户锁定计数器。账户锁定是指在某种情况下保护账户的安全而不允许账户登陆的一种策略，使得账户在一定时间内不能够登陆，避免被黑客重复输入破解密码，对黑客的猜测尝试尤为有效。Windows 2003系统在默认情况下，这种锁定策略并没有进行设定，对黑客的攻击没有任何限制，所以需要我们手动开启这项功能，指定账户锁定的阈值，当失败登陆次数超过设定的阈值时，则将该账户锁定，在一定时间内不允许其登陆。

4.2 删除默认共享、ipc$空连接，禁用不用端口

删除Windows 2003的默认共享可以提高系统的安全性。删除本地共享步骤为：运行cmd输入net share，net share admin$/delete net share c$/delete逐个删除；删除ipc$空连接步骤为：在运行内输入regedit，打开注册表编辑器，在注册表中找到HKEY-LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA项里数值名称RestrictAnonymous的数值数据由0改为1。

为了进一步增加服务器系统的安全，应当把不用的端口一律关闭，只开放提供服务所必需的端口。配置的方法是设置Internet协议(TCP/IP)的属性win8.1本地安全策略，启用TCP/IP筛选，只允许开放服务器提供网络服务所必需的TCP端口。

139端口是NetBIOS协议所使用的端口，在安装了TCP/IP协议的同时，NetBIOS也会被作为默认设置安装到系统中。139端口开放意味着硬盘可能会在网络中共享，网上攻击者可能会利用这一漏洞掌握你的电脑的详细情况。所以需要关闭本地139端口，其具有ipc和RPC漏洞。具体方法是：网络和拨号连接－本地连接－Internet协议（TCP/IP）属性－高级TCP/IP设置－WINS设置，选择禁用TCP/IP的NETBIOS，禁止RPC漏洞。

4.3精简系统组件和程序

系统组件和程序越多，可那的漏洞也就越多，对于那些无用的暂时不需要的组件和程序，应该将其删除，降低系统的风险。Windows Server 2003在默认情况下会安装Microsoft网络的文件和打印机共享，如果已经安装了，建议将其卸载；网络协议只安装TCP/IP协议就够了，不要安装NetBEUI协议、IPX/SPX协议等。建议服务器尽量不装多余的系统程序和应用程序，检查一遍已安装的程序列表，将不用的卸载。

4.4防火墙策略

只开放必要的端口，关闭其余端口。在系统安装好后缺省情况下，一般都有若干对外开放的缺省端口，黑客就会利用扫描工具扫描哪些端口可以利用，这对安全是一个严重威胁，关闭了不是必须的端口，可以极大地减小这种威胁。

4.5保持软件及防病毒工具为最新

在服务器系统安装完毕后，应及时从相关网站上下载和安装系统补丁程序。因为补丁程序要替换或修改某些系统文件，所以系统补丁的安装应该在所有组件安装完之后。在系统补丁没有安装好和防病毒工具安装好之前，先不要把主机接入网络。时刻关注系统漏洞信息，下载最新的系统补丁和漏洞补丁并安装到系统中，将防病毒工具的病毒库随时升级。定期使用漏洞扫描软件检查系统是否存在安全漏洞，一旦发现漏洞，马上打补丁。

4.6服务最小化

在Windows 2000，缺省运行的服务有很多，但是大部分服务基本上是闲置不用的，却徒然增加了对系统的威胁。在Windows Server 2003中，有一些不必要的一些服务已被禁用，如DDE服务等，但是仍然有一些不必要危险服务（如Remote Registry服务、SNMP服务等）在运行，这些服务常常被攻击者利用。入侵者通过对目标服务器进行扫描，能得到服务器上运行的服务类型等信息，进而找出服务器系统的安全漏洞。Windows Server 2003关闭了大多数服务，缺省的Windows 2003安装也可以达到一个很高的安全级别。但是由于服务是在无人参与的情况下启动的，用户有时候并不知道服务在运行，而且很多服务对于用户并没有实际作用，所以应当将不用的服务禁用。尤其是一些威胁的服务，更是为入侵者提供一个潜在的入侵通道，如Computer Browse,Distributed File System,Messenger,Remote Registry,Server,TCP/IP NetBIOS Helper,Telnet等，在安全要求较高的服务器上，建议将它们禁用。

5 小结

以上介绍了Windows Server 2003采用的用于提高安全性的组件，分析了影响Windows Server 2003的安全因素，由于篇幅原因，只是列出了几种比较常见的几种不安全因素，最后并给出了提高系统安全的措施。

参考文献：

[1]袁更华.Windows Server 2003组网与安全配置手册[M].北京:中国青年出版社,2004.

[2]刘晓辉.Windows Server 2003服务器搭建、配置与管理[M].北京:中国水利水电出版社,2004.