NT/2000服务器终极安全设置与效率优化指南（1）

来源：作者：出处：巧巧读书 2007-10-06 进入讨论组

　　在账户策略->密码策略中设定：

　　密码复杂性要求启用

　　密码长度最小值6位

　　强制密码历史5次

　　最长存留期30天

　　在账户策略->账户锁定策略中设定：

　　账户锁定3次错误登录

　　锁定时间20分钟

　　复位锁定计数20分钟

　　同样，TerminalService的安全日志默认也是不开的，我们可以在TerminalService

　　Configration（远程服务配置）-权限-高级中配置安全审核，一般来说只要记录登录、注销事件就可以了。

　　5.目录和文件权限：

　　为了控制好服务器上用户的权限，同时也为了预防以后可能的入侵和溢出，我们还必须非常小心地设置目录和文件的访问权限，NT的访问权限分为：读取、写入、读取及执行、修改、列目录、完全控制。在默认的情况下，大多数的文件夹对所有用户（Everyone这个组）是完全敞开的（Full

　　Control），你需要根据应用的需要进行权限重设。

　　在进行权限控制时，请记住以下几个原则：

　　1>限是累计的：如果一个用户同时属于两个组，那么他就有了这两个组所允许的所有权限；

　　2>拒绝的权限要比允许的权限高（拒绝策略会先执行）如果一个用户属于一个被拒绝访问某个资源的组，那么不管其他的权限设置给他开放了多少权限，他也一定不能访问这个资源。所以请非常小心地使用拒绝，任何一个不当的拒绝都有可能造成系统无法正常运行；

　　3>文件权限比文件夹权限高

　　4>利用用户组来进行权限控制是一个成熟的系统管理员必须具有的优良习惯之一；

　　5>仅给用户真正需要的权限，权限的最小化原则是安全的重要保障；

　　6.只安装一种操作系统；

　　说明：安装两种以上操作系统，会给黑客以可乘之机，利用攻击使系统重启到另外一个没有安全设置的操作系统（或者他熟悉的操作系统），进而进行破坏。

　　7.安装成独立的域控制器（StandAlone）,选择工作组成员，不选择域；

　　说明：主域控制器（PDC）是局域网中队多台联网机器管理的一种方式，用于网站服务器包含着安全隐患，使黑客有可能利用域方式的漏洞攻击站点服务器。

　　8.将操作系统文件所在分区与WEB数据包括其他应用程序所在的分区分开，并在安装时最好不要使用系统默认的目录，如将WINNT改为其他目录；

　　说明：黑客有可能通过WEB站点的漏洞得到操作系统对操作系统某些程序的执行权限，从而造成更大的破坏。同时如果采用IIS的话你应该在其设置中删除掉所有的无用的映射，同时不要安装索引服务，远程站点管理与服务器扩展最好也不要要，然后删掉默认路径下的www，整个删，不要手软，然后再硬盘的另一个硬盘建立存放你网站的文件夹，同时一定记得打开w3c日志纪录，切记（不过本人建议采用apache

收藏地址:http://www.qqread.com/network/server/a353315.html