第一篇：系統(tǒng)安全

系統(tǒng)安全.txt我退化了，到現(xiàn)在我還不會(huì)游泳，要知道在我出生之前，我絕對(duì)是游的最快的那個(gè)轉(zhuǎn)自小木蟲論壇http://emuch.net/bbs/viewthread.php?tid=178421&fpage=7別再使用使用電腦公司ＧＨＯＳＴ版系統(tǒng)了我的朋友告訴我有天晚上他在下載東西，睡不著，又閑著無聊，就拿出了掃描工具[s.exe,這個(gè)掃描工具的速度我認(rèn)為是非常快的]，掃描了

[***.***.1.1 ***.***.254.254]開了3389的IP，結(jié)果太另我驚奇了，開了3389的集子居然有186臺(tái)(時(shí)間是晚上1點(diǎn)多)，這個(gè)還不算什么，我就去連接遠(yuǎn)程桌面了，[對(duì)方是WindowsXP的系統(tǒng)]自然是要用戶名和密碼了，我就拿[Administrator，密碼為空]居然讓我進(jìn)去了，而且[Administrator是第一次登陸，沒有個(gè)人設(shè)置的]我就去看看他有哪些用戶，Guest自然是禁用的了，只有兩個(gè)管理員號(hào)碼[Administrator和new]，我沒動(dòng)它，管理員和我一樣，在下載東西，我加了他QQ，傳了個(gè)Radmin，搞定之后，我便去看看其他的3389機(jī)器了！我連接第二個(gè)掃描出來的3389IP也是WindowsXP的系統(tǒng)，還是老路用[Administrator,密碼空]去連的時(shí)候，提示[new]在線，我就有點(diǎn)奇怪了，他們兩個(gè)人的用戶怎么是一樣的啊，也沒怎么在意，這個(gè)IP暫時(shí)放一邊，換IP去連。IP在連，我的心也在涼！我連了186個(gè)IP，發(fā)現(xiàn)了一個(gè)特點(diǎn)：都開放了3389端口，都有Administrator和new這個(gè)用戶，而且密碼都為空。這意味著什么呢！還有一臺(tái)電腦我進(jìn)去了，他是剛裝的系統(tǒng)和驅(qū)動(dòng)，什么都沒設(shè)置，人不在，我看了他可能把硬盤全格式化了，里面都沒文件。現(xiàn)在我就能確定一件事情啦：他們安裝完系統(tǒng)之后，就開了3389，而且建立了一個(gè)用戶[new，密碼空]。怎么可以這樣實(shí)現(xiàn)呢，據(jù)我初步估計(jì)，他們一定是在網(wǎng)上下載了GHOST版系統(tǒng)，很可能是，別人在自己的系統(tǒng)里面做了后門，然后做成了鏡像，給你們下載！當(dāng)你們安裝了之后。。。。以上的事情絕對(duì)是真實(shí)的！在此，我強(qiáng)烈建議大家不要為了省時(shí)間，安裝GHOST系統(tǒng)，論壇上志鴻兄弟的那個(gè)就很好啊，或者你直接下一個(gè)xp505原版的iso算號(hào)安裝。大家看了這個(gè)帖子之后就到命令提示符下面去打這個(gè)命令:netstat-na上面的那個(gè)命令是可以查看自己開了哪些端口的！還有就是給自己的用戶設(shè)置好密碼，特別提醒，發(fā)現(xiàn)自己有new這個(gè)用戶的朋友，建議你們換系統(tǒng)吧(估計(jì)你們還是很菜，即使在論壇上說了怎么搞，你們也未必會(huì)搞)！好了，我就寫到這里了，下面的事情，你們自己去辦吧！解決方案:1.系統(tǒng)屬性——遠(yuǎn)程——把“允許從這臺(tái)計(jì)算機(jī)發(fā)送遠(yuǎn)程協(xié)助邀請(qǐng)”和“允許用戶遠(yuǎn)程連接到此計(jì)算機(jī)”復(fù)選框前面的勾去掉！2.開始——控制面板——管理工具——服務(wù)，“Terminal Services”(允許用戶以交互方式連接到遠(yuǎn)程計(jì)算機(jī)。遠(yuǎn)程桌面、快速用戶切換、遠(yuǎn)程協(xié)助和終端服務(wù)器依賴此服務(wù)-停止或禁用此服務(wù)會(huì)使您的計(jì)算機(jī)變得不可靠。要阻止遠(yuǎn)程使用此計(jì)算機(jī)，請(qǐng)?jiān)凇跋到y(tǒng)”屬性控制面板項(xiàng)目上清除“遠(yuǎn)程”選項(xiàng)卡上的復(fù)選框。)括號(hào)里的是關(guān)于這個(gè)服務(wù)的描述。禁用了吧！3.開始——控制面板——管理工具——本地安全策略——本地策略——用戶權(quán)限分配——通過終端服務(wù)允許登陸，你把“Administrators”和“Remote Desktop Users”刪除。4.把用戶[new]、用戶[Guest]和用戶[Administrator]重命名，并且設(shè)置一個(gè)強(qiáng)密碼(推薦：字母＋數(shù)字＋字符，的組合)！5.控制面板——Windows防火墻——例外——把“遠(yuǎn)程桌面”前的復(fù)選框的勾去掉！

6.從IP策略里面關(guān)閉木馬和病毒默認(rèn)開放的端口。7.安裝第三方防火墻！8.多去看看系統(tǒng)日志（開始——控制面板——管理工具——事件查看器）9.平時(shí)多用netstat-na這個(gè)命令，去看看有沒有開放陌生的端口(運(yùn)行cmd，在命令提示符下輸入netstat-na),也許。。10.養(yǎng)成良好的上網(wǎng)習(xí)慣！本人經(jīng)瑞星防火墻驗(yàn)證確實(shí)有人通過3389端口連接我的電腦。有江西、陜西、河北等地，請(qǐng)大家注意。

第二篇：系統(tǒng)安全

系統(tǒng)安全

各種信息系統(tǒng)的信息量吞吐龐大，而且需要不間斷地實(shí)時(shí)運(yùn)行。因此系統(tǒng)應(yīng)具有高穩(wěn)定性和高安全性，以防范電子威脅、物理威脅和信息威脅等。

系統(tǒng)安全包括多個(gè)方面：物理安全，數(shù)據(jù)安全，通信/網(wǎng)絡(luò)安全，操作系統(tǒng)安全，應(yīng)用軟件安全以及管理安全。系統(tǒng)安全示意圖如下圖所示：

圖系統(tǒng)安全示意圖

1物理安全

物理平臺(tái)安全指運(yùn)行整個(gè)系統(tǒng)所需要的基本環(huán)境設(shè)施，包括計(jì)算機(jī)房、電源供給和備份等。? 計(jì)算機(jī)房安全措施

計(jì)算機(jī)機(jī)房及相關(guān)設(shè)施的設(shè)計(jì)與建設(shè)，必須符合國家、行業(yè)和地方有關(guān)的技術(shù)規(guī)范和標(biāo)準(zhǔn)，以保障環(huán)境安全。? 電源供給系統(tǒng)安全措施

電源供給是整個(gè)系統(tǒng)的生命線，必須考慮設(shè)計(jì)三種保障機(jī)制：第一種方式是雙電路供電，即完全引用兩個(gè)不同的輸配電網(wǎng)在線電源供電；第二種方式是發(fā)電機(jī)熱備份，即在正常狀態(tài)下由能夠滿足負(fù)荷要求的專用發(fā)電機(jī)提供在線電源熱備份；第三種方式是由大功率不間斷電源供給系統(tǒng)在線電源熱備份。? 消防安全措施

主要設(shè)施與環(huán)境的消防安全保障，必須符合國家、行業(yè)和地方有關(guān)的規(guī)范和標(biāo)準(zhǔn)，以保障環(huán)境安全。? 選用高可靠性服務(wù)器以及其他硬件設(shè)施

硬件設(shè)施本身可靠性以及性能對(duì)系統(tǒng)的安全性影響至關(guān)重要，只有選用經(jīng)過長期穩(wěn)定使用的，高可靠性的硬件產(chǎn)品才能保證整個(gè)系統(tǒng)在運(yùn)轉(zhuǎn)中長期處于可靠、高效、安全的狀態(tài)。2網(wǎng)絡(luò)安全

采用專網(wǎng)設(shè)計(jì)，運(yùn)用網(wǎng)閘等先進(jìn)工具保證數(shù)據(jù)的物理隔離，實(shí)現(xiàn)各個(gè)子網(wǎng)的物理隔離。3數(shù)據(jù)安全

保證數(shù)據(jù)庫的安全與穩(wěn)定，對(duì)純粹數(shù)據(jù)信息的安全保護(hù)，以

數(shù)據(jù)庫信息的保護(hù)最為典型。對(duì)各種功能文件的保護(hù)，終端安全很重要。為確保這些數(shù)據(jù)的安全，在網(wǎng)絡(luò)信息安全系統(tǒng)的設(shè)計(jì)中必須包括以下內(nèi)容：

? 采用高可靠版本的SQL Server 2008數(shù)據(jù)庫，配置安全級(jí)別以及訪問控制。

? 采用本地?zé)醾浞荨⑦h(yuǎn)程異地?zé)醾浞莺偷谌匠斜５姆绞竭M(jìn)行數(shù)據(jù)備份，保障數(shù)據(jù)安全。? 配置數(shù)據(jù)備份和恢復(fù)工具 ? 采用數(shù)據(jù)訪問控制措施 ? 進(jìn)行用戶的身份鑒別與權(quán)限控制 ? 采用數(shù)據(jù)機(jī)密性保護(hù)措施，如密文存儲(chǔ) ? 采用數(shù)據(jù)完整性保護(hù)措施 ? 防止非法軟件拷貝和硬盤啟動(dòng) ? 防病毒

? 備份數(shù)據(jù)的安全保護(hù) 4系統(tǒng)安全

該層次的安全問題來自網(wǎng)絡(luò)內(nèi)使用的操作系統(tǒng)的安全和應(yīng)用軟件的安全。主要表現(xiàn)在以下方面，一是操作系統(tǒng)本身的缺陷帶來的不安全因素，主要包括身份認(rèn)證、訪問控制、系統(tǒng)漏洞等。二是對(duì)運(yùn)行操作系統(tǒng)的物理設(shè)備損壞問題。三是病毒對(duì)操作系統(tǒng)的威脅。我們將采用CA認(rèn)證機(jī)制等并設(shè)置復(fù)雜的訪問密碼，配置

完善的安全策略，同時(shí)采用多種操作系統(tǒng)，多機(jī)多信道冗余以及采用先進(jìn)的防病毒、防黑客工具，最大限度地防止上述不安全因素造成損失。

同時(shí)，也應(yīng)考慮在登入應(yīng)用軟件系統(tǒng)時(shí)的身份驗(yàn)證，數(shù)據(jù)傳輸過程中的信息加密，指揮過程中的身份確認(rèn)和身份控制以及軟件系統(tǒng)的使用權(quán)限等問題。

同時(shí)，應(yīng)用軟件系統(tǒng)將采用嚴(yán)格的身份認(rèn)證和權(quán)限控制機(jī)制，運(yùn)用多層次的用戶權(quán)限，包括系統(tǒng)級(jí)權(quán)限，模塊級(jí)權(quán)限，功能級(jí)權(quán)限，字段級(jí)權(quán)限以及業(yè)務(wù)記錄級(jí)權(quán)限等。采用嚴(yán)格的用戶授權(quán)管理保證不同的權(quán)限訪問不同的數(shù)據(jù)。

? 系統(tǒng)級(jí)權(quán)限：不同權(quán)限的用戶訪問不同的功能模塊，實(shí)現(xiàn)功能模塊訪問的權(quán)限劃分。

? 業(yè)務(wù)級(jí)權(quán)限：不同權(quán)限的用戶訪問功能模塊中的不同子模塊，實(shí)現(xiàn)細(xì)小功能模塊的權(quán)限控制。

? 功能權(quán)限：不同權(quán)限的用戶訪問功能模塊中的不同業(yè)務(wù)功能，限制部分業(yè)務(wù)功能的使用范圍，保證系統(tǒng)安全。

? 字段級(jí)權(quán)限：限制未授權(quán)用戶/訪問修改被保護(hù)的數(shù)據(jù)，保證了敏感數(shù)據(jù)的安全。

? 業(yè)務(wù)記錄級(jí)權(quán)限：限制部分用戶只能訪問/修改某些被授權(quán)的數(shù)據(jù)，例如操作員只能訪問模塊中有關(guān)自己業(yè)務(wù)范疇的數(shù)據(jù)，但領(lǐng)導(dǎo)可以訪問各種數(shù)據(jù)，統(tǒng)攬全局。

為此，系統(tǒng)需要記錄詳盡的操作日志，使任何操作有據(jù)可查。

5管理安全

安全管理包括安全技術(shù)和設(shè)備的管理、安全管理制度、部門與人員的組織規(guī)則等。管理的制度化極大程度地影響著整個(gè)網(wǎng)絡(luò)的安全，嚴(yán)格的安全管理制度、明確的部門安全職責(zé)劃分、合理的人員角色配置都可以在很大程度上降低其它層次的安全漏洞。? 針對(duì)網(wǎng)絡(luò)系統(tǒng)，隨著安全工程的規(guī)劃與實(shí)施，必須逐漸建立健全一套自上而下的安全組織機(jī)構(gòu)與有關(guān)管理的規(guī)章制度。? 與網(wǎng)絡(luò)安全工程的層次結(jié)構(gòu)相對(duì)應(yīng)，安全組織結(jié)構(gòu)也應(yīng)采用分層結(jié)構(gòu)。建議指定專門機(jī)構(gòu)和人員，負(fù)責(zé)全網(wǎng)所有日常安全管理活動(dòng)，主要職責(zé)有：(1)監(jiān)視全網(wǎng)運(yùn)行和安全告警信息

(2)網(wǎng)絡(luò)各個(gè)層次審計(jì)與日志信息的常規(guī)分析(3)安全設(shè)備的常規(guī)設(shè)置與維護(hù)

(4)全網(wǎng)與下一級(jí)網(wǎng)絡(luò)安全策略的規(guī)劃、制定與實(shí)施(5)網(wǎng)絡(luò)安全事件的處理等

? 在下屬各專網(wǎng)設(shè)置安全工作小組，接受全網(wǎng)安全管理中心的指導(dǎo)，主要負(fù)責(zé)該層次網(wǎng)絡(luò)的安全事務(wù)。

? 網(wǎng)絡(luò)系統(tǒng)的安全規(guī)章制度分兩部分，一是國家及主管部門在信息安全方面的法律、法規(guī)與規(guī)定；另一部分是網(wǎng)絡(luò)系統(tǒng)自身的制度和規(guī)定，它應(yīng)該與網(wǎng)絡(luò)所采取的各種安全機(jī)制相輔相成，互為補(bǔ)充。

? 可采用動(dòng)態(tài)登入密碼機(jī)制，保護(hù)密碼安全。

第三篇：系統(tǒng)安全整改意見范文

系統(tǒng)安全整改意見

去年十二月底，按照《人社部函[2011] 243 號(hào)關(guān)于開展2011年人力資源社會(huì)保障信息系統(tǒng)安全檢查的通知》的要求，我局對(duì)全局的信息系統(tǒng)進(jìn)行了認(rèn)真的排查。

一、系統(tǒng)安全整改工作存在的問題：

（一）重要崗位人員信息安全和保密協(xié)定未簽訂；

（二）設(shè)備維修和報(bào)廢管理制度雖已建立，但維修和

報(bào)廢記錄不完整；

（三）電子郵箱賬戶無口令強(qiáng)度限制措施；

（四）對(duì)終端計(jì)算機(jī)接入互聯(lián)網(wǎng)無控制措施；

（五）對(duì)移動(dòng)存儲(chǔ)介質(zhì)未采取集中管理，未配備電子

信息消除或銷毀設(shè)備；

（六）信息安全培訓(xùn)教育未有效開展；

（七）與信息技術(shù)外包服務(wù)機(jī)構(gòu)未簽訂信息安全和

保密協(xié)議；

（八）遇到計(jì)算機(jī)病毒侵襲等突發(fā)事件處理不夠

及時(shí)；

（九）專業(yè)技術(shù)人員較少，信息系統(tǒng)安全方面可

投入的力量有限；

（十）規(guī)章制度體系初步建立，但還不完善，未

能覆蓋相關(guān)信息系統(tǒng)安全的所有方面；

二、整改工作的側(cè)重點(diǎn)

（一）繼續(xù)加強(qiáng)對(duì)干部的安全意識(shí)教育，提高做好安

全工作的主動(dòng)性和自覺性；

（二）切實(shí)增強(qiáng)信息安全制度的落實(shí)工作，不定期的對(duì)安全制度執(zhí)行情況進(jìn)行檢查，對(duì)于導(dǎo)致不良

后果的責(zé)任人，要嚴(yán)肅追究責(zé)任，從而提高人

員安全防護(hù)意識(shí)；

（三）以制度為根本，在進(jìn)一步完善信息安全制度的同時(shí)，安排專人，完善設(shè)施，密切監(jiān)測(cè)，隨時(shí)

隨地解決可能發(fā)生的信息系統(tǒng)安全事故；

（四）要加大對(duì)線路、系統(tǒng)等的及時(shí)維護(hù)和保養(yǎng)，加

大更新力度；

（五）提高安全工作的現(xiàn)代化水平，便于我們進(jìn)一步

加強(qiáng)對(duì)計(jì)算機(jī)信息系統(tǒng)安全的防范和保密工

作；

（六）加強(qiáng)信息網(wǎng)絡(luò)安全技術(shù)人員培訓(xùn)，使安全技術(shù)

人員及時(shí)更新信息網(wǎng)絡(luò)安全管理知識(shí)，提高相

關(guān)管理及法律法規(guī)等的認(rèn)識(shí)，不斷地加強(qiáng)信息

網(wǎng)絡(luò)安全管理和技術(shù)防范水平；

（七）繼續(xù)加強(qiáng)以密碼技術(shù)為基礎(chǔ)的信息保護(hù)盒網(wǎng)絡(luò)信

任體系建設(shè)，加強(qiáng)對(duì)各種密碼、口令的管理和控

制，使之切實(shí)起到保密作用；

（八）全面推進(jìn)對(duì)各種信息安全技術(shù)產(chǎn)品的應(yīng)用；牢固

建立信息系統(tǒng)安全工作的基石。

三、對(duì)整改工作的意見和建議

（一）加大資金投入，積極創(chuàng)造條件。加大信息安全投入，深入推進(jìn)安全設(shè)施裝備建設(shè)，全面增強(qiáng)安全技術(shù)防范能力，切實(shí)實(shí)現(xiàn)安全工作現(xiàn)代化。應(yīng)根據(jù)工作實(shí)際需要，加大對(duì)安全設(shè)施軟硬件的投入，增加必要的網(wǎng)絡(luò)安全和監(jiān)控設(shè)施、涉密計(jì)算機(jī)和專用移動(dòng)存儲(chǔ)介質(zhì)、安全專用檢查工作等設(shè)備及企業(yè)級(jí)安全專用軟件等，從軟硬件上雙管齊下，位安全工作開創(chuàng)有利局面。

（二）嚴(yán)格完善落實(shí)管理制度，切實(shí)做好安全管理工作。信息技術(shù)日新月異的發(fā)展使安全管理面臨前所未有的挑戰(zhàn)，我們必須創(chuàng)新工作思路，開拓工作視野，完善工作措施，全面完善落實(shí)對(duì)計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)及相關(guān)設(shè)備的管理工作。一方面要嚴(yán)格執(zhí)行涉密文件、涉密電子信息在傳遞、輪閱、存儲(chǔ)等各個(gè)環(huán)節(jié)的保護(hù)標(biāo)準(zhǔn)，堵住泄密源頭；另一方面，嚴(yán)格執(zhí)行內(nèi)外網(wǎng)物理隔離制度，堅(jiān)決杜絕非法互聯(lián)，公私混用等違規(guī)操作；三是妥善處理信息公開和保密的關(guān)

系，嚴(yán)格上網(wǎng)信息審查工作；最后還要做好設(shè)備采購、使用、維修、報(bào)廢等環(huán)節(jié)的防護(hù)措施，消除制度隱患。

（三）深入開展隊(duì)伍建設(shè)，切實(shí)做好安全工作。信息化安全工作專業(yè)性強(qiáng)，對(duì)人員的綜合素質(zhì)要求高。不但要熟練掌握專業(yè)技術(shù)工作，而且要熟悉我局的各項(xiàng)業(yè)務(wù)，能夠比較精準(zhǔn)的把握我局信息安全工作的重點(diǎn)。要按照政治強(qiáng)。業(yè)務(wù)精、作風(fēng)好、紀(jì)律嚴(yán)的要求，把那些素質(zhì)高，責(zé)任感強(qiáng)，業(yè)務(wù)能力優(yōu)的人員充實(shí)到安全工作崗位上來，同時(shí)積極招聘培養(yǎng)新進(jìn)人員，為做好信息化安全工作提供強(qiáng)有力的支撐。

（四）大力加強(qiáng)對(duì)信息網(wǎng)絡(luò)安全技術(shù)人員的培訓(xùn)工作，積極有效地及時(shí)更新安全技術(shù)人員信息網(wǎng)絡(luò)安全管理知識(shí)，全面提高其相關(guān)管理及法律法規(guī)等的認(rèn)識(shí)，不斷加強(qiáng)其信息網(wǎng)絡(luò)安全管理和技術(shù)防范水平。同時(shí)還要加強(qiáng)對(duì)全局干部職工的安全教育培訓(xùn)工作，大力開展安全教育培訓(xùn)，爭(zhēng)取使我局全體人員的安全防范意識(shí)再上新的臺(tái)階。

第四篇：系統(tǒng)安全性需求

系統(tǒng)安全性需求

系統(tǒng)保密性：只有授權(quán)的用戶才能動(dòng)用和修改信息系統(tǒng)的信息，而且必須防止信息的非法、非授權(quán)的泄漏。

系統(tǒng)完整性：也就是說信息必須以其原形被授權(quán)的用戶所用，也只有授權(quán)的用戶才能修改信息。

漏洞檢測(cè)和安全風(fēng)險(xiǎn)評(píng)估：識(shí)別檢測(cè)對(duì)象的系統(tǒng)資源，分析這一資源被攻擊的可能指數(shù)，了解支撐系統(tǒng)本身的脆弱性，評(píng)估所有存在的安全風(fēng)險(xiǎn)

可用性和抗毀性：設(shè)備備份機(jī)制、容錯(cuò)機(jī)制，防止在系統(tǒng)出現(xiàn)單點(diǎn)失敗時(shí)，系統(tǒng)的備份機(jī)制保證系統(tǒng)的正常運(yùn)行。

系統(tǒng)防病毒：網(wǎng)絡(luò)防病毒系統(tǒng)應(yīng)基于策略集中管理的方式，使得分布式的企業(yè)級(jí)病毒防護(hù)不再困難，而且提供病毒定義的實(shí)時(shí)自動(dòng)更新功能。

第五篇：2003系統(tǒng)安全設(shè)置

Windows Server 2003(企業(yè)版32位)系統(tǒng)安全設(shè)置

系統(tǒng)中最多裝一個(gè)殺毒軟件和RAR解壓縮工具和很小的一個(gè)流量監(jiān)控軟件。其他的無關(guān)軟件也一律不要安裝，甚至不用裝office。多一個(gè)就會(huì)多一份漏洞和不安全隱患。開啟系統(tǒng)自帶防火墻是正確有效的防護(hù)，請(qǐng)相信微軟的智商。通過以下基本安全設(shè)置后，加上服務(wù)器管理員規(guī)范的操作，服務(wù)器一般不會(huì)出現(xiàn)什么意外了，畢竟我們的服務(wù)器不是用來架設(shè)多個(gè)WEB網(wǎng)站的，造成漏洞的可能性大大降低。當(dāng)然，沒有絕對(duì)的事，做好服務(wù)器系統(tǒng)和OA數(shù)據(jù)備份是必須的。

如果對(duì)以下操作不太熟悉，建議先在本地機(jī)器練練，不要拿用戶服務(wù)器測(cè)試，以免造成其他問題。

另贈(zèng)送32位和64位的系統(tǒng)解釋：windows server 200332位和64位操作系統(tǒng)的區(qū)別 問：

1、windows server 2003 32位和64位操作系統(tǒng)的區(qū)別2、32位windows server 2003是否可以用在兩路四核 E5410 2.33GHz處理器和4x2GB內(nèi)存上

答：

1、32位和64位的差別在于如果你的CPU是64位的，64位的OS能夠完全發(fā)揮CPU的性能，而不需要使CPU運(yùn)行在32位兼容模式下。

2、32位windows server 2003可以用在兩路四核 E5410 2.33GHz處理器和4x2GB內(nèi)存上，通過PAE模式也可以支持4G以上內(nèi)存。

另外補(bǔ)充一下，Windows Server 2003的硬件支持特性并不是由32位或64位來決定的，而是由OS本身的版本來決定的。

以Windows Server 2003為例，標(biāo)準(zhǔn)版可以支持的最大CPU數(shù)為4路，最大內(nèi)存數(shù)為4G，而企業(yè)版則可以支持最大CPU數(shù)8路，最大內(nèi)存數(shù)32G。

回正題：

(一)禁用不需要的服務(wù)

Alerter通知選定的用戶和計(jì)算機(jī)管理警報(bào)。

Computer Browser維護(hù)網(wǎng)絡(luò)上計(jì)算機(jī)的更新列表，并將列表提供給計(jì)算機(jī)指定瀏覽。

Error Reporting Service 收集、存儲(chǔ)和向 Microsoft 報(bào)告異常應(yīng)用程序崩潰。

Help and Support啟用在此計(jì)算機(jī)上運(yùn)行幫助和支持中心。

Print Spooler管理所有本地和網(wǎng)絡(luò)打印隊(duì)列及控制所有打印工作。

Remote Registry使遠(yuǎn)程用戶能修改此計(jì)算機(jī)上的注冊(cè)表設(shè)置。

Remote Desktop Help Session Manager 管理并控制遠(yuǎn)程協(xié)助。

Server支持此計(jì)算機(jī)通過網(wǎng)絡(luò)的文件、打印、和命名管道共享。

Task Scheduler使用戶能在此計(jì)算機(jī)上配置和計(jì)劃自動(dòng)任務(wù)。(如果不需要可以禁用)可能需要

TCP/IP NetBIOS Helper 提供 TCP/IP(NetBT)服務(wù)上的 NetBIOS 和網(wǎng)絡(luò)上客戶端的 NetBIOS 名稱解析的支持，從而使用戶能夠共享文件、打印和登錄到網(wǎng)絡(luò)。

Workstation創(chuàng)建和維護(hù)到遠(yuǎn)程服務(wù)的客戶端網(wǎng)絡(luò)連接。

禁用以上列出的服務(wù)，系統(tǒng)默認(rèn)已經(jīng)禁用的服務(wù)如果特殊需要請(qǐng)不要開啟。

(二)本地安全策略設(shè)置

打開【控制面版】，找到【管理工具】，打開【本地安全策略】

帳戶策略—>帳戶鎖定策略 1)

2)

3)

4)將帳戶鎖定閾值，由默認(rèn)值0改為5，即5次無效登錄，帳戶將被鎖定30分鐘。可根據(jù)實(shí)際情況進(jìn)行修改。帳戶鎖定時(shí)間默認(rèn)為30分鐘，可以根據(jù)需要改成更長或更短的時(shí)間。本地策略—>審核策略 審核策略更改成功 失敗 審核登錄事件成功 失敗 審核對(duì)象訪問失敗 審核過程跟蹤無審核 審核目錄服務(wù)訪問失敗 審核特權(quán)使用失敗 審核系統(tǒng)事件成功 失敗 審核賬戶登錄事件 成功 失敗 審核賬戶管理成功 失敗 本地策略—>用戶權(quán)限分配 關(guān)閉系統(tǒng)只留Administrators組、其它全部刪除。允許通過終端服務(wù)登錄 只留Administrators，Remote Desktop Users組，其他全部刪除。本地策略—>安全選項(xiàng)

交互式登陸: 不顯示上次的用戶名啟用

(Interactive logon: Do not display last user name啟用)

網(wǎng)絡(luò)訪問: 不允許 SAM 帳戶和共享的匿名枚舉啟用

(Network access: Do not allow anonymous enumeration of SAM accounts and shares 啟用)

網(wǎng)絡(luò)訪問: 不允許存儲(chǔ)網(wǎng)絡(luò)身份驗(yàn)證的憑據(jù)或.NET Passports啟用

(Network access: Do not allow storage of credentials or.NET Passports for network authentication 啟

用)

網(wǎng)絡(luò)訪問: 可匿名訪問的共享全部刪除

(Network access: Shares that can be accessed anonymously 全部刪除)

網(wǎng)絡(luò)訪問: 可匿名訪問的命名管道全部刪除

(Network access: Named Pipes that can be accessed anonymously 全部刪除)

網(wǎng)絡(luò)訪問: 可遠(yuǎn)程訪問的注冊(cè)表路徑全部刪除

(Network access: Remotely accessible registry paths 全部刪除)

網(wǎng)絡(luò)訪問: 可遠(yuǎn)程訪問的注冊(cè)表路徑和子路徑全部刪除

(Network access: Remotely accessible registry paths and sub-paths 全部刪除)

帳戶：重命名來賓帳戶輸入一個(gè)新的帳戶

帳戶：重命名系統(tǒng)管理員帳戶輸入一個(gè)新的帳戶

(三)改名或卸載最不安全的組件，防止ASP網(wǎng)馬運(yùn)行，（沒有架設(shè)ASP運(yùn)行環(huán)境，這一步可以不做）

1)卸載最不安全的組件

最簡單的辦法是直接卸載后刪除相應(yīng)的程序文件。將下面的代碼保存為一個(gè).bat文件，然后運(yùn)行一下，WScript.Shell, Shell.application, WScript.Network就會(huì)被卸載了。可能會(huì)提示無法刪除文件，不用管它，重啟一下服務(wù)器就可以了。

regsvr32/u C:WINDOWSSystem32wshom.ocx

del C:WINDOWSSystem32wshom.ocx

regsvr32/u C:WINDOWSsystem32shell32.dll

del C:WINDOWSsystem32shell32.dll

2)改名不安全組件(這一步可以不做)

a)Scripting.FileSystemObject可以對(duì)文件和文件夾進(jìn)行常規(guī)操作

禁用該組件并不是最理想的安全措施，禁用后會(huì)導(dǎo)致大部ASP網(wǎng)站無法運(yùn)行

定位到HKEY_CLASSES_ROOTScripting.FileSystemObject將其重命名

定位到HKEY_CLASSES_ROOTScripting.FileSystemObjectCLSID刪除其右側(cè)的默認(rèn)值

禁止Guests組用戶調(diào)用此組件，運(yùn)行中輸入“cacls C:WINDOWSsystem32scrrun.dll /e /d guests” b)WScript.Shell可以調(diào)用系統(tǒng)內(nèi)核運(yùn)行DOS基本命令，非常危險(xiǎn)

定位到HKEY_CLASSES_ROOTWScript.Shell將其重命名

定位到HKEY_CLASSES_ROOTWScript.ShellCLSID刪除其右側(cè)的默認(rèn)值

定位到HKEY_CLASSES_ROOTWScript.Shell.1將其重命名

定位到HKEY_CLASSES_ROOTWScript.Shell.1CLSID刪除其右側(cè)的默認(rèn)值

c)Shell.Application可以調(diào)用系統(tǒng)內(nèi)核運(yùn)行DOS基本命令，非常危險(xiǎn)

定位到HKEY_CLASSES_ROOTShell.Application將其重命名

定位到HKEY_CLASSES_ROOTShell.ApplicationCLSID刪除其右側(cè)的默認(rèn)值

定位到HKEY_CLASSES_ROOTShell.Application.1將其重命名

定位到HKEY_CLASSES_ROOTShell.Application.1CLSID刪除其右側(cè)的默認(rèn)值

禁止Guests組用戶調(diào)用此組件，運(yùn)行中輸入“cacls C:WINDOWSsystem32shell32.dll /e /d guests”

d)WScript.Network為ASP程序羅列和創(chuàng)建系統(tǒng)用戶(組)提供了可能

定位到HKEY_CLASSES_ROOTWScript.Network將其重命名

定位到HKEY_CLASSES_ROOTWScript.NetworkCLSID刪除其右側(cè)的默認(rèn)值

定位到HKEY_CLASSES_ROOTWScript.Network.1將其重命名

定位到HKEY_CLASSES_ROOTWScript.Network.1CLSID刪除其右側(cè)的默認(rèn)值0

注：以上操作需要重新啟動(dòng)服務(wù)后才會(huì)生效。

(四)組策略設(shè)置（運(yùn)行中輸入“gpedit.msc”打開）

1)關(guān)閉自動(dòng)播放

有兩處需要修改分別是：

1、計(jì)算機(jī)配置—>管理模板—>系統(tǒng)(System)

2、用戶配置—>管理模板—>系統(tǒng)(System)

將兩處的“關(guān)閉自動(dòng)播放(Turn off Autoplay)”設(shè)置成“已啟用”同時(shí)選擇“所有驅(qū)動(dòng)器(All drives)”

(五)禁止dump file的產(chǎn)生

dump文件在系統(tǒng)崩潰和藍(lán)屏的時(shí)候是一份很有用的查找問題的資料。然而，它也能夠給黑客提供一些敏感信息比如一些應(yīng)用程序的密碼等。

1)右擊【我的電腦】選擇【屬性】打開【系統(tǒng)屬性】，點(diǎn)擊【啟動(dòng)和故障恢復(fù)】的【設(shè)置】，將【寫入調(diào)試信息】由“完全內(nèi)存轉(zhuǎn)儲(chǔ)”改為“(無)”，并刪除C:WINDOWS下的MEMORY.DMP（如果存在這個(gè)文件）

2)關(guān)閉華醫(yī)生Dr.Watson，在運(yùn)行中輸入“drwtsn32”調(diào)出系統(tǒng)里的華醫(yī)生Dr.Watson，只保留“轉(zhuǎn)儲(chǔ)全部線程上下文”選項(xiàng)，否則一旦程序出錯(cuò)，硬盤會(huì)讀很久，并占用大量空間。同時(shí)刪除C:Documents and SettingsAdministratorLocal SettingsApplication DataMicrosoftDr Watson下的user.dmp（如果存在這個(gè)文件）

(六)網(wǎng)絡(luò)連接設(shè)置

1)打開網(wǎng)絡(luò)連接的屬性，去掉“Microsoft網(wǎng)絡(luò)客戶端(Client for Microsoft Networkd)”和“Microsoft網(wǎng)絡(luò)的文件和打印機(jī)共享(File and Printer Sharing for Microsoft Netwoks)”前的勾

2)打開“Internet 協(xié)議(TCP/IP)(Internet Protocol(TCP/IP))”的屬性，點(diǎn)擊【高級(jí)】再點(diǎn)擊【W(wǎng)INS】選項(xiàng)卡，選擇“禁用TCP/IP上的NetBIOS”，這樣可以關(guān)閉139端口。

3)開啟Windwos自帶的防火墻

打開本地連接屬性，點(diǎn)擊【高級(jí)】再點(diǎn)擊【設(shè)置】，會(huì)提示你防火墻沒有運(yùn)行，點(diǎn)擊【是】開啟防火墻，在防火墻設(shè)置對(duì)話框【常規(guī)】選項(xiàng)卡中點(diǎn)擊“啟用”（不要勾選“不允許例外”），然后在【例外】選項(xiàng)卡中點(diǎn)擊【添加端口】，添加需要的端口如21，25，80，110，1433，3306，3389

等，在【高級(jí)】選項(xiàng)卡中點(diǎn)擊ICMP的【設(shè)置】勾選“允許傳入回顯請(qǐng)求”

OA系統(tǒng)一般開啟的端口是80，精靈1188和視頻會(huì)議1935，現(xiàn)在的高百特不知是什么端口了（UDP協(xié)議），遠(yuǎn)程桌面3389，其他不要開。

(七)本地用戶和組設(shè)置

1)禁用Guest（如果之前已經(jīng)重命名了來賓帳戶，則禁用重命名后的帳戶），SUPPORT_388945a0，SQLDebugger（安裝了SQL Server 2000后會(huì)出現(xiàn)這個(gè)帳戶）

2)創(chuàng)建Administrator陷阱帳戶（前題需要已經(jīng)重命名了系統(tǒng)管理員帳戶）并設(shè)置一個(gè)超過10位的超級(jí)復(fù)雜密碼

3)重命名Administrators組，在組里面右擊Administrators選擇重命名(Rename)，然后輸入一個(gè)新的名字。這樣即使系統(tǒng)出現(xiàn)了溢出漏洞，想通過“net localgroup administraots xxx /add”來提權(quán)是根本不可能的了，除非知道重命名后的管理員組的名字。

(八)防止Serv-U權(quán)限提升，（一般OA服務(wù)器中不會(huì)架設(shè)這個(gè)FTP，可不用設(shè)置）

1)用Ultraedit打開ServUDaemon.exe查找“Ascii:LocalAdministrator”和“#l@$ak#.lk;0@P”修改成等長度的其它字符就可以了，ServUAdmin.exe也一樣處理。

2)另外注意設(shè)置Serv-U所在的文件夾的權(quán)限，不要讓IIS匿名用戶有讀取的權(quán)限，否則人家下走你修改過的文件，照樣可以分析出你的管理員名和密碼。

3)

(九)IIS設(shè)置（一般OA服務(wù)器中不會(huì)架設(shè)這個(gè)IIS，可不用設(shè)置）

1)

2)

3)修改默認(rèn)FTP站點(diǎn)的主目錄路徑為C:ftproot 刪除或停用網(wǎng)站目錄下的默認(rèn)網(wǎng)站 在Web服務(wù)擴(kuò)展里面將Active Server Pages設(shè)置為允許

（十）windows2003修改遠(yuǎn)程登陸端口號(hào)

現(xiàn)在利用終端服務(wù)(3389漏洞)結(jié)合輸入法漏洞攻擊Win 2003 Server的案例越來越多，作為一條安全措施，可以修改一下終端服務(wù)所提供的端口，使常規(guī)的掃描器掃描不到。但這個(gè)方法說到底仍然是一個(gè)治標(biāo)不治本的辦法，如果攻擊者知道修改了的端口所提供的服務(wù)后，仍然會(huì)連接上你的終端服務(wù)器的(不過幾率微小)。

具體操作如下：

在服務(wù)器上做如下修改： 開始/運(yùn)行/Regedt32.exe，找到：

KEY＿LOCAL＿M(jìn)ACHINESYSTEMCurrentControlSetControlTerminal ServerWdsrdpwdTdstcpHKEY＿LOCAL＿M(jìn)ACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp下都有一個(gè)PortNumber值，通常為3389，將其修改為自己的值，如9833(可自己指定端口，但最好不要設(shè)為低端端口，以免沖突).0xd3d，是16進(jìn)制，也就是10進(jìn)制的3389，也就是RDP協(xié)議的端口，改成你欲設(shè)的端口。

完成這兩步操作后，我們就可以使用遠(yuǎn)程桌面通過ip地址加端口號(hào)的方式連接。

注：如果您更改了遠(yuǎn)程登陸的端口請(qǐng)記得在系統(tǒng)或者您自己安裝的防火墻上打開這個(gè)例外端口。

（十一）檢查2003系統(tǒng)是否被建立了隱藏的管理員賬號(hào)：

超級(jí)用戶建立以后，就不能再改密碼了，如果用net user命令來改密碼的話，那么在帳戶管理器中將又會(huì)看這個(gè)隱藏的超級(jí)用戶了，而且不能刪除。

經(jīng)過實(shí)踐，這個(gè)隱藏帳號(hào)是可以刪除的，“開始”→“運(yùn)行”并輸入“regedit.exe” 回車,啟動(dòng)注冊(cè)表編輯器regedit.exe。打開鍵：HKEY_LOCAL_MAICHINESAMSAMDomainsaccountusernames這里刪除你想要?jiǎng)h除的用戶，前提是你需要有這個(gè)注冊(cè)項(xiàng)的權(quán)限！

通達(dá)OA——馬利民