服务器安全配置精华技巧(2)

　　11．运行防毒软件

　　我见过的Win2000/Nt服务器从来没有见到有安装了防毒软件的，其实这一点非常重要。一些好的杀毒软件不仅能杀掉一些著名的病毒，还能查杀大量木马和后门程序。这样的话，“黑客”们使用的那些有名的木马就毫无用武之地了。不要忘了经常升级病毒库 　　　

　　12．保障备份盘的安全

　　一旦系统资料被破坏，备份盘将是你恢复资料的唯一途径。备份完资料后，把备份盘防在安全的地方。千万别把资料备份在同一台服务器上，那样的话，还不如不要备份。

　　中级安全篇： 　　　

　　1．利用win2000的安全配置工具来配置策略

　　微软提供了一套的基于MMC(管理控制台)安全配置和分析工具，利用他们你可以很方便的配置你的服务器以满足你的要求。具体内容请参考微软主页：

　　http://www.microsoft.com/windows200...y/sctoolset.asp 　　　

　　2．关闭不必要的服务

　　windows 2000 的 Terminal Services（终端服务），IIS ,和RAS都可能给你的系统带来安全漏洞。为了能够在远程方便的管理服务器，很多机器的终端服务都是开着的，如果你的也开了，要确认你已经正确的配置了终端服务。有些恶意的程序也能以服务方式悄悄的运行。要留意服务器上面开启的所有服务，中期性(每天)的检查他们。下面是C2级别安装的默认服务：

　　Computer Browser service TCP/IP NetBIOS Helper

　　Microsoft DNS server Spooler

　　NTLM SSP Server

　　RPC Locator WINS

　　RPC service Workstation

　　Netlogon Event log
　　
　　3．关闭不必要的端口

　　关闭端口意味着减少功能，在安全和功能上面需要你作一点决策。如果服务器安装在_blank">防火墙的后面，冒的险就会少些，但是，永远不要认为你可以高枕无忧了。用端口扫描器扫描系统所开放的端口，确定开放了哪些服务是黑客入侵你的系统的第一步。\system32\drivers\etc\services 文件中有知名端口和服务的对照表可供参考。具体方法为：

　　网上邻居>属性>本地连接>属性>internet 协议(tcp/ip)>属性>高级>选项>tcp/ip筛选>属性 打开tcp/ip筛选，添加需要的tcp,udp,协议即可。
　　
　　4．打开审核策略

　　开启安全审核是win2000最基本的入侵检测方法。当有人尝试对你的系统进行某些方式（如尝试用户密码,改变帐户策略，未经许可的文件访问等等）入侵的时候，都会被安全审核记录下来。很多的管理员在系统被入侵了几个月都不知道，直到系统遭到破坏。下面的这些审核是必须开启的，其他的可以根据需要增加：

　　策略 设置

　　审核系统登陆事件 成功，失败

　　审核帐户管理 成功，失败

　　审核登陆事件 成功，失败

　　审核对象访问 成功

　　审核策略更改 成功，失败

　　审核特权使用 成功，失败

　　审核系统事件 成功，失败

　　5.开启密码密码策略

　　策略 设置

　　密码复杂性要求 启用

　　密码长度最小值 6位

　　强制密码历史 5 次

　　强制密码历史 42 天