第一篇：服务器安全总结
一、系统的安装
１、按照Windows2003安装光盘的提示安装，默认情况下2003没有把IIS6.0安装在系统里面。２、IIS6.0的安装
开始菜单—>控制面板—>添加或删除程序—>添加/删除Windows组件
应用程序 ———ASP.NET（可选）
|——启用网络 COM+ 访问（必选）
|——Internet 信息服务(IIS)———Internet 信息服务管理器（必选）
[医学教育网整理发布]
|——公用文件（必选）
|——万维网服务———Active Server pages（必选）
|——Internet 数据连接器（可选）
|——WebDAV 发布（可选）[医学教育网整理发布]
|——万维网服务（必选）
|——在服务器端的包含文件（可选）
然后点击确定—>下一步安装。（具体见本文附件1）
３、系统补丁的更新
点击开始菜单—>所有程序—>Windows Update
按照提示进行补丁的安装。
４、备份系统
用GHOST备份系统 资料来源 :医 学 教 育网。
５、安装常用的软件
例如：杀毒软件、解压缩软件等；安装完毕后,配置杀毒软件,扫描系统漏洞,安装之后用GHOST再次备份系统。
6、先关闭不需要的端口 开启防火墙 导入IPSEC策略
在”网络连接”里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP），由于要控制带宽流量服务，额外安装了Qos数据包计划程序。在高级tcp/ip设置里--“NetBIOS”设置“禁用tcp/IP上的NetBIOS（S）”。在高级选项里，使用“Internet连接防火墙”，这是windows 2003 自带的防火墙，在2000系统里没有的功能，虽然没什么功能，但可以屏蔽端口，这样已经基本达到了一个IPSec的功能。
修改3389远程连接端口 修改注册表.开始--运行--regedit
依次展开 HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/ TERMINAL SERVER/WDS/RDPWD/TDS/TCP 右边键值中 PortNumber 改为你想用的端口号.注意使用十进制(例 10000)
HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/TERMINAL SERVER/ WINSTATIONS/RDP-TCP/
右边键值中 PortNumber 改为你想用的端口号.注意使用十进制(例 10000)注意：别忘了在WINDOWS2003自带的防火墙给+上10000端口 修改完毕.重新启动服务器.设置生效.二、用户安全设置
1、禁用Guest账号
在计算机管理的用户里面把Guest账号禁用。为了保险起见，最好给Guest加一个复杂的密码。你可以打开记事本，在里面输入一串包含特殊字符、数字、字母的长字符串，然后把它作为Guest用户的密码拷进去。
2、限制不必要的用户
去掉所有的Duplicate User用户、测试用户、共享用户等等。用户组策略设置相应权限，并且经常检查系统的用户，删除已经不再使用的用户。这些用户很多时候都是黑客们入侵系统的突破口。
3、把系统Administrator账号改名
大家都知道，Windows 2003 的Administrator用户是不能被停用的，这意味着别人可以一遍又一遍地尝试这个用户的密码。尽量把它伪装成普通用户，比如改成Guesycludx。
4、创建一个陷阱用户
什么是陷阱用户?即创建一个名为“Administrator”的本地用户，把它的权限设置成最低，什么事也干不了的那种，并且加上一个超过10位的超级复杂密码。这样可以让那些 Hacker们忙上一段时间，借此发现它们的入侵企图。
5、把共享文件的权限从Everyone组改成授权用户
任何时候都不要把共享文件的用户设置成“Everyone”组，包括打印共享，默认的属性就是“Everyone”组的，一定不要忘了改。
6、开启用户策略
使用用户策略，分别设置复位用户锁定计数器时间为20分钟，用户锁定时间为20分钟，用户锁定阈值为3次。（该项为可选）
7、不让系统显示上次登录的用户名
默认情况下，登录对话框中会显示上次登录的用户名。这使得别人可以很容易地得到系统的一些用户名，进而做密码猜测。修改注册表可以不让对话框里显示上次登录的用户名。方法为：打开注册表编辑器并找到注册表“HKLMSoftwareMicrosoftWindows TCurrentVersionWinlogonDont-DisplayLastUserName”，把REG_SZ的键值改成1。
密码安全设置
1、使用安全密码
一些公司的管理员创建账号的时候往往用公司名、计算机名做用户名，然后又把这些用户的密码设置得太简单，比如“welcome”等等。因此，要注意密码的复杂性，还要记住经常改密码。
2、设置屏幕保护密码
这是一个很简单也很有必要的操作。设置屏幕保护密码也是防止内部人员破坏服务器的一个屏障。
3、开启密码策略
注意应用密码策略，如启用密码复杂性要求，设置密码长度最小值为6位，设置强制密码历史为5次，时间为42天。
4、考虑使用智能卡来代替密码
对于密码，总是使安全管理员进退两难，密码设置简单容易受到黑客的攻击，密码设置复杂又容易忘记。如果条件允许，用智能卡来代替复杂的密码是一个很好的解决方法。
三、系统权限的设置 １、磁盘权限
系统盘及所有磁盘只给 Administrators 组和 SYSTEM 的完全控制权限
系统盘Documents and Settings 目录只给 Administrators 组和 SYSTEM 的完全控制权限
系统盘Documents and SettingsAll Users 目录只给 Administrators 组和 SYSTEM 的完全控制权限
系统盘WindowsSystem32cacls.exe、cmd.exe、net.exe、net1.exe、ftp.exe、tftp.exe、telnet.exe、netstat.exe、regedit.exe、at.exe、attrib.exe、format.com、del文件只给 Administrators 组和SYSTEM 的完全 控制权限
另将
Documents and Settings下所有些目录都设置只给adinistrators权限。并且要一个一个目录查看，包括下面的所有子目录。删除c:inetpub目录
２、本地安全策略设置
开始菜单—>管理工具—>本地安全策略
A、本地策略——>审核策略
审核策略更改
成功 失败
审核登录事件
成功 失败
审核对象访问
失败
审核过程跟踪
无审核
审核目录服务访问
失败
审核特权使用
失败
审核系统事件
成功 失败
审核账户登录事件 成功 失败
审核账户管理
成功 失败
B、本地策略——>用户权限分配
关闭系统：只有Administrators组、其它全部删除。
通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除
C、本地策略——>安全选项
交互式登陆：不显示上次的用户名
启用
网络访问：不允许SAM帐户和共享的匿名枚举
启用
网络访问：不允许为网络身份验证储存凭证
启用
网络访问：可匿名访问的共享
全部删除
网络访问：可匿名访问的命
全部删除
网络访问：可远程访问的注册表路径
全部删除
网络访问：可远程访问的注册表路径和子路径
全部删除
帐户：重命名来宾帐户
重命名一个帐户
帐户：重命名系统管理员帐户
重命名一个帐户
３、禁用不必要的服务 开始-运行-services.msc TCP/IPNetBIOS Helper提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享
文件、打印和登录到网络
Server支持此计算机通过网络的文件、打印、和命名管道共享
Computer Browser 维护网络上计算机的最新列表以及提供这个列表
Task scheduler 允许程序在指定时间运行
Messenger 传输客户端和服务器之间的 NET SEND 和 警报器服务消息
Distributed File System: 局域网管理共享文件，不需要可禁用
Distributed linktracking client：用于局域网更新连接信息，不需要可禁用
Error reporting service：禁止发送错误报告
Microsoft Serch：提供快速的单词搜索，不需要可禁用
NTLMSecuritysupportprovide：telnet服务和Microsoft Serch用的，不需要可禁用
PrintSpooler：如果没有打印机可禁用
Remote Registry：禁止远程修改注册表
Remote Desktop Help Session Manager：禁止远程协助
Workstation 关闭的话远程NET命令列不出用户组
以上是在Windows Server 2003 系统上面默认启动的服务中禁用的，默认禁用的服务如没特别需要的话不要启动。４、修改注册表
修改注册表，让系统更强壮
1、隐藏重要文件/目录可以修改注册表实现完全隐藏 HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows Current-VersionExplorerAdvancedFolderHi-ddenSHOWALL”，鼠标右击 “CheckedValue”，选择修改，把数值由1改为0
2、防止SYN洪水攻击
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters 新建DWORD值，名为SynAttackProtect，值为2 新建EnablePMTUDiscovery REG_DWORD 0 新建NoNameReleaseOnDemand REG_DWORD 1 新建EnableDeadGWDetect REG_DWORD 0 新建KeepAliveTime REG_DWORD 300,000 新建PerformRouterDiscovery REG_DWORD 0 新建EnableICMPRedirects REG_DWORD 0
3.禁止响应ICMP路由通告报文
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersInterfacesinterface 新建DWORD值，名为PerformRouterDiscovery 值为0
4.防止ICMP重定向报文的攻击
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters 将EnableICMPRedirects 值设为0
5.不支持IGMP协议
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters 新建DWORD值，名为IGMPLevel 值为0
6、禁止IPC空连接：
cracker可以利用net use命令建立空连接，进而入侵，还有net view，nbtstat这些都是基于空连接的，禁止空连接就好了。
Local_MachineSystemCurrentControlSetControlLSA-RestrictAnonymous 把这个值改成”1”即可。
7、更改TTL值
cracker可以根据ping回的TTL值来大致判断你的操作系统，如：
TTL=107(WINNT);TTL=108(win2000);TTL=127或128(win9x);TTL=240或241(linux);TTL=252(solaris);TTL=240(Irix);
实际上你可以自己改的：HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters：DefaultTTL REG_DWORD 0-0xff(0-255 十进制,默认值128)改成一个莫名其妙的数字如258，起码让那些小菜鸟晕上半天，就此放弃入侵你也不一定哦
8.删除默认共享
有人问过我一开机就共享所有盘，改回来以后，重启又变成了共享是怎么回事，这是2K为管理而设置的默认共享，HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters：AutoShareServer类型是REG_DWORD把值改为0即可
9.禁止建立空连接
默认情况下，任何用户通过通过空连接连上服务器，进而枚举出帐号，猜测密码。我们可以通过修改注册表来禁止建立空连接：
Local_MachineSystemCurrentControlSetControlLSA-RestrictAnonymous 的值改成”1”即可。
10、建立一个记事本，填上以下代码。保存为*.bat并加到启动项目中 net share c$ /del net share d$ /del net share e$ /del net share f$ /del net share ipc$ /del net share admin$ /del
5、IIS站点设置：
1、将IIS目录＆数据与系统磁盘分开，保存在专用磁盘空间内。
2、启用父级路径
3、在IIS管理器中删除必须之外的任何没有用到的映射（保留asp等必要映射即可）
4、在IIS中将HTTP404 Object Not Found出错页面通过URL重定向到一个定制HTM文件
5、Web站点权限设定（建议）读 允许 写 不允许 脚本源访问 不允许 目录浏览 建议关闭 日志访问 建议关闭 索引资源 建议关闭
执行 推荐选择 “仅限于脚本”
6、建议使用W3C扩充日志文件格式，每天记录客户IP地址，用户名，服务器端口，方法，URI字根，HTTP状态，用户代理，而且每天均要审查日志。（最好不要使用缺省的目录，建议更换一个记日志的路径，同时设置日志的访问权限，只允许管理员和system为Full Control）。
7、程序安全: 1)涉及用户名与口令的程序最好封装在服务器端，尽量少的在ASP文件里出现，涉及到与数据库连接地用户名与口令应给予最小的权限;2)需要经过验证的ASP页面，可跟踪上一个页面的文件名，只有从上一页面转进来的会话才能读取这个页面。3)防止ASP主页.inc文件泄露问题;4)防止UE等编辑器生成some.asp.bak文件泄露问题。
6、IIS权限设置的思路 ?要为每个独立的要保护的个体（比如一个网站或者一个虚拟目录）创建一个系统用户，让这个站点在系统中具有惟一的可以设置权限的身份。
?在IIS的【站点属性或者虚拟目录属性→目录安全性→匿名访问和验证控制→编辑→匿名访问→编辑】填写刚刚创建的那个用户名。
?设置所有的分区禁止这个用户访问，而刚才这个站点的主目录对应的那个文件夹设置允许这个用户访问（要去掉继承父权限，并且要加上超管组和SYSTEM组）。
7、卸载最不安全的组件
最简单的办法是直接卸载后删除相应的程序文件。将下面的代码保存为一个.BAT文件，(以下均以 WIN2000 为例，如果使用2003，则系统文件夹应该是 C:WINDOWS)regsvr32/u C:WINDOWSSystem32wshom.ocx del C:WINDOWSSystem32wshom.ocx regsvr32/u C:WINDOWSsystem32shell32.dll del C:WINNTWINDOWSshell32.dll
然后运行一下，WScript.Shell, Shell.application, WScript.Network就会被卸载了。可能会提示无法删除文件，不用管它，重启一下服务器，你会发现这三个都提示“×安全”了。
8:防止硬盘的非法访问
电脑瘫痪的原因，无非就是操作系统中的一些文件或文件夹被移走或被删除，如果把系统所在的硬盘分区禁用，让电脑盲们无法进入操作系统所在的分区，他就删不了操作系统所在分区的文件或文件夹了，系统也就没事了。
防止别人通过“我的电脑”访问Ｃ盘
点击“开始→运行”输入gpedit.msc命令，在打开的组策略编辑器窗口中依次打开“用户配置→管理模板→Windows组件→Windows资源管理器”分支，然后在右边双击“防止从„我的电脑‟访问驱动器”策略项，并在属性设置窗口中选择“已启用”选项，选择要禁止访问的硬盘盘符C盘即可（如图）。
防止别人从“命令提示符”访问Ｃ盘
当禁用了通过“我的电脑”访问硬盘后，他人还可以通过“命令提示符”方式进入C盘，所以还应同时禁止通过“命令提示符”访问C盘。方法是在打开的组策略编辑器窗口中依次打开“用户配置→管理模板→系统”分支，然后在右边窗口中将“阻止访问命令提示符”策略项启用即可。
禁止运行“ｃｍｄ．ｅｘｅ”命令
设置完以上两个策略后，还不能完全防止他人对C盘的访问，原因是登录者仍然可以利用“运行”来执行“cmd.exe”命令，进入“命令提示符”状态，然后再访问C盘。所以，这个命令也应该禁用。方法是在打开的组策略编辑器窗口中依次打开“用户配置→管理模板→系统”分支，然后在右边的窗口中双击“不要运行指定的Windows应用程序”策略项，在该策略项的“属性”窗口中选择“已启用”选项，再单击“显示”按钮，在弹出的“显示内容”对话框中添加“cmd.exe”，这样该应用程序就被禁用了，到此，其他人员就无法访问本地计算机的C盘了。
通过以上的设置以后，我们就可以有效的保护操作系统所在的硬盘分区里的所有文件和文件夹了。我们的操作系统也就安全了。
以上你全做好拉我一般一年内你的服务器终端都是安全的。
第二篇：服务器安全设置
服务器安全设置及项目部署
1.防火墙设置
1）常规中选中启用（推荐）选项
2）例外中添加端口号eg：17999
3）高级中 点击第一个设置，服务选项卡选中“FTP 服务器”和“远程桌面”，ICMP
选项卡选中“允许传入响应请求”
4）我的电脑属性远程远程桌面 勾选允许用户远程连接此计算机
注：打开“开始→运行”，输入“regedit”，打开注册表，进入以下路径：
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWdsrdpwdTdstcp]，看见PortNamber值了吗？其默认值是：0xd3d，这个是16进制，点击右边的十进制，显示的就是3389了，修改成所希望的端口即可，例如6111。
再打开
[HKEY_LOCAL_MACHINESYSTEMCurrentContro1SetControlTenninal
ServerWinStationsRDP-Tcp]，将PortNumber的值（也是3389）修改成端口6111。
更改后注意开放防火墙6111端口,否则重起后连不上
2.防火墙软件安装（eg：360安全卫士）
1）打上补丁，修补漏洞
2）关闭自动更新
3．更改虚拟内存
1）电脑高级第一个设置高级更改2000M到5000M
4.本地安全策略
1）管理工具本地安全策略新建
5.数据库安装
1）确保Tcp/Ip启用
SQL server configuration manager SQL server 2005 网络配置 MSSQLSERVER的协议 TCP/IP启动
3）新项目数据库 代理必须启动
6.JDK 安装
环境变量配置：
Eg: java_home：D:Program FilesJavajdk1.6.0_10 classpath：.;%java_home%lib;%java_home%lib tools.jarpath设置%java_home%bin;%java_home%jre6bin;
7.tomcat 安装
8.apache安装
9.负载均衡
10.项目部署
1)数据库还原，附加或数据库新建sql
2）netfee,feecfg,push
注：域名指向
10.其他软件安装（edit记事本，搜狗拼音，
第三篇：服务器安全不容忽视
丢失300M数据企业损失50万 服务器安全不容忽视
尽管早就有朋友建议王强定期给公司的网站做数据备份，尤其对重要的数据要实施多点备份，但是对拥有5年网络经验的王强来说，他怎么也不会相信，这种服务器遭受攻击、客户数据丢失的事情会发生在自己的身上，而导致3000个具名的个人买家资料被外泄。
当发现数据丢失，王强就立即通知公司业务和客服部门引起重视。但值得庆幸的是，目前还没有接到客户的投诉，这表明这些资料还没有落入犯罪分子手中。
对此次数据丢失事件，财务部门预计将给公司带来15万元的经济损失。这让公司领导开始重新考虑数据安全问题。而王强也坦言，对自己的网络技术过度自信，是给公司造成了损失的主要原因。
两大因素威胁企业数据安全：
某互联网安全防护公司内部人士表示，目前网民和企业对互联网的依赖性极高，这也使一部分懂得网络技术的不法之徒提供了便利条件。如今，网络环境已经病毒过度泛滥、黑客过度猖獗，从外再上威胁着企业关键数据的安全。
该人士认为，不可预知的服务器故障、系统崩溃、硬盘损坏、自然灾害等突发事故，也在威胁着企业数据安全并造成企业关键数据的丢失。数据是不可再生或再生需要投入难以估量时间和金钱的，安全可靠的数据保护是业务持续运营和灾难恢复的关键性因素
“丢失300MB的数据可能对于业务部门就意味着50万元的损失，对IT部门来说损失可能达30万”。中国万网网络安全信息专家表示，中小企业及网络技术人员，应使用安全可靠的服务器管理自己的关键数据，并且要掌握数据备份信息，了解关键业务流程中的数据备份情况。
部署数据自动备份 防患于未然
由于传统独立服务器的数据备份和恢复产品使用非常复杂，并且需要企业重金采购专业存储设备及软件方案，在恢复数据时又消耗大量的时间精力，因此，中小企业虽然有数据风险认识，但不想牵扯太多时间和资金，就不愿意使用这种专业设备，最终造成损失惨重。
针对这种既考虑简单、易用，又要省钱实现独立服务器关键数据备份的中小企业客户，目前只有万网在提供此类独立服务器的免费数据备份服务。
对于企业关键数据，万网安全专家指出，务必要保障至少7天一次增量备份，30天一次完整备份机制，保证信息的及时更新和完整性。企业可以通过万网提供的网页式自助平台，数据备份/恢复状态实时查看功能，可以看到企业哪些数据还没有备份，而哪些正在备份中和完成备份，进而完成数据备份。
每台独立服务器都免费配套提供了5G专业数据备份存储空间。“为此，万网斥资三百万元向国外专业数据备份硬件设备提供商采购专业级的备份服务器”万网安全专家表示，在恶劣的互联网环境下，唯有让企业的数据安全，才能实现万网客户服务年的目标。
作者: 天伟数据恢复中心
原文:
发布日期: 2010-05-27 09:11
第四篇：服务器日志安全检查
一、利用Windows自带的防火墙日志检测入侵下面是一条防火墙日志记录 2005-01-1300:35:04OPENTCP61.145.129.13364.233.189.104495980 2005-01-1300:35:04：表示记录的日期时间 OPEN：表示打开连接；如果此处为Close表示关闭连接 TCP：表示使用的协议是Tcp 61.145.129.133：表示本地的IP 64.233.189.104：表示远程的IP 4959：表示本地的端口 80：表示远程的端口。注：如果此处的端口为非80、21等常用端口那你就要注意了。每一条Open表示的记录对应的有一条CLOSE记录，比较两条记录可以计算连接的时间。
注意，要使用该项，需要在Windows自带的防火墙的安全日志选项中勾选“记录成功的连接”选项。
二、通过IIS日志检测入侵攻击
1、认识IIS日志 IIS日志默认存放在System32LogFiles目录下，使用W3C扩展格式。下面我们通过一条日志记录来认识它的格式 2005-01-0316:44:57218.17.90.60GET/Default.aspx-80-218.17.90.60Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.2;+.NET+CLR+1.1.4322)20000
2005-01-0316:44:57：是表示记录的时间；
218.17.90.60：表示主机的IP地址；
GET：表示获取网页的方法 /Default.aspx：表示浏览的网页的名称，如果此外的内容不是你网站网页的名称，那就表示可能有人在用注入式攻击对你的网站进行测试。如：“/msadc/..蜡..蜡..蜡../winnt/system32/cmd.exe/c+dir”这段格式的文字出现在浏览的网页后面就表示有攻击者尝试能否进入到你的系统目录下。
-80：表示服务器的端口。
-218.17.90.60：表示客户机的IP地址。如果在某一时间或不同时间都有大量的同一IP对网站的连接那你就要注意了。
Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.2;+.NET+CLR+1.1.4322)：表示用户的浏览器的版本操作系统的版本信息
200:表示浏览成功，如果此处为304表示重定向。如果此处为404则表示客户端错误未找到网页,如果服务器没有问题但出现大量的404错误也表示可能有人在用注入式攻击对你的网站进行测试。
2、检测IIS日志的方法明白了IIS日志的格式，就可以去寻找攻击者的行踪了。但是人工检查每一条数据几乎是不可能的，所以我们可以利用Windows本身提供了一个命令findstr。下面以寻找05年1月1日日志中包含CMD字段为例演示一下它的用法。IIS日志路径已设为Dw3c Cmd提示符下输入：findstr“cmd”dw3cex050101.log回车。怎么同一个IP出现了很多，那你可要注意了！下面是我写的几个敏感字符，仅供参考，你可以根据自己系统、网页定制自己的敏感字符，当然如果你根据这些字符作一个批处理命令就更方便了。cmd、'、、..、;、and、webconfig、global、如果你感觉findstr功能不够直观强大，你可以AutoScanIISLogFilesV1.4工具。它使用图形化界面一次可以检测多个文件。下载地址：
如果你感觉这些IIS日志中的信息记录还不够多，那么你可以做一个隐藏网页，凡是登陆到网站上都会先定向到该网页，然后你可以在该网页中添加代码，获取用户的IP、操
作系统、计算机名等信息。并将其输入到数据库中，这样即使一个攻击者使用动态的IP只要他不换系统，即使删除了IIS日志，你也可以把他找出来。
三、通过查看安全日志检测是否有成功的入侵如果你你启用了登陆事件、策略更改、账户登陆、系统事件的成功失败的审核，那么任何成功的入侵都将在安全日志中留下痕迹
推荐的作法：
1、建议每天最少检查一次安全日志。推荐重点检查的ID事件 529：登录失败，试图使用未知用户名或带有错误密码的已知用户名进行登录。528：用户成功登录到计算机上。539：登录失败：登录帐号在登录尝试时被锁定。此事件表明有人发动密码攻击但未成功，因而导致账户锁定
682：用户重新连接到一个已经断开连接的终端服务器会话上。终端服务攻击 683：用户在没有注销的情况下与终端服务器会话断开连接。终端服务攻击
624：一个用户帐号被创建。625：更改了用户账户类型 626：启用了用户账户 629：禁用了用户账户 630：删除了用户账户以上5个事件可能是一个攻击者试图通过禁用或删除发动攻击时使用的账户来掩盖他们的踪迹。
577:用户试图执行受到权限保护的系统服务操作。578:在已经处于打开状态的受保护对象句柄上使用权限。577、578事件中详细信息中特权说明 SeTcbPrivilege特权：此事件可以表明一个用户通过充当操作系统的一部分来试图提升安全权限，如一个用户试图将其账户添加到管理员组就会使用此特权 SeSystemTimePrivilege特权：更改系统时间。此事件可表明有一个用户尝试更改系统时间 SeRemoteShutDownPrivilege：从远程系统强制关闭 SeloadDriverPrivilege：加载或卸载驱动程序 SeSecurityPrivilege：管理审计和安全日志。在清除事件日志或向安全日志写入有关特权使用的事件是发生 SeShutDownPrivilege：关闭系统 SeTakeOwnershipPrivilege：取得文件或其他对象的所有权.此事件可表明有一个攻击者正在通过取得一个对象的所有权来尝试绕过当前的安全设置
517:日志事件被清除或修改。此事件可以表明一个攻击者企图通过修改或删除日志文件来掩盖他们的踪迹 612:更改了审计策略。此事件可以表明一个攻击者企图通过修改审计策略来掩盖他们的踪迹如为了掩盖删除日志文件的踪迹他可能先关闭系统事件的审核。
2、通过筛选器来查看重要性事件方法：点击事件查看器窗口中的查看菜单，点击筛选，点击筛选器，定义自己的筛选选项，确定即可。
3、在查看完成之后备份事件方法：点击事件查看器窗口中的操作菜单，点击导出列表，选择保存路径和文件名，如果保存类型选择了“文本文件（制表符分隔）”，将会保存为文本文件。如果保存类型选择了“文本文件（逗号分隔）”，将会保存为Excel文件。当然也可以选择另存日志文件。如果感觉这样保存麻烦也可以使用微软的resourceKit工具箱中的dumpel.exe配合计划任务可以实现定期备份系统日志。
4、删除检查过的日志文件，日志文件越少越容易发现问题。
5、配合系统日志程序日志检测可疑内容
6、使用EventCombMT工具 EventCombMT是一个功能强大的多线程工具，它可同时分析许多服务器中的事件日志，为包含在搜索条件中的每一台服务器生成一个单独的执行线程。利用它你可以定义要搜索的单个事件ID或多个事件ID，用空格分格定义一个要搜索的事件ID范围。如:528>ID<540 将搜索限定为特定的事件日志。如：只搜索安全日志将搜索限定为特定的事件消息。如：成功审计将搜索限制为特定的事件源。搜索事件说明内的特定文本。定义特定的时间间隔以便从当前日期和时间向后扫描注：要使用该工具您
需要安装WindowsServer2003ResourceKitTools.安装完成后在命令提示符下输入EventCombMT即可下载地址：http:///downloads/details.aspx?FamilyID= 9d467a69-57ff-4ae7-96ee-b18c4790cffd&DisplayLang=en
四、通过端口检测入侵攻击
端口是攻击者最喜欢的进入的大门,所以我们要养成查看端口的习惯
1、通过netstat命令。CMD提示符下 netstat-ano:检测当前开放的端口，并显示使用该端口程序的PID。netstat-n:检测当前活动的连接如果通过以上命令发现有不明的端口开放了，不是中了木马就是开放新的服务。处理方法：打开任务管理器，在查看菜单下选择列，勾选PID，点击确定。然后根据开放端口使用的PID在任务管理器中查找使用该端口的程序文件名。在任务管理器杀掉该进程。如果任务管理器提示杀不掉，可以使用ntsd命令，格式如下：c:>ntsd-cq-pPID。如果使用该PID的进程不是单独的程序文件而是调用的Svchost或lsass(现在有很多木马可以做到这一点)。那么需要你有很志业的知识才能查找到。我的经验是下面的几种方法配合使用
在服务中查找使用Svchost或lsass的可疑服务。在命令提示符下输入tasklist/svc可以查看进程相关联的 PID和服务。利用Windows优化大师中的进程管理去查找Svchost或lsass中可疑的.dll。检查System32下最新文件:在命令提示符sytem32路径下输入dir/od 利用hijackthis工具可以查出系统启动的程序名和dll文件.下载地址：http:///downloads/details.aspx?FamilyID= 9d467a69-57ff-4ae7-96ee-b18c4790cffd&DisplayLang=en下载的ResourceKit安装后没有找到这个工具，其实还有很多工具这个ResourceKit没有。可能这是一个简单的ResourceKit包。后来又安装了2003 光盘上的SupportTools也没找到它。我使用了2000的 ResourceKit安装光盘，安装后，在2003上一样可以使用。不过我用了后发现系统会不稳定，所以最好找2003的ResourceKit安装光盘。这个工具由两部分组成，Svcmon.exe在你安装好ResourceKit后，默认的位于C:ProgramFilesResourceKit 文件夹下，你要将其拷贝到%SystemRoot%System32下，然后在命令提示符下输入Smconfig将打开配置向导。是图形界面，注意在ExchangeRecipients那里添如你要提醒的用户的Email。其他的按照指示做就可以了。如果发现有不正常的服务可以使用ResourceKit中的Instsrv.exe移除服务使用格式：instsrvservicenameRemove
七、检测System32下的系统文件在安装好系统后和安装新的软件后对System32文件夹做备份，然后用COMP命令定期检查该文件的内容查找可疑的文件夹或文件。COMP命令的使用格式为:命令提示符下 COMPdata1data2/L/C data1指定要比较的第一个文件的位置和名称。data2指定要比较的第二个文件的位置和名称。/L显示不同的行数。/C比较文件时不分ASCII字母的大小写。注：MS的WinDiff工具可以图形化比较两个文件
八、利用Drivers.exe来监视已安装的驱动程序现在有的攻击者将木马添加到驱动程序中，我们可以通过MS提供的Drivers工具来进行检测。在运行此工具的计算机上，此工具会显示安装的所有设备驱动程序。该工具的输出包括一些信息，其中有驱动程序的文件名、磁盘上驱动程序的大小，以及链接该驱动程序的日期。链接日期可识别任何新安装的驱动程序。如果某个更新的驱动程序不是最近安装的，可能表示这是一个被替换的驱动程序。注：Drivers.exe工具在MS的的网站下载的WindowsServer2003ResourceKitTools中也没有这个工具我是使用的2000的。
九、检查本地用户和组这个想来不用说太多，大家都知道的了，需要注意的一点是，如果使用命令行的netuser来查看，将无法查看到隐藏的用户（即用户名后加了$的），所以最好使用管理单元来查看所有用户。
十、检查网页文件，特别是有与数据库连接的文件的日期，现在有的攻击者入侵后会在网页代码中留下后门，所以如果日期发了变化，那就要注意查看了。
十一、附Server2003EnterpriseEdition安装IIS和SQL2000后默认启动的服务、进程、端口
1、已启动的服务 AutomaticUpdate、COM+EventSystem、ComputerBrowser、CryptographicServices、DHCPClient、DistributedfileSystem、DistributedlinkTracking、Distributedtransaction、DNSClient、ErrorReporting、Eventlog、HelpAndSupports、IPSECServices、LogicalDiskManager、NetworkLocation、plugandplay、PrintSpooler、RemoteProcedureCall、RemoteRegistry、SecondaryLogon、SecurityAccounts、Server、SystemEventNetification、TaskScheduler、TCP/IPNetBIOS、TerminalServices、WindowsInstaller、WindowsManagementInstrumentation、WindowsTime、WirelessConfig、Workstation。
以下为安装IIS（只有WEB服务）后新加的启动的服务 AddService、Com+systemapplication、HttpSSL、IISAdminService、networkconnections、protectedstorage、shellhardware、wordwideweb。
以下为安装SQL2000后新增加的已启动的服务 MicrosoftSearch、NTLMSecurity、MSSQLServer2、已启动的进程 ctfmon:admin、wpabaln:admin、explorer:admin、wmiprvse、dfssvc、msdtc:networkservice、sploolsv、lsass、conime:admin、services、svchost:7个其中localservice2个、networkservice1个、winlogon、csrss、smss、system、systemidleprocess。共计：22个进程，其中admin、networkservice、localservice表示用户名未注明的为System用户
以下为安装IIS后新增加的进程 wpabaln:admin、inetinfo、以下为安装SQL后新增加的进程 mssearch、sqlmangr、wowexecadmin、sqlservr3、已开启的端口 TCP:135、445、1025、1026、139 udp：445、500、1027、4500、123
以下为安装IIS后新增加的端口 tcp:80、8759注意8759这个端口是第一次安装后自动选择的一个端口，所以每台机会不同
以下为安装SQL后新增加的端口
tcp:1433 udp:68、1434
如果启用防火墙后将开启以下端口 TCP：3001、3002、3003 UDP：3004、3005
第五篇：服务器安全评估标准
服务器安全评估标准
国外标准
国外对于计算机安全问题的评估标准较多，比较著名的是1983年美国国防部提出的《可信计算机评估标准》TCSEC（Trusted Computer System Evaluation Criteria），又称桔皮书。TCSEC根据以下几个方面进行安全性评估：
（1）安全策略：必须有一个明确的、确定的由系统实施的安全策略；
（2）识别：必须惟一而可靠地识别每个主体，以便检查主体/客体的访问请求；
（3）标记：必须给每个客体（目标）作一个“标号”，指明该客体的安全级别。这种结合必须做到对该目标进行访问请求时都能得到该标号以便进行对比；
（4）可检查性：系统对影响安全的活动必须维持完全而安全的记录。这些活动包括系统新用户的引入、主体或客体的安全级别的分配和变化以及拒绝访问的企图；
（5）保障措施：系统必须含实施安全性的机制并能评价其有效性；
（6）连续的保护：实现安全性的机制必须受到保护以防止未经批准的改变。
根据以上六条要求，“可信计算机系统评估准则”将计算机系统的可信程度（安全等级）划分成四大类（D、C、B、A），七个小类（D、C1、C2、B1、B2、B3、A）。具体标准内容如表2.3所示。表2.3 安全评估标准
类 别 名 称 主 要 特 征
A1 可验证的安全设计 形式化的最高级描述和验证，形式化的隐秘通道分析，非形式化的代码一致性证明
B3 安全域机制 安全内核，高抗渗透能力
B2 结构化安全保护 设计系统必须有一个合理的总体设计方案，面向安全的体系结构，遵循最小授权原则，较好的抗渗透能力，访问控制应对所有的主体和客体进行保护，对系统进行隐蔽通道分析
B1 标号安全控制 除了C2级的安全需求外，增加安全策略模型，数据标号（安全和属性），托管访问控制
C2 受控的访问控制 存取控制以用户为单位，广泛的审计。如Unix、Windows NT等
C1 选择的安全保护 有选择的存取控制，用户与数据分离，数据的保护以用户组为单位
D 最小保护 保护措施很少，没有安全功能。如DOS、Windows等
（1）D级。D级是最低的安全保护等级。这个级别的操作系统就像一个门户大开的房子，任何人可以自由进出，是完全不可信的。对于硬件来说，是没有任何保护措施，操作系统容易受到损害，没有系统访问限制和数据访问限制，任何人不需任何账户就可以进入系统，不受任何限制就可以访问他人的数据文件。属于D级的操作系统有：DOS、Windows 3.x、Apple的Macintosh System7.1。
（2）C级。C级有两个安全子级别：C1和C2。
① C1级。又称选择性安全保护系统，这在Unix系统中比较典型。这种级别的系统对硬件有某种程度的保护，即每个用户都有账号和口令，系统通过账号和口令来识别用户是否合法，并决定用户对程序和信息拥有什么样的访问权。但硬件受到损害的可能性仍然存在。
C1级支持对文件进行权限设置，如读（read）、写（write）、执行（execute）等权限。文件的拥有者和超级用户（root）可以改动文件中的访问属性，从而对不同的用户给予不同的访问权，例如，让文件拥有者有读、写和执行的权力，给同组用户读和执行的权力，而给其他用户以读权限。另外，许多日常的管理工作由根用户（root）来完成，如创建新的组和新的用户。根用户（root）拥有很大的权力，如同Windows NT中的Administrator用户。所以它的口令一定要保存好，不要
多人共享。
C1级保护的不足之处在于根用户（root）的设置。如果某个用户以根用户进入系统，他就可以将系统中的数据任意移走，可以控制系统配置，获取比系统管理员允许的更高权限，如改变和控制用户名。因此，从某种意义上来讲，在拥有C1级的操作系统中，硬件受到损害的可能性仍然存在。
② C2级。除了C1包含的特征外，C2级别还包含有访问控制环境。该环境具有进一步限制用户执行某些命令或访问某些文件的权限，而且还加入了身份验证级别。另外，系统对发生的事件加以审计，并写入日志当中，如何时开机，哪个用户在什么时候从哪儿登录等等，这样通过查看日志，就可以发现入侵的痕迹，如多次登录失败，也可以大致推测出可能有人想强行闯入系统。审计可以记录下系统管理员执行的活动，审计还加有身份验证，这样就可以知道谁在执行这些命令。审计的缺点在于它需要额外的处理器时间和磁盘资源。
使用附加身份认证就可以让一个C2系统用户在不是根用户的情况下有权执行系统管理任务。授权分级使系统管理员能够给用户分组，授予他们访问某些程序的权限或访问分级目录。另一方面，用户权限可以以个人为单位授权用户对某一程序所在目录进行访问。如果其他程序和数据也在同一目录下，那么用户也将自动得到访问这些信息的权限。
能够达到C2级的常见操作系统有：Unix系统、XENIX、Novell3.x或更高版本、Windows NT。
（3）B级。B级中有三个子级别：B1级、B2级和B3级。
① B1级。即标志安全保护。它是支持多级安全（比如秘密和绝密）的第一个级别，这个级别说明一个处于强制性访问控制之下的对象，系统不允许文件的拥有者改变其许可权限。
一般而言，政府机构和防御系统承包商们是B1级计算机系统的主要拥有者。
② B2级。又称结构保护，要求计算机系统中所有的对象都加标签，而且给设备（磁盘，磁带和终端）分配单个或多个安全级别。这是较高安全级别的对象与另一个较低安全级别的对象相互通信的第一个级别。
③ B3级。又称安全区域保护。它使用安装硬件的方式来加强安全区域保护。例如，内存管理硬件用于保护安全区域免遭无授权访问或其他安全区域对象的修改。该级别要求用户通过一条可信任途径连接到系统上。
（4）A级。又称验证设计，这是当前的最高级别，包括了严格的设计，控制和验证过程。与前面提到的各级别一样，这一级别包含了较低级别的所有特性。设计必须是从数学角度上经过验证的，而且必须进行秘密通道和可信任分布的分析。这里，可信任分布的含义是，硬件和软件在物理传输过程中已经受到保护，以防止破坏安全系统。
在上述七个级别中，B1级和B2级的级差最大，因为只有B2、B3和A级，才是真正的安全等级，它们至少经得起程度不同的严格测试和攻击。目前，我国普遍应用的计算机，其操作系统大都是引进国外的属于C1级和C2级产品。因此，开发我国自己的高级别的安全操作系统和数据库的任务迫在眉睫，当然其开发工作也是十分艰巨的。
计算机操作系统的评价准则的建立不仅对于评价、监察已经运行的计算机系统的安全具有指导意义，而且对于研究、设计、制造和使用计算机系统，确保其安全性具有十分重要的意义。
国内标准
公安部主持制定、国家技术标准局发布的中华人民共和国国家标准GB17895-1999《计算机信息系统安全保护等级划分准则》已经正式颁布，并于2001年1月1日起实施。该准则将信息系统安全分为5个等级：
l 自主保护级
l 系统审计保护级
l 安全标记保护级
l 结构化保护级
l 访问验证保护级
主要的安全考核指标有身份认证、自主访问控制、数据完整性、审计、隐蔽信道分析、客体重用、强制访问控制、安全标记、可信路径和可信恢复等，这些指标涵盖了不同级别的安全要求。
另外还有《信息处理系统开放系统互联基本参考模型第2部分安全体系结构》（GB/T 9387.2 1995）、《信息处理数据加密实体鉴别机制第I部分：一般模型》（GB 15834.1-1995）、《信息技术设备的安全》（GB 4943-1995）等
鲁公网安备37028302000876号