1.禁用ROOT權(quán)限登錄。(重要)
10年積累的成都網(wǎng)站設(shè)計(jì)、成都網(wǎng)站建設(shè)經(jīng)驗(yàn)，可以快速應(yīng)對客戶對網(wǎng)站的新想法和需求。提供各種問題對應(yīng)的解決方案。讓選擇我們的客戶得到更好、更有力的網(wǎng)絡(luò)服務(wù)。我雖然不認(rèn)識你，你也不認(rèn)識我。但先網(wǎng)站設(shè)計(jì)制作后付款的網(wǎng)站建設(shè)流程，更有鷹潭免費(fèi)網(wǎng)站建設(shè)讓你可以放心的選擇與我們合作。
2.安全組收縮不使用的端口，建議除443/80以及ssh登錄等必要端口外全部關(guān)閉。
3.防火墻收縮不使用的端口，建議除443/80以及ssh登錄端口外全部關(guān)閉。
4.更改ssh默認(rèn)端口22
5.除登錄USER，禁止其他用戶su到root進(jìn)程，并且ssh開啟秘鑰及密碼雙層驗(yàn)證登錄。(重要)
6.限制除登錄USER外的其他用戶登錄。
7.安裝DenyHosts，防止ddos攻擊。
8.禁止系統(tǒng)響應(yīng)任何從外部/內(nèi)部來的ping請求。
9.保持每天自動檢測更新。
10.禁止除root之外的用戶進(jìn)程安裝軟件及服務(wù)，如有需要則root安裝，chown給到用戶。
11.定時(shí)給服務(wù)器做快照。
12.更改下列文件權(quán)限：
13.限制普通用戶使用特殊命令，比如wget，curl等命令更改使用權(quán)限，一般的挖礦程序主要使用這幾種命令操作。
1.nginx進(jìn)程運(yùn)行在最小權(quán)限的子用戶中，禁止使用root用戶啟動nginx。(重要)
2.配置nginx.conf，防范常見漏洞：
1.禁止root權(quán)限啟動apache服務(wù)！禁止root權(quán)限啟動apache服務(wù)！禁止root權(quán)限啟動apache服務(wù)！重要的事情說三遍！因?yàn)檫@個(gè)問題被搞了兩次。
2.改掉默認(rèn)端口。
3.清空webapps下除自己服務(wù)外的其他文件，刪除用戶管理文件，防止給木馬留下后門。
4.限制apache啟動進(jìn)程su到root進(jìn)程以及ssh登錄，限制啟動進(jìn)程訪問除/home/xx自身目錄外的其他文件。
5.限制apache啟動進(jìn)程操作刪除以及編輯文件，一般a+x即可。
1.關(guān)閉外網(wǎng)連接，與java/php服務(wù)使用內(nèi)網(wǎng)連接。
2.在滿足java/php服務(wù)的基礎(chǔ)上，新建最小權(quán)限USER給到服務(wù)使用，禁止USER權(quán)限訪問其他項(xiàng)目的庫。
3.root密碼不要與普通USER相同。
4.建議使用云庫，云庫具備實(shí)時(shí)備份，動態(tài)擴(kuò)容，數(shù)據(jù)回退等功能，減少操作風(fēng)險(xiǎn)。
1.關(guān)閉外網(wǎng)連接，只允許內(nèi)網(wǎng)交互，基本這個(gè)做了之后就已經(jīng)穩(wěn)了。
2.禁止root權(quán)限啟動，運(yùn)行在普通用戶進(jìn)程里。
3.更改默認(rèn)端口。
4.添加登錄密碼。
以上是自己做的防范手段，不成熟見解，有一些方案待驗(yàn)證，不定時(shí)更新，歡迎大佬補(bǔ)充！
不但企業(yè)的門戶網(wǎng)站被篡改、資料被竊取，而且還成為了病毒與木馬的傳播者。有些Web管理員采取了一些措施，雖然可以保證門戶網(wǎng)站的主頁不被篡改，但是卻很難避免自己的網(wǎng)站被當(dāng)作肉雞，來傳播病毒、惡意插件、木馬等等。筆者認(rèn)為，這很大一部分原因是管理員在Web安全防護(hù)上太被動。他們只是被動的防御。為了徹底提高Web服務(wù)器的安全，筆者認(rèn)為，Web安全要主動出擊。具體的來說，需要做到如下幾點(diǎn)。 一、在代碼編寫時(shí)就要進(jìn)行漏洞測試 現(xiàn)在的企業(yè)網(wǎng)站做的越來越復(fù)雜、功能越來越強(qiáng)。不過這些都不是憑空而來的，是通過代碼堆積起來的。如果這個(gè)代碼只供企業(yè)內(nèi)部使用，那么不會帶來多大的安全隱患。但是如果放在互聯(lián)網(wǎng)上使用的話，則這些為實(shí)現(xiàn)特定功能的代碼就有可能成為攻擊者的目標(biāo)。筆者舉一個(gè)簡單的例子。在網(wǎng)頁中可以嵌入SQL代碼。而攻擊者就可以利用這些SQL代碼來發(fā)動攻擊，來獲取管理員的密碼等等破壞性的動作。有時(shí)候訪問某些網(wǎng)站還需要有某些特定的控件。用戶在安裝這些控件時(shí)，其實(shí)就有可能在安裝一個(gè)木馬(這可能訪問者與被訪問者都沒有意識到)。 為此在為網(wǎng)站某個(gè)特定功能編寫代碼時(shí)，就要主動出擊。從編碼的設(shè)計(jì)到編寫、到測試，都需要認(rèn)識到是否存在著安全的漏洞。筆者在日常過程中，在這方面對于員工提出了很高的要求。各個(gè)員工必須對自己所開發(fā)的功能負(fù)責(zé)。至少現(xiàn)在已知的病毒、木馬不能夠在你所開發(fā)的插件中有機(jī)可乘。通過這層層把關(guān)，就可以提高代碼編寫的安全性。 二、對Web服務(wù)器進(jìn)行持續(xù)的監(jiān)控 冰凍三尺、非一日之寒。這就好像人生病一樣，都有一個(gè)過程。病毒、木馬等等在攻擊Web服務(wù)器時(shí)，也需要一個(gè)過程。或者說，在攻擊取得成功之前，他們會有一些試探性的動作。如對于一個(gè)采取了一定安全措施的Web服務(wù)器，從攻擊開始到取得成果，至少要有半天的時(shí)間。如果Web管理員對服務(wù)器進(jìn)行了全天候的監(jiān)控。在發(fā)現(xiàn)有異常行為時(shí)，及早的采取措施，將病毒與木馬阻擋在門戶之外。這種主動出擊的方式，就可以大大的提高Web服務(wù)器的安全性。 筆者現(xiàn)在維護(hù)的Web服務(wù)器有好幾十個(gè)?，F(xiàn)在專門有一個(gè)小組，來全天候的監(jiān)控服務(wù)器的訪問。平均每分鐘都可以監(jiān)測到一些試探性的攻擊行為。其中99%以上的攻擊行為，由于服務(wù)器已經(jīng)采取了對應(yīng)的安全措施，都無功而返。不過每天仍然會遇到一些攻擊行為。這些攻擊行為可能是針對新的漏洞，或者采取了新的攻擊方式。在服務(wù)器上原先沒有采取對應(yīng)的安全措施。如果沒有及時(shí)的發(fā)現(xiàn)這種行為，那么他們就很有可能最終實(shí)現(xiàn)他們的非法目的。相反，現(xiàn)在及早的發(fā)現(xiàn)了他們的攻擊手段，那么我們就可以在他們采取進(jìn)一步行動之前，就在服務(wù)器上關(guān)掉這扇門，補(bǔ)上這個(gè)漏洞。 筆者在這里也建議，企業(yè)用戶在選擇互聯(lián)網(wǎng)Web服務(wù)器提供商的時(shí)候，除了考慮性能等因素之外，還要評估服務(wù)提供商能否提供全天候的監(jiān)控機(jī)制。在Web安全上主動出擊，及時(shí)發(fā)現(xiàn)攻擊者的攻擊行為。在他們采取進(jìn)一步攻擊措施之前，就他們消除在萌芽狀態(tài)。 三、設(shè)置蜜罐，將攻擊者引向錯(cuò)誤的方向 在軍隊(duì)中，有時(shí)候會給軍人一些偽裝，讓敵人分不清真?zhèn)?。其?shí)在跟病毒、木馬打交道時(shí)，本身就是一場無硝煙的戰(zhàn)爭。為此對于Web服務(wù)器采取一些偽裝，也能夠?qū)⒐粽咭蝈e(cuò)誤的方向。等到供給者發(fā)現(xiàn)自己的目標(biāo)錯(cuò)誤時(shí)，管理員已經(jīng)鎖定了攻擊者，從而可以及早的采取相應(yīng)的措施。筆者有時(shí)候?qū)⑦@種主動出擊的行為叫做蜜罐效應(yīng)。簡單的說，就是設(shè)置兩個(gè)服務(wù)器。其中一個(gè)是真正的服務(wù)器，另外一個(gè)是蜜罐?，F(xiàn)在需要做的是，如何將真正的服務(wù)器偽裝起來，而將蜜罐推向公眾。讓攻擊者認(rèn)為蜜罐服務(wù)器才是真正的服務(wù)器。要做到這一點(diǎn)的話，可能需要從如下幾個(gè)方面出發(fā)。 一是有真有假，難以區(qū)分。如果要瞞過攻擊者的眼睛，那么蜜罐服務(wù)器就不能夠做的太假。筆者在做蜜罐服務(wù)器的時(shí)候，80%以上的內(nèi)容都是跟真的服務(wù)器相同的。只有一些比較機(jī)密的信息沒有防治在蜜罐服務(wù)器上。而且蜜罐服務(wù)器所采取的安全措施跟真的服務(wù)器事完全相同的。這不但可以提高蜜罐服務(wù)器的真實(shí)性，而且也可以用來評估真實(shí)服務(wù)器的安全性。一舉兩得。 二是需要有意無意的將攻擊者引向蜜罐服務(wù)器。攻擊者在判斷一個(gè)Web服務(wù)器是否值得攻擊時(shí)，會進(jìn)行評估。如評估這個(gè)網(wǎng)站的流量是否比較高。如果網(wǎng)站的流量不高，那么即使被攻破了，也沒有多大的實(shí)用價(jià)值。攻擊者如果沒有有利可圖的話，不會花這么大的精力在這個(gè)網(wǎng)站服務(wù)器上面。如果要將攻擊者引向這個(gè)蜜罐服務(wù)器的話，那么就需要提高這個(gè)蜜罐服務(wù)器的訪問量。其實(shí)要做到這一點(diǎn)也非常的容易?，F(xiàn)在有很多用來交互流量的團(tuán)隊(duì)。只要花一點(diǎn)比較小的投資就可以做到這一點(diǎn)。 三是可以故意開一些后門讓攻擊者來鉆。作為Web服務(wù)器的管理者，不僅關(guān)心自己的服務(wù)器是否安全，還要知道自己的服務(wù)器有沒有被人家盯上?；蛘哒f，有沒有被攻擊的價(jià)值。此時(shí)管理者就需要知道，自己的服務(wù)器一天被攻擊了多少次。如果攻擊的頻率比較高，管理者就高興、又憂慮。高興的是自己的服務(wù)器價(jià)值還蠻大的，被這么多人惦記著。憂慮的是自己的服務(wù)器成為了眾人攻擊的目標(biāo)。就應(yīng)該抽取更多的力量來關(guān)注服務(wù)器的安全。 四、專人對Web服務(wù)器的安全性進(jìn)行測試 俗話說，靠人不如靠自己。在Web服務(wù)器的攻防戰(zhàn)上，這一個(gè)原則也適用。筆者建議，如果企業(yè)對于Web服務(wù)的安全比較高，如網(wǎng)站服務(wù)器上有電子商務(wù)交易平臺，此時(shí)最好設(shè)置一個(gè)專業(yè)的團(tuán)隊(duì)。他們充當(dāng)攻擊者的角色，對服務(wù)器進(jìn)行安全性的測試。這個(gè)專業(yè)團(tuán)隊(duì)主要執(zhí)行如下幾個(gè)任務(wù)。 一是測試Web管理團(tuán)隊(duì)對攻擊行為的反應(yīng)速度。如可以采用一些現(xiàn)在比較流行的攻擊手段，對自己的Web服務(wù)器發(fā)動攻擊。當(dāng)然這個(gè)時(shí)間是隨機(jī)的。預(yù)先Web管理團(tuán)隊(duì)并不知道?，F(xiàn)在要評估的是，Web管理團(tuán)隊(duì)在多少時(shí)間之內(nèi)能夠發(fā)現(xiàn)這種攻擊的行為。這也是考驗(yàn)管理團(tuán)隊(duì)全天候跟蹤的能力。一般來說，這個(gè)時(shí)間越短越好。應(yīng)該將這個(gè)時(shí)間控制在可控的范圍之內(nèi)。即使攻擊最后沒有成功，Web管理團(tuán)隊(duì)也應(yīng)該及早的發(fā)現(xiàn)攻擊的行為。畢竟有沒有發(fā)現(xiàn)、與最終有沒有取得成功，是兩個(gè)不同的概念。 二是要測試服務(wù)器的漏洞是否有補(bǔ)上。畢竟大部分的攻擊行為，都是針對服務(wù)器現(xiàn)有的漏洞所產(chǎn)生的?，F(xiàn)在這個(gè)專業(yè)團(tuán)隊(duì)要做的就是，這些已發(fā)現(xiàn)的漏洞是否都已經(jīng)打上了安全補(bǔ)丁或者采取了對應(yīng)的安全措施。有時(shí)候我們都沒有發(fā)現(xiàn)的漏洞是無能為力，但是對于這些已經(jīng)存在的漏洞不能夠放過。否則的話，也太便宜那些攻擊者了。
1、網(wǎng)站服務(wù)器和其他計(jì)算機(jī)之間設(shè)置防火墻，做好安全策略，拒絕外來的惡意程序攻擊，保障網(wǎng)站正常運(yùn)行。
2、在網(wǎng)站的服務(wù)器及工作站上均安裝了相應(yīng)的防病毒軟件，對計(jì)算機(jī)病毒、有害電子郵件有整套的防范措施，防止有害信息對網(wǎng)站系統(tǒng)的干擾和破壞。
3、做好訪問日志的留存。網(wǎng)站具有保存三個(gè)月以上的系統(tǒng)運(yùn)行日志和用戶使用日志記錄功能，內(nèi)容包括IP地址及使用情況，主頁維護(hù)者、對應(yīng)的IP地址情況等。
4、交互式欄目具備有IP地址、身份登記和識別確認(rèn)功能，對非法帖子或留言能做到及時(shí)刪除并進(jìn)行重要信息向相關(guān)部門匯報(bào)
5、網(wǎng)站信息服務(wù)系統(tǒng)建立多機(jī)備份機(jī)制，一旦主系統(tǒng)遇到故障或受到攻擊導(dǎo)致不能正常運(yùn)行，可以在最短的時(shí)間內(nèi)替換主系統(tǒng)提供服務(wù)。
6、關(guān)閉網(wǎng)站系統(tǒng)中暫不使用的服務(wù)功能，及相關(guān)端口，并及時(shí)用補(bǔ)丁修復(fù)系統(tǒng)漏洞，定期查殺病毒。
7、服務(wù)器平時(shí)處于鎖定狀態(tài)，并保管好登錄密碼；后臺管理界面設(shè)置超級用戶名及密碼，并綁定IP，以防他人登入。
8、網(wǎng)站提供集中式權(quán)限管理，針對不同的應(yīng)用系統(tǒng)、終端、操作人員，由網(wǎng)站系統(tǒng)管理員設(shè)置共享數(shù)據(jù)庫信息的訪問權(quán)限，并設(shè)置相應(yīng)的密碼及口令。不同的操作人員設(shè)定不同的用戶名，且定期更換，嚴(yán)禁操作人員泄漏自己的口令。對操作人員的權(quán)限嚴(yán)格按照崗位職責(zé)設(shè)定，并由網(wǎng)站系統(tǒng)管理員定期檢查操作人員權(quán)限。
9、公司機(jī)房按照電信機(jī)房標(biāo)準(zhǔn)建設(shè)，內(nèi)有必備的獨(dú)立UPS不間斷電源，能定期進(jìn)行電力、防火、防潮、防磁和防鼠檢查。
通常地，大多數(shù)Web站點(diǎn)的設(shè)計(jì)目標(biāo)都是:以最易接受的方式，為訪問者提供即時(shí)的信息訪問。在過去的幾年中，越來越多的黑客、病毒和蠕蟲帶來的安全問題嚴(yán)重影響了網(wǎng)站的可訪問性，盡管Apache服務(wù)器也常常是攻擊者的目標(biāo)，然而微軟的Internet信息服務(wù)(IIS)
Web服務(wù)器才是真正意義上的眾矢之的。
高級教育機(jī)構(gòu)往往無法在構(gòu)建充滿活力、界面友好的網(wǎng)站還是構(gòu)建高安全性的網(wǎng)站之間找到平衡點(diǎn)。另外，它們現(xiàn)在必須致力于提高網(wǎng)站安全性以面對縮減中的技術(shù)預(yù)算
(其實(shí)許多它們的私有部門也面臨著相似的局面)。
正因?yàn)槿绱耍以谶@里將為預(yù)算而頭疼的大學(xué)IT經(jīng)理們提供一些技巧，以幫助他們保護(hù)他們的IIS服務(wù)器。雖然主要是面對大學(xué)里的IT專業(yè)人員的，但是這些技巧也基本上適用于希望通過少量的財(cái)政預(yù)算來提高安全性的IIS管理人員。實(shí)際上，這里面的一些技巧對擁有強(qiáng)大預(yù)算的IIS管理人員也是非常有用的。
首先，開發(fā)一套安全策略
保護(hù)Web服務(wù)器的第一步是確保網(wǎng)絡(luò)管理員清楚安全策略中的每一項(xiàng)制度。如果公司高層沒有把服務(wù)器的安全看作是必須被保護(hù)的資產(chǎn)，那么保護(hù)工作是完全沒有意義的。這項(xiàng)工作需要長期的努力。如果預(yù)算不支持或者它不是長期IT戰(zhàn)略的一部分，那么花費(fèi)大量時(shí)間保護(hù)服務(wù)器安全的管理員將得不到管理層方面的重要支持。
網(wǎng)絡(luò)管理員為各方面資源建立安全性的直接結(jié)果是什么呢?一些特別喜歡冒險(xiǎn)的用戶將會被關(guān)在門外。那些用戶隨后會抱怨公司的管理層，管理層人員又會去質(zhì)問網(wǎng)絡(luò)管理員究竟發(fā)生了什么。那么，網(wǎng)絡(luò)管理員沒辦法建立支持他們安全工作的文檔，因此，沖突發(fā)生了。
通過標(biāo)注Web服務(wù)器安全級別以及可用性的安全策略，網(wǎng)絡(luò)管理員將能夠從容地在不同的操作系統(tǒng)上部署各種軟件工具。
IIS安全技巧
微軟的產(chǎn)品一向是眾矢之的，因此IIS服務(wù)器特別容易成為攻擊者的靶子。搞清楚了這一點(diǎn)后，網(wǎng)絡(luò)管理員必須準(zhǔn)備執(zhí)行大量的安全措施。我將要為你們提供的是一個(gè)清單，服務(wù)器操作員也許會發(fā)現(xiàn)這是非常有用的。
1.
保持Windows升級:
你必須在第一時(shí)間及時(shí)地更新所有的升級，并為系統(tǒng)打好一切補(bǔ)丁?？紤]將所有的更新下載到你網(wǎng)絡(luò)上的一個(gè)專用的服務(wù)器上，并在該機(jī)器上以Web的形式將文件發(fā)布出來。通過這些工作，你可以防止你的Web服務(wù)器接受直接的Internet訪問。
2.
使用IIS防范工具:
這個(gè)工具有許多實(shí)用的優(yōu)點(diǎn)，然而，請慎重的使用這個(gè)工具。如果你的Web服務(wù)器和其他服務(wù)器相互作用，請首先測試一下防范工具，以確定它已經(jīng)被正確的配置，保證其不會影響Web服務(wù)器與其他服務(wù)器之間的通訊。
3.
移除缺省的Web站點(diǎn):
很多攻擊者瞄準(zhǔn)inetpub這個(gè)文件夾，并在里面放置一些偷襲工具，從而造成服務(wù)器的癱瘓。防止這種攻擊最簡單的方法就是在IIS里將缺省的站點(diǎn)禁用。然后，因?yàn)榫W(wǎng)蟲們都是通過IP地址訪問你的網(wǎng)站的
(他們一天可能要訪問成千上萬個(gè)IP地址)，他們的請求可能遇到麻煩。將你真實(shí)的Web站點(diǎn)指向一個(gè)背部分區(qū)的文件夾，且必須包含安全的NTFS權(quán)限。
4.
如果你并不需要FTP和SMTP服務(wù)，請卸載它們:
進(jìn)入計(jì)算機(jī)的最簡單途徑就是通過FTP訪問。FTP本身就是被設(shè)計(jì)滿足簡單讀/寫訪問的，如果你執(zhí)行身份認(rèn)證，你會發(fā)現(xiàn)你的用戶名和密碼都是通過明文的形式在網(wǎng)絡(luò)上傳播的。SMTP是另一種允許到文件夾的寫權(quán)限的服務(wù)。通過禁用這兩項(xiàng)服務(wù)，你能避免更多的黑客攻擊。
5.
有規(guī)則地檢查你的管理員組和服務(wù):
有一天我進(jìn)入我們的教室，發(fā)現(xiàn)在管理員組里多了一個(gè)用戶。這意味著這時(shí)某個(gè)人已經(jīng)成功地進(jìn)入了你的系統(tǒng)，他或她可能冷不丁地將炸彈扔到你的系統(tǒng)里，這將會突然摧毀你的整個(gè)系統(tǒng)，或者占用大量的帶寬以便黑客使用。黑客同樣趨向于留下一個(gè)幫助服務(wù)，一旦這發(fā)生了，采取任何措施可能都太晚了，你只能重新格式化你的磁盤，從備份服務(wù)器恢復(fù)你每天備份的文件。因此，檢查IIS服務(wù)器上的服務(wù)列表并保持盡量少的服務(wù)必須成為你每天的任務(wù)。你應(yīng)該記住哪個(gè)服務(wù)應(yīng)該存在，哪個(gè)服務(wù)不應(yīng)該存在。Windows
2000
Resource
Kit帶給我們一個(gè)有用的程序，叫作tlist.exe，它能列出每種情況運(yùn)行在svchost
之下的服務(wù)。運(yùn)行這個(gè)程序可以尋找到一些你想要知道的隱藏服務(wù)。給你一個(gè)提示:任何含有daemon幾個(gè)字的服務(wù)可能不是Windows本身包含的服務(wù)，都不應(yīng)該存在于IIS服務(wù)器上。
6.
嚴(yán)格控制服務(wù)器的寫訪問權(quán)限:
這聽起來很容易，然而，在大學(xué)校園里，一個(gè)Web服務(wù)器實(shí)際上是有很多"作者"的。教職人員都希望讓他們的課堂信息能被遠(yuǎn)程學(xué)生訪問。職員們則希望與其他的職員共享他們的工作信息。服務(wù)器上的文件夾可能出現(xiàn)極其危險(xiǎn)的訪問權(quán)限。將這些信息共享或是傳播出去的一個(gè)途徑是安裝第2個(gè)服務(wù)器以提供專門的共享和存儲目的，然后配置你的Web服務(wù)器來指向共享服務(wù)器。這個(gè)步驟能讓網(wǎng)絡(luò)管理員將Web服務(wù)器本身的寫權(quán)限僅僅限制給管理員組。
7.
設(shè)置復(fù)雜的密碼:
我最近進(jìn)入到教室，從事件察看器里發(fā)現(xiàn)了很多可能的黑客。他或她進(jìn)入了實(shí)驗(yàn)室的域結(jié)構(gòu)足夠深，以至于能夠?qū)θ魏斡脩暨\(yùn)行密碼破解工具。如果有用戶使用弱密碼
(例如"password"或是
changeme"或者任何字典單詞)，那么黑客能快速并簡單的入侵這些用戶的賬號。
8.
減少/排除Web服務(wù)器上的共享:
如果網(wǎng)絡(luò)管理員是唯一擁有Web服務(wù)器寫權(quán)限的人，就沒有理由讓任何共享存在。共享是對黑客最大的誘惑。此外，通過運(yùn)行一個(gè)簡單的循環(huán)批處理文件，黑客能夠察看一個(gè)IP地址列表，利用\\命令尋找Everyone/完全控制權(quán)限的共享。
9.
禁用TCP/IP協(xié)議中的NetBIOS:
這是殘忍的。很多用戶希望通過UNC路徑名訪問Web服務(wù)器。隨著NETBIOS被禁用，他們便不能這么做了。另一方面，隨著NETBIOS被禁用，黑客就不能看到你局域網(wǎng)上的資源了。這是一把雙刃劍，如果網(wǎng)絡(luò)管理員部署了這個(gè)工具，下一步便是如何教育Web用戶如何在NETBIOS失效的情況下發(fā)布信息。
10.
使用TCP端口阻塞:
這是另一個(gè)殘忍的工具。如果你熟悉每個(gè)通過合法原因訪問你服務(wù)器的TCP端口，那么你可以進(jìn)入你網(wǎng)絡(luò)接口卡的屬性選項(xiàng)卡，選擇綁定的TCP/IP協(xié)議，阻塞所有你不需要的端口。你必須小心的使用這一工具，因?yàn)槟悴⒉幌Ｍ麑⒆约烘i在Web服務(wù)器之外，特別是在當(dāng)你需要遠(yuǎn)程登陸服務(wù)器的情況下。
11.
仔細(xì)檢查*.bat和*.exe
文件:
每周搜索一次*.bat
和*.exe文件，檢查服務(wù)器上是否存在黑客最喜歡，而對你來說將是一場惡夢的可執(zhí)行文件。在這些破壞性的文件中，也許有一些是*.reg文件。如果你右擊并選擇編輯，你可以發(fā)現(xiàn)黑客已經(jīng)制造并能讓他們能進(jìn)入你系統(tǒng)的注冊表文件。你可以刪除這些沒任何意義但卻會給入侵者帶來便利的主鍵。
12.
管理IIS目錄安全:
IIS目錄安全允許你拒絕特定的IP地址、子網(wǎng)甚至是域名。作為選擇，我選擇了一個(gè)被稱作WhosOn的軟件，它讓我能夠了解哪些IP地址正在試圖訪問服務(wù)器上的特定文件。WhosOn列出了一系列的異常。如果你發(fā)現(xiàn)一個(gè)家伙正在試圖訪問你的cmd.exe，你可以選擇拒絕這個(gè)用戶訪問Web服務(wù)器。當(dāng)然，在一個(gè)繁忙的Web站點(diǎn)，這可能需要一個(gè)全職的員工!然而，在內(nèi)部網(wǎng)，這真的是一個(gè)非常有用的工具。你可以對所有局域網(wǎng)內(nèi)部用戶提供資源，也可以對特定的用戶提供。
13.
使用NTFS安全:
缺省地，你的NTFS驅(qū)動器使用的是EVERYONE/完全控制權(quán)限，除非你手工關(guān)掉它們。關(guān)鍵是不要把自己鎖定在外，不同的人需要不同的權(quán)限，管理員需要完全控制，后臺管理賬戶也需要完全控制，系統(tǒng)和服務(wù)各自需要一種級別的訪問權(quán)限，取決于不同的文件。最重要的文件夾是System32，這個(gè)文件夾的訪問權(quán)限越小越好。在Web服務(wù)器上使用NTFS權(quán)限能幫助你保護(hù)重要的文件和應(yīng)用程序。
14.管理用戶賬戶:
如果你已經(jīng)安裝IIS，你可能產(chǎn)生了一個(gè)TSInternetUser賬戶。除非你真正需要這個(gè)賬戶，否則你應(yīng)該禁用它。這個(gè)用戶很容易被滲透，是黑客們的顯著目標(biāo)。為了幫助管理用戶賬戶，確定你的本地安全策略沒有問題。IUSR用戶的權(quán)限也應(yīng)該盡可能的小。
15.
審計(jì)你的Web服務(wù)器:
審計(jì)對你計(jì)算機(jī)的性能有著較大的影響，因此如果你不經(jīng)常察看的話，還是不要做審計(jì)了。如果你真的能用到它，請審計(jì)系統(tǒng)事件并在你需要的時(shí)候加入審計(jì)工具。如果你正在使用前面提到的WhosOn工具，審計(jì)就不那么重要了。缺省地，IIS總是紀(jì)錄訪問，
WhosOn
會將這些紀(jì)錄放置在一個(gè)非常容易易讀的數(shù)據(jù)庫中，你可以通過Access或是
Excel打開它。如果你經(jīng)常察看異常數(shù)據(jù)庫，你能在任何時(shí)候找到服務(wù)器的脆弱點(diǎn)。
總結(jié)
上述所有IIS技巧和工具(除了WhosOn以外)都是Windows自帶的。不要忘記在測試你網(wǎng)站可達(dá)性之前一個(gè)一個(gè)的使用這些技巧和工具。如果它們一起被部署，結(jié)果可能讓你損失慘重，你可能需要重啟，從而遺失訪問。
最后的技巧:
登陸你的Web服務(wù)器并在命令行下運(yùn)行netstat
-an。觀察有多少IP地址正嘗試和你的端口建立連接，然后你將有一大堆的調(diào)查和研究要做了。
重慶分公司
重慶分公司
