1、上海电信IDC机房服务器托管服务器硬件配置和服务器安全配置信息全能WEB 服务器硬件配置方案一、 入门级常规服务器硬配置方案:硬件名称基本参数数量参考价CPU奔腾E2160系列,LPGA封装,双核,工作功率65W,核心电压1.25V,主频1800MHZ,总线频率800MHZ,倍频9,外频200MHZ,128M一级缓存,1M二级缓存,指令集 MMX/SSE/SSE2/SSE3/Sup-SSE3/EM64T1¥460内存Kingston DDRII 667 1G,采用PBGA封,频率667MHZ1¥135主板采用Intel P965/ICH8芯片组,集成Realtek ALC 662声卡芯片,适用
2、Core2 Extreme/Core 2 Quad/Core 2 Duo/奔腾4/赛扬D/PentiumD系列处理器。前端总线频率FSB 1066MHz1¥599硬盘台式机 硬盘容量:160GB 转速/分:7200转/分 缓存(KB):8000KB 接口类型:Serial ATA 接口速率:Serial ATA 3001¥380机箱机箱类型:金河田飓风II 机箱样式:立式 机箱结构:Micro ATX/ATX 3.5英寸仓位:1个软驱仓位+6个硬盘仓位 光驱仓位:4个 产品电源:金河田355WB 3C1¥230光驱选配,普通DVD光驱1-散热器热器类型:CPU散热器 散热方式:风冷 风扇转数(
3、RPM):2200 轴承类型:合金轴承 适用范围:Intel LGA775 Conroe、PentiumD、Pentium4 Celeron D全系列 最大风量(CFM):43CFM1¥60UPSUPS电源类型:后备式UPS 额定输出容量:0.5kva1¥200稳压器选配1-显示器普通显示器1-鼠标键盘普通PS键盘和鼠标1¥100备注:作为WEB服务器,首先要保证不间断电源,机房要控制好相对温度和湿度。这里有额外配置的UPS不间断电源和稳压器,此服务器配置能胜基本的WEB请求服务,如大量的数据交换,文件读写,可能会存在带宽瓶颈。二、 顶级服务器配置方案硬件名称基本参数采用DELL PowerE
4、dge 2900(Xeon E5310/2GB/146GB) 配置CPUPowerEdge 2900 CPU频率1600MHZ,标配2个Xeon E5310处理器,8M缓存。内存FB-DIMM,2GB,最大可配置48GB主板Inter 5000X系列,FSB总线频率4066MHZ,6个扩展槽;集成ATI ES1000控制器,含16MB SDRAM硬盘SAS结构,146GB容量;标配内置硬盘托架支持多达8块3.5SAS或SATA热插拔硬盘;支持两个半高(HH)驱动器托架提供磁带或光驱设备(可选CD-ROM、可选DVD-ROM或一体化CD-RW/DVD-ROM)网卡双嵌入式Broadcom Net
5、Xtreme II 5708千兆以太网卡机箱478.9226.6674.3mm标准接口2个RJ-45(支持内置1GB NIC)后置、1个串口后置、6个通用串行总线(USB) 2.0端口(两个前置、4个后置)、2个视频(1个前置、1个后置)散热器6个+2个热插拔冗余风扇(6个标配,外加每个电源1个风扇)管理工具OpenManage、标配主板管理控制器,含IMPI 2.0支持、可选DRAC 5/i的先进功能备注:1, 系统支持Windows Server 2003 R2 Enterprise Edition、Windows Server 2003 R2 Web Edition、Windows Se
6、rver 2003 R2 x64 Enterprise Edition、Windows Server 2003 R2 x64 Standard Edition、Windows Storage Server 2003 R2 Workgroup Edition2, 工作环境:相对工作温度10-35,相对工作湿度20%-80% 无冷凝,相对存储温度-40-65,相对湿度5%-95% 无冷凝3, 以上配置为统一硬件配置,为DELL系列服务器标准配置,参考价位¥13000WEB 服务器软件配置和安全配置方案一、系统的安装 、按照Windows2003安装光盘的提示安装,默认情况下2003没有把IIS6.
7、0安装在系统里面。、IIS6.0的安装开始菜单控制面板添加或删除程序添加/删除Windows组件应用程序 ASP.NET(可选)|启用网络 COM+ 访问(必选)|Internet 信息服务(IIS)Internet 信息服务管理器(必选) |公用文件(必选) |万维网服务Active Server pages(必选) |Internet 数据连接器(可选) |WebDAV 发布(可选) |万维网服务(必选) |在服务器端的包含文件(可选)然后点击确定下一步安装。、系统补丁的更新点击开始菜单所有程序Windows Update按照提示进行补丁的安装。、备份系统用GHOST备份系统。、安装常用的
8、软件例如:杀毒软件、解压缩软件等;安装之后用GHOST再次备份系统。二、系统权限的设置、磁盘权限系统盘及所有磁盘只给 Administrators 组和 SYSTEM 的完全控制权限系统盘Documents and Settings 目录只给 Administrators 组和 SYSTEM 的完全控制权限系统盘Documents and SettingsAll Users 目录只给 Administrators 组和 SYSTEM 的完全控制权限系统盘Inetpub 目录及下面所有目录、文件只给 Administrators 组和 SYSTEM 的完全控制权限系统盘WindowsSystem
9、32cacls.exe、cmd.exe、net.exe、net1.exe 文件只给 Administrators 组和 SYSTEM 的完全控制权限、本地安全策略设置开始菜单管理工具本地安全策略A、本地策略审核策略 审核策略更改成功失败审核登录事件成功失败审核对象访问失败审核过程跟踪无审核审核目录服务访问失败审核特权使用失败审核系统事件成功失败审核账户登录事件成功失败审核账户管理成功失败B、本地策略用户权限分配关闭系统:只有Administrators组、其它全部删除。通过终端服务拒绝登陆:加入Guests、User组通过终端服务允许登陆:只加入Administrators组,其他全部删除C、
10、本地策略安全选项交互式登陆:不显示上次的用户名启用网络访问:不允许SAM帐户和共享的匿名枚举 启用网络访问:不允许为网络身份验证储存凭证启用网络访问:可匿名访问的共享全部删除网络访问:可匿名访问的命全部删除网络访问:可远程访问的注册表路径全部删除 网络访问:可远程访问的注册表路径和子路径全部删除 帐户:重命名来宾帐户重命名一个帐户 帐户:重命名系统管理员帐户重命名一个帐户、禁用不必要的服务开始菜单管理工具服务Print Spooler Remote RegistryTCP/IP NetBIOS HelperServer 以上是在Windows Server 2003 系统上面默认启动的服务中禁
11、用的,默认禁用的服务如没特别需要的话不要启动。、启用防火墙桌面网上邻居(右键)属性本地连接(右键)属性高级(选中)Internet 连接防火墙设置把服务器上面要用到的服务端口选中例如:一台WEB服务器,要提供WEB(80)、FTP(21)服务及远程桌面管理(3389)在“FTP 服务器”、“WEB服务器(HTTP)”、“远程桌面”前面打上对号如果你要提供服务的端口不在里面,你也可以点击“添加”铵钮来添加,具体参数可以参照系统里面原有的参数。然后点击确定。注意:如果是远程管理这台服务器,请先确定远程管理的端口是否选中或添加。 三、 Windows 2003安全配置 确保所有磁盘分区为NTFS分区
12、 操作系统、Web主目录、日志分别安装在不同的分区 不要安装不需要的协议,比如IPX/SPX, NetBIOS? 不要安装其它任何操作系统 安装所有补丁(用瑞星安全漏洞扫描下载) 关闭所有不需要的服务* Alerter (disable) * ClipBook Server (disable)* Computer Browser (disable)* DHCP Client (disable)* Directory Replicator (disable)* FTP publishing service (disable)* License Logging Service (disable)*
13、 Messenger (disable)* Netlogon (disable)* Network DDE (disable)* Network DDE DSDM (disable)* Network Monitor (disable)* Plug and Play (disable after all hardware configuration)* Remote Access Server (disable)* Remote Procedure Call (RPC) locater (disable)* Schedule (disable)* Server (disable)* Simpl
14、e Services (disable)* Spooler (disable)* TCP/IP Netbios Helper (disable)* Telephone Service (disable). 帐号和密码策略1) 保证禁止guest帐号2) 将administrator改名为比较难猜的帐号3) 密码唯一性:记录上次的 6 个密码4) 最短密码期限:25) 密码最长期限:426) 最短密码长度:87) 密码复杂化(passfilt.dll):启用8) 用户必须登录方能更改密码:启用9) 帐号失败登录锁定的时限:610)锁定后重新启用的时间间隔:720分钟保护文件和目录将C:winnt
15、, C:winntconfig, C:winntsystem32, C:winntsystem等目录的访问权限做限制,限制everyone的写权限,限制users组的读写权限注册表一些条目的修改1) 去除logon对话框中的shutdown按钮将HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrent VersionWinlogon中ShutdownWithoutLogon REG_SZ 值设为02) 去除logon信息的cashing功能将HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrent
16、VersionWinlogon中CachedLogonsCount REG_SZ 值设为04)限制LSA匿名访问将HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLSA中RestriCanonymous REG_DWORD 值设为1 5) 去除所有网络共享将HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanManServerParameters中AutoShareServer REG_DWORD 值设为0四、IIS的安全配置 关闭并删除默认站点: 默认FTP站点默认Web站点管理Web站点 建
17、立自己的站点,与系统不在一个分区,如D:wwwroot3 建立 E:Logfiles 目录,以后建立站点时的日志文件均位于此目录,确保此目录上的访问控制权限是: Administrators(完全控制)System(完全控制) 删除IIS的部分目录: IISHelp C:winnthelpiishelp IISAdmin C:system32inetsrviisadmin MSADC C:Program FilesCommon FilesSystemmsadc删除 C:inetpub . 删除不必要的IIS映射和扩展: IIS 被预先配置为支持常用的文件名扩展如 .asp 和 .shtm 文件
18、。IIS 接收到这些类型的文件请求时,该调用由 DLL 处理。如果您不使用其中的某些扩展或功能,则应删除该映射,步骤如下: 选择计算机名,点鼠标右键,选择属性: 然后选择编辑然后选择主目录, 点击配置选择扩展名 .htw,.htr,.idc,.ida,.idq和.printer,点击删除如果不使用server side include,则删除.shtm .stm 和 .shtml. 禁用父路径 :“父路径”选项允许您在对诸如 MapPath 函数调用中使用“.”。在默认情况下,该选项处于启用状态,应该禁用它。 禁用该选项的步骤如下:右键单击该 Web 站点的根,然后从上下文菜单中选择“属性”。
19、 单击“主目录”选项卡。 单击“配置”。 单击“应用程序选项”选项卡。 取消选择“启用父路径”复选框。 . 在虚拟目录上设置访问控制权限 主页使用的文件按照文件类型应使用不同的访问控制列表: CGI (.exe, .dll, .cmd, .pl) Everyone (X) Administrators(完全控制)System(完全控制)脚本文件 (.asp) Everyone (X) Administrators(完全控制) System(完全控制) include 文件 (.inc, .shtm, .shtml) Everyone (X) Administrators(完全控制)System
20、(完全控制) 静态内容 (.txt, .gif, .jpg, .html) Everyone (R) Administrators(完全控制) System(完全控制) 在创建Web站点时,没有必要在每个文件上设置访问控制权限,应该为每个文件类型创建一个新目录,然后在每个目录上设置访问控制权限、允许访问控制权限传给各个文件。例如,目录结构可为以下形式: D:wwwrootmyserverstatic (.html) D:wwwrootmyserverinclude (.inc) D:wwwrootmyserver script (.asp) D:wwwrootmyserver executab
21、le (.dll)D:wwwrootmyserverimages (.gif, .jpeg). 启用日志记录 确定服务器是否被攻击时,日志记录是极其重要的。应使用 W3C 扩展日志记录格式,步骤如下: 打开 Internet 服务管理器:右键单击站点,然后从上下文菜单中选择“属性”。 单击“Web 站点”选项卡。 选中“启用日志记录”复选框。从“活动日志格式”下拉列表中选择“W3C 扩展日志文件格式”。 单击“属性”。单击“扩展属性”选项卡,然后设置以下属性: * 客户 IP 地址 * 用户名 * 方法 * URI 资源 * HTTP 状态 * Win32 状态 * 用户代理 * 服务器 IP
22、 地址 * 服务器端口五、删除Windows Server 2003默认共享 和禁用IPC连接 IPC$(Internet Process Connection)是共享“命名管道”的资源,它是为了让进程间通信而开放的命名管道,通过提供可信任的用户名和口令,连接双方计算机即可以建立安全的通道并以此通道进行加密数据的交换,从而实现对远程计算机的访问。它是Windows NT/2000/XP/2003特有的功能,但它有一个特点,即在同一时间内,两个IP之间只允许建立一个连接。NT/2000/XP/2003在提供了ipc$功能的同时,在初次安装系统时还打开了默认共享,即所有的逻辑共享(c$,d$,e$
23、)和系统目录winnt或windows(admin$)共享。所有的这些,微软的初衷都是为了方便管理员的管理,但也为简称为IPC入侵者有意或无意的提供了方便条件,导致了系统安全性能的降低。在建立IPC的连接中不需要任何黑客工具,在命令行里键入相应的命令就可以了,不过有个前提条件,那就是你需要知道远程主机的用户名和密码。打开CMD后输入如下命令即可进行连接:net useipipc$ password /user:usernqme。我们可以通过修改注册表来禁用IPC连接。打开注册表编辑器。找到如下组建HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlL
24、sa中的restrictanonymous子键,将其值改为1即可禁用IPC连接 六、清空远程可访问的注册表路径 大家都知道,Windows 2003操作系统提供了注册表的远程访问功能,只有将远程可访问的注册表路径设置为空,这样才能有效的防止黑客利用扫描器通过远程注册表读取计算机的系统信息及其它信息.打开组策略编辑器,依次展开“计算机配置Windows 设置安全设置本地策略安全选项”,在右侧窗口中找到“网络访问:可远程访问的注册表路径”,然后在打开的窗口中,将可远程访问的注册表路径和子路径内容全部设置为空即可(如图7)。 七、关闭不必要的端口 对于个人用户来说安装中默认的有些端口确实是没有什么必
25、要的,关掉端口也就是关闭无用的服务。139端口是NetBIOS协议所使用的端口,在安装了TCP/IP 协议的同时,NetBIOS 也会被作为默认设置安装到系统中。139端口的开放意味着硬盘可能会在网络中共享;网上黑客也可通过NetBIOS知道你的电脑中的一切!在以前的Windows版本中,只要不安装Microsoft网络的文件和打印共享协议,就可关闭139端口。但在Windows Server 2003中,只这样做是不行的。如果想彻底关闭139端口,具体步骤如下: 鼠标右键单击“网络邻居”,选择“属性”,进入“网络和拨号连接”,再用鼠标右键单击“本地连接”,选择“属性”,打开“本地连接 属性”
26、页(如图8), 然后去掉“Microsoft网络的文件和打印共享”前面的“”(如图9), 接下来选中“Internet协议(TCP/IP)”,单击“属性”“高级”“WINS”,把“禁用TCP/IP上的NetBIOS”选中,即任务完成(如图10)! 对于个人用户来说,可以在各项服务属性设置中设为“禁用”,以免下次重启服务也重新启动,端口也开放了。 假如你的电脑中还装了IIS,你最好重新设置一下端口过滤。步骤如下:选择网卡属性,然后双击“Internet协议(TCP/IP)”,在出现的窗口中单击“高级”按钮,会进入“高级TCP/IP设置”窗口,接下来选择“选项”标签下的“TCP/IP 筛选”项,点
27、“属性”按钮,会来到“TCP/IP 筛选”的窗口,在该窗口的“启用TCP/IP筛选(所有适配器)”前面打上“”,然后根据需要配置就可以了。如果你只打算浏览网页,则只开放TCP端口80即可,所以可以在“TCP端口”上方选择“只允许”,然后单击“添加”按钮,输入80再单击“确定”即可 八、杜绝非法访问应用程序 Windows Server 2003是一种服务器操作系统,为了防止登陆到其中的用户,随意启动服务器中的应用程序,给服务器的正常运行带来不必要的麻烦,我们很有必要根据不同用户的访问权限,来限制。 他们去调用应用程序。实际上我们只要使用组策略编辑器作进一步的设置,即可实现这一目的,具体步骤如下
28、: 打开“组策略编辑器”的方法为:依次点击“开始运行”,在“运行”对话框中键入“gpedit.msc”命令并回车,即可打开“组策略编辑器”窗口。然后依次打开“组策略控制台用户配置管理模板系统”中的“只运行许可的应用程序”并启用此策略.然后点击下面的“允许的应用程序列表”边的“显示”按钮,弹出一个“显示内容”对话框,在此单击“添加”按钮来添加允许运行的应用程序即可九、设置和管理账户 1、系统管理员账户最好少建,更改默认的管理员帐户名(Administrator)和描述,密码最好采用数字加大小写字母加数字的上档键组合,长度最好不少于14位。 2、新建一个名为Administrator的陷阱帐号,为其设置最小的权限,然后随便输入组合的最好不低于20位的密码 3、将Guest账户禁用并更改名称和描述,然后输入一个复杂的密码,当然现在也有一个DelGuest的工具,也许你也可以利用它来删除Guest账户,但我没有试过。 4、在运行中输
copyright@ 2008-2022 冰豆网网站版权所有
经营许可证编号:鄂ICP备2022015515号-1