服务器安全设置之-本地安全策略设置

2024-12-04 23:42:56

也可以运行中输入gpedit.msc进入计算机配置→windows设置→安全设置→本地策略

安全策略自动更新命令：GPUpdate /force (应用组策略自动生效不需重新启动)

　　开始菜单—>管理工具—>本地安全策略

　　 A、本地策略——>审核策略

　　审核策略更改　　　成功　失败　　
　　审核登录事件　　　成功　失败
　　审核对象访问　　　　　　失败
　　审核过程跟踪　　　无审核
　　审核目录服务访问　　　　失败
　　审核特权使用　　　　　　失败
　　审核系统事件　　　成功　失败
　　审核账户登录事件　成功　失败
　　审核账户管理　　　成功　失败
　　B、本地策略——>用户权限分配

　　关闭系统：只有Administrators组、其它全部删除。
　　通过终端服务拒绝登陆：加入Guests、User组
　　通过终端服务允许登陆：只加入Administrators组，其他全部删除

　　C、本地策略——>安全选项

　　交互式登陆：不显示上次的用户名　　　　　　　启用
　　网络访问：不允许SAM帐户和共享的匿名枚举　　启用
　　网络访问：不允许为网络身份验证储存凭证　　　启用
　　网络访问：可匿名访问的共享　　　　　　　　　全部删除
　　网络访问：可匿名访问的命　　　　　　　　　　全部删除
　　网络访问：可远程访问的注册表路径　　　　　　全部删除
　　网络访问：可远程访问的注册表路径和子路径　　全部删除
　　帐户：重命名来宾帐户　　　　　　　　　　　　重命名一个帐户
　　帐户：重命名系统管理员帐户　　　　　　　　　重命名一个帐户

UI 中的设置名称

企业客户端台式计算机

企业客户端便携式计算机

高安全级台式计算机

高安全级便携式计算机

帐户: 使用空白密码的本地帐户只允许进行控制台登录

已启用

帐户: 重命名系统管理员帐户

推荐

设备: 允许不登录移除

已禁用

已启用

已禁用

设备: 允许格式化和弹出可移动媒体

Administrators, Interactive Users

Administrators

设备: 防止用户安装打印机驱动程序

已启用

已禁用

已启用

已禁用

设备: 只有本地登录的用户才能访问 CD-ROM

已禁用

已启用

设备: 只有本地登录的用户才能访问软盘

已启用

设备: 未签名驱动程序的安装操作

允许安装但发出警告

禁止安装

域成员: 需要强 (Windows 2000 或以上版本) 会话密钥

已启用

交互式登录: 不显示上次的用户名

已启用

交互式登录: 不需要按 CTRL+ALT+DEL

已禁用

交互式登录: 用户试图登录时消息文字

此系统限制为仅授权用户。尝试进行未经授权访问的个人将受到起诉。

交互式登录: 用户试图登录时消息标题

继续在没有适当授权的情况下使用是违法行为。

交互式登录: 可被缓存的前次登录个数 (在域控制器不可用的情况下)

交互式登录: 在密码到期前提示用户更改密码

14 天

交互式登录: 要求域控制器身份验证以解锁工作站

已禁用

已启用

已禁用

交互式登录: 智能卡移除操作

锁定工作站

Microsoft 网络客户: 数字签名的通信（若服务器同意）

已启用

Microsoft 网络客户: 发送未加密的密码到第三方 SMB 服务器。

已禁用

Microsoft 网络服务器: 在挂起会话之前所需的空闲时间

15 分钟

Microsoft 网络服务器: 数字签名的通信（总是）

已启用

Microsoft 网络服务器: 数字签名的通信（若客户同意）

已启用

Microsoft 网络服务器: 当登录时间用完时自动注销用户

已启用

已禁用

已启用

已禁用

网络访问: 允许匿名 SID/名称转换

已禁用

网络访问: 不允许 SAM 帐户和共享的匿名枚举

已启用

网络访问: 不允许 SAM 帐户和共享的匿名枚举

已启用

网络访问: 不允许为网络身份验证储存凭据或 .NET Passports

已启用

网络访问: 限制匿名访问命名管道和共享

已启用

网络访问: 本地帐户的共享和安全模式

经典 - 本地用户以自己的身份验证

网络安全: 不要在下次更改密码时存储 LAN Manager 的哈希值

已启用

网络安全: 在超过登录时间后强制注销

已启用

已禁用

已启用

已禁用

网络安全: LAN Manager 身份验证级别

仅发送 NTLMv2 响应

仅发送 NTLMv2 响应\拒绝 LM & NTLM

网络安全: 基于 NTLM SSP（包括安全 RPC）客户的最小会话安全

没有最小

要求 NTLMv2 会话安全要求 128-位加密

网络安全: 基于 NTLM SSP(包括安全 RPC)服务器的最小会话安全

没有最小

要求 NTLMv2 会话安全要求 128-位加密

故障恢复控制台: 允许自动系统管理级登录

已禁用

故障恢复控制台: 允许对所有驱动器和文件夹进行软盘复制和访问

已启用

已禁用

关机: 允许在未登录前关机

已禁用

关机: 清理虚拟内存页面文件

已禁用

已启用

系统加密: 使用 FIPS 兼容的算法来加密，哈希和签名

已禁用

系统对象: 由管理员 (Administrators) 组成员所创建的对象默认所有者

对象创建者

系统设置: 为软件限制策略对 Windows 可执行文件使用证书规则

已禁用

一、加固系统账户

1.禁止枚举账号

我们知道，某些具有黑客行为的蠕虫病毒，可以通过扫描Windows 2000/XP系统的指定端口，然后通过共享会话猜测管理员系统口令。因此，我们需要通过在“本地安全策略”中设置禁止枚举账号，从而抵御此类入侵行为，操作步骤如下：
在“本地安全策略”左侧列表的“安全设置”目录树中，逐层展开“本地策略→安全选项”。查看右侧的相关策略列表，在此找到“网络访问：不允许SAM账户和共享的匿名枚举”，用鼠标右键单击，在弹出菜单中选择“属性”，而后会弹出一个对话框，在此激活“已启用”选项，最后点击“应用”按钮使设置生效。

2.账户管理

为了防止入侵者利用漏洞登录机器，我们要在此设置重命名系统管理员账户名称及禁用来宾账户。设置方法为：在“本地策略→安全选项”分支中，找到“账户：来宾账户状态”策略，点右键弹出菜单中选择“属性”，而后在弹出的属性对话框中设置其状态为“已停用”，最后“确定”退出。

二、加强密码安全

在“安全设置”中，先定位于“账户策略→密码策略”，在其右侧设置视图中，可酌情进行相应的设置，以使我们的系统密码相对安全，不易破解。如防破解的一个重要手段就是定期更新密码，大家可据此进行如下设置：鼠标右键单击“密码最长存留期”，在弹出菜单中选择“属性”，在弹出的对话框中，大家可自定义一个密码设置后能够使用的时间长短(限定于1至999之间)。

此外，通过“本地安全设置”，还可以进行通过设置“审核对象访问”，跟踪用于访问文件或其他对象的用户账户、登录尝试、系统关闭或重新启动以及类似的事件。诸如此类的安全设置，不一而足。大家在实际应用中会逐渐发觉“本地安全设置”的确是一个不可或缺的系统安全工具

win2003 ip安全策略限制某个IP或IP段访问服务器指定端口图文说明

第一种方法:通过iis中的ip地址和域名限制在需要设置的网站上 > 右键属性 > 目录安全性 ip地址和域名限制授权访问与拒绝访问说明如果是授权访问,下面填写的就是拒绝访问的ip 如果是拒绝访问下面填写的就是可以访问的ip 第二种方法:通过ip安全策略第一步:打开开始,程序,管理工具,本地安全策略第二步:点"IP安全策略,在本地计算机",然后在右栏空白处点右键,在弹出的菜单中点"创建IP安全策略(C)" 第三步:在"IP安全策略向导&qu
服务器安全策略 IP安全策略设置方法

协议 IP协议端口源地址目标地址描述方式 ICMP -- -- -- ICMP 阻止 UDP 135 任何IP地址我的IP地址 135-UDP 阻止 UDP 136 任何IP地址我的IP地址 136-UDP 阻止 UDP 137 任何IP地址我的IP地址 137-UDP 阻止 UDP 138 任何IP地址我的IP地址 138-UDP 阻止 UDP 139 任何IP地址我的IP地址 139-UDP 阻止 TCP 445 任何IP地址-从任意端口我的IP地址-445 445-TC
win服务器防止安全策略或防火墙配置错误而导致远程无法连接的bat

我们很多时候需要通过远程桌面登录到服务器上去配置安全策略或者防火墙,这是一件很危险的工作.因为一旦某个设置有误,或者漏掉了某个操作步骤,就会导致服务器无法远程连接.如果是托管在IDC机房的服务器,那还需要联系服务商去处理,还得把密码给服务商让他们进系统去停止安全策略或防火墙.总之,风险极大! 实在读一些牛人的文章的时候,就已经有人提出了这样一种思路:做一个定时任务,10分钟触发一下,把安全策略服务或防火墙服务停止掉.这样,即使是你配置错了,远程无法连接了,大不了在外面等几分钟.等时间一到,服务被
win2003服务器安全设置之 IP安全策略

服务器安全设置之--IP安全策略 (仅仅列出需要屏蔽或阻止的端口或协议) 协议 IP协议端口源地址目标地址描述方式 ICMP -- -- -- ICMP 阻止 UDP 135 任何IP地址我的IP地址 135-UDP 阻止 UDP 136 任何IP地址我的IP地址 136-UDP 阻止 UDP 137 任何IP地址我的IP地址 137-UDP 阻止 UDP 138 任何IP地址我的IP地址 138-UDP 阻止 UDP 139 任何IP地址我的IP地址 139-UDP 阻止 T
win2008 R2设置IP安全策略后在服务器内打开网站很慢或无法访问外部网站的原因

win2008R2设置IP安全策略后在服务器内打开网站很慢速度只有几KB的原因是因为IP安全策略中的关闭策略中设置了原地址"任何IP"到目标地址"任何IP"的UDP任何端口都关闭: 修改为原地址"我的IP地址"到目标地址"任何IP"的UDP任何端口都关闭,再开放53端口的UDP,我的IP到DNS的IP就可以了!这个是为了解析域名用的! 操作思路:禁止所有用户访问1433端口,只允许个别IP访问.(安全策略里面允许的优先级大于
服务器安全之手把手教你如何做IP安全策略

安全策略 IP安全策略,简单的来说就是可以通过做相应的策略来达到放行.阻止相关的端口:放行.阻止相关的IP,如何做安全策略,小编为大家详细的写了相关的步骤: 解说步骤:阻止所有: 打开本地安全策略: 开始-运行-输入secpol.msc或者开始-程序-管理工具-本地安全策略弹出来的窗口中,右击IP安全策略,在本地计算机 1. 创建IP安全策略: 2. 进入配置向导:直接下一步 3. 直接就命名:IP 安全策略,然后下一步 4. "激活默认响应规则"不要勾上,不要勾上,直接下一步 5.
阿里云linux服务器上使用iptables设置安全策略的方法

公司的产品一直运行在云服务器上,从而有幸接触过aws的ec2,盛大的云服务器,最近准备有使用阿里云的弹性计算(云服务器).前两种云服务器在安全策略这块做的比较好,提供简单明了的配置界面,而且给了默认的安全策略,反观阿里云服务器,安全策略需要自己去配置,甚至centos机器上都没有预装iptables(起码我们申请两台上都没有),算好可以使用yum来安装,安装命令如下: yum install -y iptables iptables安装好后就可以来配置规则了.由于作为web服务器来使用,所以对外
利用Window自带Ipsec安全策略对服务器进行安全加固

说明:所有服务器上操作,请谨慎操作.确定后再次进行实施!仅仅是保护线路上的安全,以及网站被攻击后,客户端无法远程. Ipsec安全策略方法:设置安全策略.采用window的IPSec进行防护.允许80 3306端口.拒绝所有其他端口连接. 1:控制面板-系统和安全-管理工具-本地安全策略打开本地安全策略.默认是没有的.这里我已经添加一个策略. 右键属性,直接点击添加需要注意,该安全策略的排序方法是以英文字母数字类型来排序的.a开头在下边(首次不设置为拒绝,只允许) 鉴于是客户端访问固定服务
服务器安全设置之-本地安全策略设置

也可以运行中输入gpedit.msc进入计算机配置→windows设置→安全设置→本地策略安全策略自动更新命令:GPUpdate /force (应用组策略自动生效不需重新启动) 开始菜单->管理工具->本地安全策略 A.本地策略-->审核策略审核策略更改成功失败审核登录事件成功失败审核对象访问失败审核过程跟踪无审核审核目录服务访问失败审核特权使用失败审核系统事件成功失败审核账户登录事件成功失败审核账户管理成功失败 B.本地策略-->
服务器安全设置之组件安全设置篇

WindowsServer2003 + IIS6.0 + ASP 服务器安全设置之--组件安全设置篇 A.卸载WScript.Shell 和 Shell.application 组件,将下面的代码保存为一个.BAT文件执行(分2000和2003系统)windows2000.bat 复制代码代码如下: regsvr32/u C:/WINNT/System32/wshom.ocx del C:/WINNT/System32/wshom.ocx regsvr32/u C:/WINNT/system3
Windows Server 2008 R2常规安全设置及基本安全策略

用的腾讯云最早选购的时候悲催的只有Windows Server 2008 R2的系统,原来一直用的Windows Server 2003对2008用起来还不是非常熟练,对于一些基本设置及基本安全策略,在网上搜了一下,整理大概有以下17个方面,如果有没说到的希望大家踊跃提出哈! 比较重要的几部 1.更改默认administrator用户名,复杂密码 2.开启防火墙 3.安装杀毒软件 1)新做系统一定要先打上补丁 2)安装必要的杀毒软件 3)删除系统默认共享 4)修改本地策略-->安全选项交互式登
windows 服务器安全之磁盘访问权限设置[完整篇]

asp.net服务器安全之磁盘访问权限设置硬盘或文件夹: C:\ D:\ E:\ F:\ 类推主要权限部分: 其他权限部分: Administrators 完全控制无如果安装了其他运行环境,比如PHP等,则根据PHP的环境功能要求来设置硬盘权限,一般是安装目录加上users读取运行权限就足够了,比如c:\php的话,就在根目录权限继承的情况下加上users读取运行权限,需要写入数据的比如tmp文件夹,则把user的写删权限加上,运行权限不要,然后把虚拟主机用户的读权限拒绝即可.如果是mys
win2008 r2 服务器安全设置之安全狗设置图文教程

服务器安全狗,作为国内首款支持Windows全系列操作系统(Windows2003/Windows2008(32 位.64 位)/Windows2012)的基于内核级的服务器安全防护软件,采用 NDIS 中间层驱动模式,实现从驱动层直接屏蔽攻击,将针对服务器的攻击带来的损失降低到最小,最大程度地保护用户服务器的安全. 功能涵盖了服务器系统优化(包括服务器漏洞补丁修复等).服务器程序守护.远程桌面监控.文件目录守护.系统帐号监控.DDOS 防火墙.ARP 防火墙.Web 防火墙.安全策略设置以及邮
图解经典FTP服务器工具 SERV-U最安全的设置【防止被入侵】

作为一款精典的FTP服务器软件,SERV-U一直被大部分管理员所使用,它简单的安装和配置以及强大的管理功能的人性化也一直被管理员们称颂.但是随着使用者越来越多,该软件的安全问题也逐渐显露出来. 首先是SERV-U的SITE CHMOD漏洞和Serv-U MDTM漏洞,即利用一个账号可以轻易的得到SYSTEM权限.其次是Serv-u的本地溢出漏洞,即Serv-U有一个默认的管理用户(用户名:localadministrator,密码:# @$ak#. k;0@p),任何人只要通过一个能访问本地端口
Windows下通过ip安全策略设置只允许固定IP远程访问

通过设置IP安全策略限制固定IP访问说明: (1)以XP环境为例,步骤:先禁止所有IP,再允许固定IP访问. (2)配置过程中很多步骤图是重复的,一些没价值的图就省略了: (3)光看的话可能中间重复配置安全规则和IP筛选器模块会看晕,但按这个步骤配置肯定没有问题: 过程梳理:先配置安全策略--再配置IP筛选器列表--最后为这些安全策略指定 IP筛选器,指定筛选器操作即可. (4)设置完成后注意IPSEC服务必须为"启动"状态且启动类型必须设置为"自动",否
Linux Apache Web服务器安全的8种安全设置技巧

Apache服务器是一款开源的WEB服务器,是由非营利组织Apache软件基金会的支持的,我们很多的虚拟主机.VPS等都会使用Apache服务器架构环境,但是任何的架构环境都会遭受各种可能的攻击.安全漏洞的检测.SQL注入.各种拒绝服务攻击等. 作为我们VPS/服务器用户来说,我们一来需要多做备份确保服务器上网站数据的安全,二来还需要随时的观察我们服务器的监控动向,三来需要关注各种最新漏洞安全的更新脚本,作为基础的应用手段,我们需要确保基础的Apache安全设置,从基础上保证服务器的安全. 第一
IIS服务器下做301永久重定向设置方法[图解]

不过一场风波之后,很多服务商已经不提供转发服务了,虽说易名现在还可以享用到免费的转发服务,但是却不能不带www的转发到带www的同时进行MX记录解析,这对于需要MX解析的朋友也是一大烦恼. 而且有些域名在国外,转发更是用不了,也只能进行301永久重定向了,不然搜索引擎是把不带www的站和带www的站分开对待的,只是我们习惯于用带www的域名罢了. 在网络上看了些教程,再根据自己的实践,也终于搞定了IIS服务器上的301永久重定向设置问题.实现方法如下: 1.新建一个站点,对应目录如E:\wwwr

服务器安全设置之-本地安全策略设置

相关推荐

随机推荐