计算机服务器的安全策略

网站要依靠计算机服务器来运行整个体系，计算机服务器的安全程度直接关系着网站的稳定程度，加强计算机服务器的安全等级，避免网站信息遭恶意泄露。

一、基于帐户的安全策略

1、帐户改名

Administrator和guest是Windows系统默认的系统帐户，正因如此它们是最可能被利用，攻击者通过破解密码而登录计算机服务器。可以通过为其改名进行防范。

2、密码策略

密码策略作用于域帐户或本地帐户，其中就包含以下几个方面：强制密码历史，密码最长使用期限，密码最短使用期限，密码长度最小值，密码必须符合复杂性要求，用可还原的`加密来存储密码。

对于本地计算机的用户帐户，其密码策略设置是在“本地安全设置”管理工个中进行的。

3、帐户锁定

当计算机服务器帐户密码不够安全时，非法用户很容易通过多次重试“猜”出用户密码而登录系统，存在很大的安全风险。那如何来防止黑客猜解或者爆破计算机服务器密码呢?

其实，要避免这一情况，通过组策略设置帐户锁定策略即可完美解决。此时当某一用户尝试登录系统输入错误密码的次数达到一定阈值即自动将该帐户锁定，在帐户锁定期满之前，该用户将不可使用，除非管理员手动解除锁定。

二、安全登录系统

1、远程桌面

远程桌面是比较常用的远程登录方式，但是开启“远程桌面”就好像系统打开了一扇门，合法用户可以进来，恶意用户也可以进来，所以要做好安全措施。

(1).用户限制

点击“远程桌面”下方的“选择用户”按钮，然后在“远程桌面用户” 窗口中点击“添加”按钮输入允许的用户，或者通过“高级→立即查找”添加用户。由于远程登录有一定的安全风险，管理员一定要严格控制可登录的帐户。

(2).更改端口

远程桌面默认的连接端口是3389，攻击者就可以通过该端口进行连接尝试。因此，安全期间要修改该端口，原则是端口号一般是1024以后的端口，而且不容易被猜到。

2、telnet连接

telnet是命令行下的远程登录工具，因为是系统集成并且操作简单，所以在计算机服务器管理占有一席之地。因为它在网络上用明文传送口令和数据，别有用心的人非常容易就可以截获这些口令和数据。而且，这些服务程序的安全验证方式也是有其弱点的，就是很容易受到“中间人”(man-in-the-middle)这种方式的攻击。，并且其默认的端口是23这是大家都知道的。因此我们需要加强telnet的安全性。

3、第三方软件

可用来远程控制的第三方工具软件非常多，这些软件一般都包括客户端和计算机服务器端两部分，需要分别在两边都部署好，才能实现远控控制。一般情况下，这些软件被安全软件定义为木马或者后门，从而进行查杀。安全期间建议大家不要使用此类软件，因为使用此类工具需要对安全软件进行设置(排除、端口允许等)，另外，这类软件也有可能被人植入木马或者留有后门，大家在使用时一定要慎重。

第一部分 web的安全需求

1.1 Web安全的体系结构，包括主机安全，网络安全和应用安全

1.2 Web浏览器和服务器的安全需求

在已知的web服务器(包括软硬件)漏洞中，针对该类型web服务器的攻击最少

对服务器的管理操作只能由授权用户执行

拒绝通过web访问web服务器上不公开发布的内容

禁止内嵌在OS或者 web server软件中的不必要的网络服务

有能力控制对各种形式的.exe程序的访问

能够对web操作进行日志记录，以便于进行入侵检测和入侵企图分析

具有适当的容错功能

1.3 Web传输的安全需求

Web服务器必须和内部网络隔离：

有四种实现方式，应选择使用高性能的cisco防火墙实现隔离

Web服务器必须和数据库隔离

维护一份web站点的安全拷贝：来自开发人员最终发布的版本(内容安全)

其次，存储的地点是安全的(另一台独立的位于防火墙之后的内网的主机)

还有，定期备份应该使用磁带，可擦写光盘等媒介

1.4 Web面临的威胁：信息泄露，拒绝服务，系统崩溃，跳板。

第二部分 web服务器的安全策略

主机操作系统是web的直接支撑着，必须合理配置主机系统，为WEB 服务器提供安全支持：

只提供必要的服务

某种服务被攻击不影响其它服务

使用运行在其它主机上的辅助工具并启动安全日志

设置web服务器访问控制规则：

通过IP,子网，域名来控制

通过口令控制

使用公用密钥加密算法

设置web服务器目录权限

关闭安全性脆弱的web服务器功能例如：自动目录列表功能符号连接等

谨慎组织web服务器的内容：

链接检查

CGI程序检测(如果采用此技术)

定期对web服务器进行安全检查

辅助工具：SSH

文件系统完整性检测工具

入侵检测工具

日志审计工具

第三部分 web攻击与反攻击

入侵检测方法：

物理检查

紧急检查

追捕入侵者

攻击的类型：

拒绝服务

第四部分 源代码的安全及约束规则

不能留有后门程序和漏洞，包括系统架构是否合理，是否符合安全需求汇编反汇编、病毒反病毒。

最后，至于 cookies的安全、加密技术、web浏览器的安全、web服务器的安全每个公司设置的规则都不一样，因人而异。

---