第一篇：密码安全及服务器权限
服务器及FTP服务器，也适用于个人电脑 系统管理员
系统管理员主要负责应用信息系统中的系统参数配置，用户账号开通与维护管理、设定角色与权限关系，维护行政区划和组织机构代码等数据字典，系统日志管理以及数据管理等系统运行维护工作。普通用户
指由系统管理员在应用信息系统中创建并授权的非系统管理员类用户，拥有在被授权范围内登陆和使用应用信息系统的权限。用户角色与权限关系
应用信息系统中对用户操作权限的控制是通过建立一套角色与权限对应关系，对用户账号授予某个角色或多个角色的组合来实现的，一个角色对应一定的权限（即应用信息系统中允许操作某功能点或功能点集合的权力），一个用户账号可通过被授予多个角色而获得多种操作权限。
为实现用户管理规范化和方便系统维护，公司各应用信息系统应遵循统一的角色与权限设置规范，在不同的应用信息系统中设置的角色名称及对应的权限特征，应遵循权限设置规范基本要求。
由于不同的应用信息系统在具体的功能点设计和搭配使用上各不相同，因此对角色的设置以及同样的角色在不同应用信息系统中所匹配的具体权限范围可能存在差异，所以每个应用信息系统应分别制定适用于本系统的权限设置规范。密码安全
设置用户密码是用户登陆应用信息系统时身份合法性认证的重要手段，用户密码的设置应尽量复杂化，不易被他人推测，密码长度一般不少于8位数字加上符号，并做到定期更换新密码。密码遗忘时可向系统管理员申请密码初始化修复。
若发现账号密码泄露,用户须立即报告系统管理员及时采取停用账号措施，并在报告后的24小时内向该信息系统主管部门提交书面报告，说明详细情况，以便系统主管部门协助核查系统内数据和系统运行情况，采取有效补救措施将危害程度降至最低。
第二篇：服务器及数据库密码管理制度
服务器及数据库密码管理制度
技术部
为确保公司服务器及数据库安全运行，保护公司及客户权益不受侵害，特制定此管理制度。
（一）服务器和数据库的管理账号密码，由系统管理员和数据库管理员设定并持有，实行
定期修改制度，最长有效期不超过90天。
（二）更换服务器与数据库密码时必须报行政封存，以防遗失密码。如发现密码及口令有
泄密迹象，管理员要立刻报告主管领导，严查泄露源头，同时更换密码。
（三）密码需要按照以下规则设定，即由大写字母，小写字母，数字，和字符组成；最低
位数为10位；不能与以往的密码重复。
（四）建议借助密码生成器按照密码设定规则，生成密码。
第三篇：服务器安全总结
一、系统的安装
１、按照Windows2003安装光盘的提示安装，默认情况下2003没有把IIS6.0安装在系统里面。２、IIS6.0的安装
开始菜单—>控制面板—>添加或删除程序—>添加/删除Windows组件
应用程序 ———ASP.NET（可选）
|——启用网络 COM+ 访问（必选）
|——Internet 信息服务(IIS)———Internet 信息服务管理器（必选）
[医学教育网整理发布]
|——公用文件（必选）
|——万维网服务———Active Server pages（必选）
|——Internet 数据连接器（可选）
|——WebDAV 发布（可选）[医学教育网整理发布]
|——万维网服务（必选）
|——在服务器端的包含文件（可选）
然后点击确定—>下一步安装。（具体见本文附件1）
３、系统补丁的更新
点击开始菜单—>所有程序—>Windows Update
按照提示进行补丁的安装。
４、备份系统
用GHOST备份系统 资料来源 :医 学 教 育网。
５、安装常用的软件
例如：杀毒软件、解压缩软件等；安装完毕后,配置杀毒软件,扫描系统漏洞,安装之后用GHOST再次备份系统。
6、先关闭不需要的端口 开启防火墙 导入IPSEC策略
在”网络连接”里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP），由于要控制带宽流量服务，额外安装了Qos数据包计划程序。在高级tcp/ip设置里--“NetBIOS”设置“禁用tcp/IP上的NetBIOS（S）”。在高级选项里，使用“Internet连接防火墙”，这是windows 2003 自带的防火墙，在2000系统里没有的功能，虽然没什么功能，但可以屏蔽端口，这样已经基本达到了一个IPSec的功能。
修改3389远程连接端口 修改注册表.开始--运行--regedit
依次展开 HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/ TERMINAL SERVER/WDS/RDPWD/TDS/TCP 右边键值中 PortNumber 改为你想用的端口号.注意使用十进制(例 10000)
HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/TERMINAL SERVER/ WINSTATIONS/RDP-TCP/
右边键值中 PortNumber 改为你想用的端口号.注意使用十进制(例 10000)注意：别忘了在WINDOWS2003自带的防火墙给+上10000端口 修改完毕.重新启动服务器.设置生效.二、用户安全设置
1、禁用Guest账号
在计算机管理的用户里面把Guest账号禁用。为了保险起见，最好给Guest加一个复杂的密码。你可以打开记事本，在里面输入一串包含特殊字符、数字、字母的长字符串，然后把它作为Guest用户的密码拷进去。
2、限制不必要的用户
去掉所有的Duplicate User用户、测试用户、共享用户等等。用户组策略设置相应权限，并且经常检查系统的用户，删除已经不再使用的用户。这些用户很多时候都是黑客们入侵系统的突破口。
3、把系统Administrator账号改名
大家都知道，Windows 2003 的Administrator用户是不能被停用的，这意味着别人可以一遍又一遍地尝试这个用户的密码。尽量把它伪装成普通用户，比如改成Guesycludx。
4、创建一个陷阱用户
什么是陷阱用户?即创建一个名为“Administrator”的本地用户，把它的权限设置成最低，什么事也干不了的那种，并且加上一个超过10位的超级复杂密码。这样可以让那些 Hacker们忙上一段时间，借此发现它们的入侵企图。
5、把共享文件的权限从Everyone组改成授权用户
任何时候都不要把共享文件的用户设置成“Everyone”组，包括打印共享，默认的属性就是“Everyone”组的，一定不要忘了改。
6、开启用户策略
使用用户策略，分别设置复位用户锁定计数器时间为20分钟，用户锁定时间为20分钟，用户锁定阈值为3次。（该项为可选）
7、不让系统显示上次登录的用户名
默认情况下，登录对话框中会显示上次登录的用户名。这使得别人可以很容易地得到系统的一些用户名，进而做密码猜测。修改注册表可以不让对话框里显示上次登录的用户名。方法为：打开注册表编辑器并找到注册表“HKLMSoftwareMicrosoftWindows TCurrentVersionWinlogonDont-DisplayLastUserName”，把REG_SZ的键值改成1。
密码安全设置
1、使用安全密码
一些公司的管理员创建账号的时候往往用公司名、计算机名做用户名，然后又把这些用户的密码设置得太简单，比如“welcome”等等。因此，要注意密码的复杂性，还要记住经常改密码。
2、设置屏幕保护密码
这是一个很简单也很有必要的操作。设置屏幕保护密码也是防止内部人员破坏服务器的一个屏障。
3、开启密码策略
注意应用密码策略，如启用密码复杂性要求，设置密码长度最小值为6位，设置强制密码历史为5次，时间为42天。
4、考虑使用智能卡来代替密码
对于密码，总是使安全管理员进退两难，密码设置简单容易受到黑客的攻击，密码设置复杂又容易忘记。如果条件允许，用智能卡来代替复杂的密码是一个很好的解决方法。
三、系统权限的设置 １、磁盘权限
系统盘及所有磁盘只给 Administrators 组和 SYSTEM 的完全控制权限
系统盘Documents and Settings 目录只给 Administrators 组和 SYSTEM 的完全控制权限
系统盘Documents and SettingsAll Users 目录只给 Administrators 组和 SYSTEM 的完全控制权限
系统盘WindowsSystem32cacls.exe、cmd.exe、net.exe、net1.exe、ftp.exe、tftp.exe、telnet.exe、netstat.exe、regedit.exe、at.exe、attrib.exe、format.com、del文件只给 Administrators 组和SYSTEM 的完全 控制权限
另将
Documents and Settings下所有些目录都设置只给adinistrators权限。并且要一个一个目录查看，包括下面的所有子目录。删除c:inetpub目录
２、本地安全策略设置
开始菜单—>管理工具—>本地安全策略
A、本地策略——>审核策略
审核策略更改
成功 失败
审核登录事件
成功 失败
审核对象访问
失败
审核过程跟踪
无审核
审核目录服务访问
失败
审核特权使用
失败
审核系统事件
成功 失败
审核账户登录事件 成功 失败
审核账户管理
成功 失败
B、本地策略——>用户权限分配
关闭系统：只有Administrators组、其它全部删除。
通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除
C、本地策略——>安全选项
交互式登陆：不显示上次的用户名
启用
网络访问：不允许SAM帐户和共享的匿名枚举
启用
网络访问：不允许为网络身份验证储存凭证
启用
网络访问：可匿名访问的共享
全部删除
网络访问：可匿名访问的命
全部删除
网络访问：可远程访问的注册表路径
全部删除
网络访问：可远程访问的注册表路径和子路径
全部删除
帐户：重命名来宾帐户
重命名一个帐户
帐户：重命名系统管理员帐户
重命名一个帐户
３、禁用不必要的服务 开始-运行-services.msc TCP/IPNetBIOS Helper提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享
文件、打印和登录到网络
Server支持此计算机通过网络的文件、打印、和命名管道共享
Computer Browser 维护网络上计算机的最新列表以及提供这个列表
Task scheduler 允许程序在指定时间运行
Messenger 传输客户端和服务器之间的 NET SEND 和 警报器服务消息
Distributed File System: 局域网管理共享文件，不需要可禁用
Distributed linktracking client：用于局域网更新连接信息，不需要可禁用
Error reporting service：禁止发送错误报告
Microsoft Serch：提供快速的单词搜索，不需要可禁用
NTLMSecuritysupportprovide：telnet服务和Microsoft Serch用的，不需要可禁用
PrintSpooler：如果没有打印机可禁用
Remote Registry：禁止远程修改注册表
Remote Desktop Help Session Manager：禁止远程协助
Workstation 关闭的话远程NET命令列不出用户组
以上是在Windows Server 2003 系统上面默认启动的服务中禁用的，默认禁用的服务如没特别需要的话不要启动。４、修改注册表
修改注册表，让系统更强壮
1、隐藏重要文件/目录可以修改注册表实现完全隐藏 HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows Current-VersionExplorerAdvancedFolderHi-ddenSHOWALL”，鼠标右击 “CheckedValue”，选择修改，把数值由1改为0
2、防止SYN洪水攻击
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters 新建DWORD值，名为SynAttackProtect，值为2 新建EnablePMTUDiscovery REG_DWORD 0 新建NoNameReleaseOnDemand REG_DWORD 1 新建EnableDeadGWDetect REG_DWORD 0 新建KeepAliveTime REG_DWORD 300,000 新建PerformRouterDiscovery REG_DWORD 0 新建EnableICMPRedirects REG_DWORD 0
3.禁止响应ICMP路由通告报文
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersInterfacesinterface 新建DWORD值，名为PerformRouterDiscovery 值为0
4.防止ICMP重定向报文的攻击
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters 将EnableICMPRedirects 值设为0
5.不支持IGMP协议
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters 新建DWORD值，名为IGMPLevel 值为0
6、禁止IPC空连接：
cracker可以利用net use命令建立空连接，进而入侵，还有net view，nbtstat这些都是基于空连接的，禁止空连接就好了。
Local_MachineSystemCurrentControlSetControlLSA-RestrictAnonymous 把这个值改成”1”即可。
7、更改TTL值
cracker可以根据ping回的TTL值来大致判断你的操作系统，如：
TTL=107(WINNT);TTL=108(win2000);TTL=127或128(win9x);TTL=240或241(linux);TTL=252(solaris);TTL=240(Irix);
实际上你可以自己改的：HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters：DefaultTTL REG_DWORD 0-0xff(0-255 十进制,默认值128)改成一个莫名其妙的数字如258，起码让那些小菜鸟晕上半天，就此放弃入侵你也不一定哦
8.删除默认共享
有人问过我一开机就共享所有盘，改回来以后，重启又变成了共享是怎么回事，这是2K为管理而设置的默认共享，HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters：AutoShareServer类型是REG_DWORD把值改为0即可
9.禁止建立空连接
默认情况下，任何用户通过通过空连接连上服务器，进而枚举出帐号，猜测密码。我们可以通过修改注册表来禁止建立空连接：
Local_MachineSystemCurrentControlSetControlLSA-RestrictAnonymous 的值改成”1”即可。
10、建立一个记事本，填上以下代码。保存为*.bat并加到启动项目中 net share c$ /del net share d$ /del net share e$ /del net share f$ /del net share ipc$ /del net share admin$ /del
5、IIS站点设置：
1、将IIS目录＆数据与系统磁盘分开，保存在专用磁盘空间内。
2、启用父级路径
3、在IIS管理器中删除必须之外的任何没有用到的映射（保留asp等必要映射即可）
4、在IIS中将HTTP404 Object Not Found出错页面通过URL重定向到一个定制HTM文件
5、Web站点权限设定（建议）读 允许 写 不允许 脚本源访问 不允许 目录浏览 建议关闭 日志访问 建议关闭 索引资源 建议关闭
执行 推荐选择 “仅限于脚本”
6、建议使用W3C扩充日志文件格式，每天记录客户IP地址，用户名，服务器端口，方法，URI字根，HTTP状态，用户代理，而且每天均要审查日志。（最好不要使用缺省的目录，建议更换一个记日志的路径，同时设置日志的访问权限，只允许管理员和system为Full Control）。
7、程序安全: 1)涉及用户名与口令的程序最好封装在服务器端，尽量少的在ASP文件里出现，涉及到与数据库连接地用户名与口令应给予最小的权限;2)需要经过验证的ASP页面，可跟踪上一个页面的文件名，只有从上一页面转进来的会话才能读取这个页面。3)防止ASP主页.inc文件泄露问题;4)防止UE等编辑器生成some.asp.bak文件泄露问题。
6、IIS权限设置的思路 ?要为每个独立的要保护的个体（比如一个网站或者一个虚拟目录）创建一个系统用户，让这个站点在系统中具有惟一的可以设置权限的身份。
?在IIS的【站点属性或者虚拟目录属性→目录安全性→匿名访问和验证控制→编辑→匿名访问→编辑】填写刚刚创建的那个用户名。
?设置所有的分区禁止这个用户访问，而刚才这个站点的主目录对应的那个文件夹设置允许这个用户访问（要去掉继承父权限，并且要加上超管组和SYSTEM组）。
7、卸载最不安全的组件
最简单的办法是直接卸载后删除相应的程序文件。将下面的代码保存为一个.BAT文件，(以下均以 WIN2000 为例，如果使用2003，则系统文件夹应该是 C:WINDOWS)regsvr32/u C:WINDOWSSystem32wshom.ocx del C:WINDOWSSystem32wshom.ocx regsvr32/u C:WINDOWSsystem32shell32.dll del C:WINNTWINDOWSshell32.dll
然后运行一下，WScript.Shell, Shell.application, WScript.Network就会被卸载了。可能会提示无法删除文件，不用管它，重启一下服务器，你会发现这三个都提示“×安全”了。
8:防止硬盘的非法访问
电脑瘫痪的原因，无非就是操作系统中的一些文件或文件夹被移走或被删除，如果把系统所在的硬盘分区禁用，让电脑盲们无法进入操作系统所在的分区，他就删不了操作系统所在分区的文件或文件夹了，系统也就没事了。
防止别人通过“我的电脑”访问Ｃ盘
点击“开始→运行”输入gpedit.msc命令，在打开的组策略编辑器窗口中依次打开“用户配置→管理模板→Windows组件→Windows资源管理器”分支，然后在右边双击“防止从„我的电脑‟访问驱动器”策略项，并在属性设置窗口中选择“已启用”选项，选择要禁止访问的硬盘盘符C盘即可（如图）。
防止别人从“命令提示符”访问Ｃ盘
当禁用了通过“我的电脑”访问硬盘后，他人还可以通过“命令提示符”方式进入C盘，所以还应同时禁止通过“命令提示符”访问C盘。方法是在打开的组策略编辑器窗口中依次打开“用户配置→管理模板→系统”分支，然后在右边窗口中将“阻止访问命令提示符”策略项启用即可。
禁止运行“ｃｍｄ．ｅｘｅ”命令
设置完以上两个策略后，还不能完全防止他人对C盘的访问，原因是登录者仍然可以利用“运行”来执行“cmd.exe”命令，进入“命令提示符”状态，然后再访问C盘。所以，这个命令也应该禁用。方法是在打开的组策略编辑器窗口中依次打开“用户配置→管理模板→系统”分支，然后在右边的窗口中双击“不要运行指定的Windows应用程序”策略项，在该策略项的“属性”窗口中选择“已启用”选项，再单击“显示”按钮，在弹出的“显示内容”对话框中添加“cmd.exe”，这样该应用程序就被禁用了，到此，其他人员就无法访问本地计算机的C盘了。
通过以上的设置以后，我们就可以有效的保护操作系统所在的硬盘分区里的所有文件和文件夹了。我们的操作系统也就安全了。
以上你全做好拉我一般一年内你的服务器终端都是安全的。
第四篇：服务器安全设置
服务器安全设置及项目部署
1.防火墙设置
1）常规中选中启用（推荐）选项
2）例外中添加端口号eg：17999
3）高级中 点击第一个设置，服务选项卡选中“FTP 服务器”和“远程桌面”，ICMP
选项卡选中“允许传入响应请求”
4）我的电脑属性远程远程桌面 勾选允许用户远程连接此计算机
注：打开“开始→运行”，输入“regedit”，打开注册表，进入以下路径：
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWdsrdpwdTdstcp]，看见PortNamber值了吗？其默认值是：0xd3d，这个是16进制，点击右边的十进制，显示的就是3389了，修改成所希望的端口即可，例如6111。
再打开
[HKEY_LOCAL_MACHINESYSTEMCurrentContro1SetControlTenninal
ServerWinStationsRDP-Tcp]，将PortNumber的值（也是3389）修改成端口6111。
更改后注意开放防火墙6111端口,否则重起后连不上
2.防火墙软件安装（eg：360安全卫士）
1）打上补丁，修补漏洞
2）关闭自动更新
3．更改虚拟内存
1）电脑高级第一个设置高级更改2000M到5000M
4.本地安全策略
1）管理工具本地安全策略新建
5.数据库安装
1）确保Tcp/Ip启用
SQL server configuration manager SQL server 2005 网络配置 MSSQLSERVER的协议 TCP/IP启动
3）新项目数据库 代理必须启动
6.JDK 安装
环境变量配置：
Eg: java_home：D:Program FilesJavajdk1.6.0_10 classpath：.;%java_home%lib;%java_home%lib tools.jarpath设置%java_home%bin;%java_home%jre6bin;
7.tomcat 安装
8.apache安装
9.负载均衡
10.项目部署
1)数据库还原，附加或数据库新建sql
2）netfee,feecfg,push
注：域名指向
10.其他软件安装（edit记事本，搜狗拼音，
第五篇：服务器安全不容忽视
丢失300M数据企业损失50万 服务器安全不容忽视
尽管早就有朋友建议王强定期给公司的网站做数据备份，尤其对重要的数据要实施多点备份，但是对拥有5年网络经验的王强来说，他怎么也不会相信，这种服务器遭受攻击、客户数据丢失的事情会发生在自己的身上，而导致3000个具名的个人买家资料被外泄。
当发现数据丢失，王强就立即通知公司业务和客服部门引起重视。但值得庆幸的是，目前还没有接到客户的投诉，这表明这些资料还没有落入犯罪分子手中。
对此次数据丢失事件，财务部门预计将给公司带来15万元的经济损失。这让公司领导开始重新考虑数据安全问题。而王强也坦言，对自己的网络技术过度自信，是给公司造成了损失的主要原因。
两大因素威胁企业数据安全：
某互联网安全防护公司内部人士表示，目前网民和企业对互联网的依赖性极高，这也使一部分懂得网络技术的不法之徒提供了便利条件。如今，网络环境已经病毒过度泛滥、黑客过度猖獗，从外再上威胁着企业关键数据的安全。
该人士认为，不可预知的服务器故障、系统崩溃、硬盘损坏、自然灾害等突发事故，也在威胁着企业数据安全并造成企业关键数据的丢失。数据是不可再生或再生需要投入难以估量时间和金钱的，安全可靠的数据保护是业务持续运营和灾难恢复的关键性因素
“丢失300MB的数据可能对于业务部门就意味着50万元的损失，对IT部门来说损失可能达30万”。中国万网网络安全信息专家表示，中小企业及网络技术人员，应使用安全可靠的服务器管理自己的关键数据，并且要掌握数据备份信息，了解关键业务流程中的数据备份情况。
部署数据自动备份 防患于未然
由于传统独立服务器的数据备份和恢复产品使用非常复杂，并且需要企业重金采购专业存储设备及软件方案，在恢复数据时又消耗大量的时间精力，因此，中小企业虽然有数据风险认识，但不想牵扯太多时间和资金，就不愿意使用这种专业设备，最终造成损失惨重。
针对这种既考虑简单、易用，又要省钱实现独立服务器关键数据备份的中小企业客户，目前只有万网在提供此类独立服务器的免费数据备份服务。
对于企业关键数据，万网安全专家指出，务必要保障至少7天一次增量备份，30天一次完整备份机制，保证信息的及时更新和完整性。企业可以通过万网提供的网页式自助平台，数据备份/恢复状态实时查看功能，可以看到企业哪些数据还没有备份，而哪些正在备份中和完成备份，进而完成数据备份。
每台独立服务器都免费配套提供了5G专业数据备份存储空间。“为此，万网斥资三百万元向国外专业数据备份硬件设备提供商采购专业级的备份服务器”万网安全专家表示，在恶劣的互联网环境下，唯有让企业的数据安全，才能实现万网客户服务年的目标。
作者: 天伟数据恢复中心
原文:
发布日期: 2010-05-27 09:11
点击咨询 