1、构建 Windows 2000 服务器的安全防护林构建 Windows 2000 服务器的安全防护林 访问次数：2312 作者：张晓明 来源：中国电脑教育报 加入时间：2003-01-22 中小学校的校园网普遍应用 Windows 2000 作为服务器的操作系统，但有些学校刚开始运行就遭到网络黑客的攻击，造成网络崩溃。那么，安全问题怎么解决？其实不需要任何的软硬件的介入，仅靠系统本身我们就能构建一个安全防护林。设置禁用，构建第一道防线在安装完 Windows 2000 后，首先要装上最新的系统补丁。但即使装上了，在因特网上的任何一台机器上只要输入“你的 IP 地址c$”，然后输入用户名 Gue
2、st，密码空，就能进入你的 C 盘，你还是完全暴露了。解决的方法是禁用 Guest 账号，为 Administrator设置一个安全的密码，将各驱动器的共享设为不共享。同时你还要关闭不需要的服务。你可以在管理工具的服务中将它们设置为禁用，但要提醒的是一定要慎重，有的服务是不能禁用的。一般可以禁用的服务有 Telnet、Task Scheduler（允许程序在指定时间运行） 、Remote Registry Service（允许远程注册表操作）等。这是你构建的服务器的第一道防线。设置 IIS，构建第二道防线作为校园网的服务器，很多学校将该服务器同时作为网站服务器，而 IIS 的漏洞也是一个棘手的
3、问题。实际上，你可以通过简单的设置，完全可以将网站的漏洞补上。你可以将 IIS 默认的服务都停止（如下图，FTP 服务你是不需要的，要的话笔者推荐用 Serv-U；“管理 Web 站点”和“默认 Web 站点”都会给你带来麻烦；SMTP一般也不用） ，然后再新建一个 Web 站点。设置好常规内容后，在“属性主目录”的配置中对应用程序映射进行设置，删除不需要的映射，这些映射是 IIS 受到攻击的直接原因。如果你需要 CGI 和 PHP 的话，可参阅一些资料进行设置。这样，配合常规设置，你的 IIS 就可以安全运行了，你的服务器就有了第二道防线。运用扫描程序，堵住安全漏洞要做到全面解决安全问题，你
4、需要扫描程序的帮助。笔者推荐使用 X-Scan，它可以帮助你检测服务器的安全问题。 扫描完成后，你要看一下，是否存在口令漏洞，若有，则马上要修改口令设置；再看一下是否存在 IIS 漏洞，若有，请检查 IIS的设置。其他漏洞一般很少存在，我要提醒大家的是注意开放的端口，你可以将扫描到的端口记录下来，以方便进行下一步设置。封锁端口，全面构建防线黑客大多通过端口进行入侵，所以你的服务器只能开放你需要的端口，那么你需要哪些端口呢？以下是常用端口，你可根据需要取舍：80 为 Web 网站服务；21 为 FTP 服务；25 为 E-mail SMTP 服务；110 为 Email POP3 服务。其他还有
5、 SQL Server 的端口 1433 等，你可到网上查找相关资料。那些不用的端口一定要关闭！关闭这些端口，我们可以通过Windows 2000 的安全策略进行。借助它的安全策略，完全可以阻止入侵者的攻击。你可以通过“管理工具本地安全策略”进入，右击“IP 安全策略” ，选择“创建 IP 安全策略” ，点下一步。输入安全策略的名称，点下一步，一直到完成，你就创建了一个安全策略：接着你要做的是右击“IP 安全策略” ，进入管理 IP 筛选器和筛选器操作，在管理 IP 筛选器列表中，你可以添加要封锁的端口，这里以关闭 ICMP 和 139 端口为例说明。关闭了 ICMP，黑客软件如果没有强制扫描
6、功能就不能扫描到你的机器，也 Ping 不到你的机器。关闭 ICMP 的具体操作如下：点添加，然后在名称中输入“关闭 ICMP”，点右边的添加，再点下一步。在源地址中选“任何 IP 地址” ，点下一步。在目标地址中选择“我的 IP 地址” ，点下一步。在协议中选择“ICMP” ，点下一步。回到关闭 ICMP 属性窗口，即关闭了 ICMP。下面我们再设置关闭 139，同样在管理 IP 筛选器列表中点“添加” ，名称设置为“关闭 139”，点右边的“添加” ，点下一步。在源地址中选择“任何 IP 地址” ，点下一步。在目标地址中选择“我的 IP 地址” ，点下一步。在协议中选择“TCP” ，点下一
7、步。在设置 IP 协议端口中选择从任意端口到此端口，在此端口中输入139，点下一步。即完成关闭 139 端口，其他的端口也同样设置，结果如图：特别指出的是关闭 UDP4000 可以禁止校园网中的机器使用 QQ。然后进入设置管理筛选器操作，点“添加” ，点下一步，在名称中输入“拒绝” ，点下一步。选择“阻止” ，点下一步。结果如图：然后关闭该属性页，右击新建的 IP 安全策略“安全” ，打开属性页。在规则中选择“添加” ，点下一步。选择“此规则不指定隧道” ，点下一步。在选择网络类型中选择“所有网络连接” ，点下一步。在 IP 筛选器列表中选择“关闭 ICMP”，点下一步。在筛选器操作中选择“拒绝” ，点下一步。这样你就将“关闭 ICMP”的筛选器加入到名为“安全”的 IP 安全策略中。同样的方法，你可以将“关闭 139”等其他筛选器加入进来。添加后的结果如图：最后要做的是指派该策略，只有指派后，它才起作用。方法是右击“安全” ，在菜单中选择“所有任务” ，选择“指派” 。IP 安全设置到此结束，你可根据自己的情况，设置相应的策略。设置完成后，你可再用 X-Scan 进行检查，发现问题再补上。通过以上的设置，你的 Windows 2000 服务器可以说是非常安全了。希望你早日筑起服务器的安全防护林。
