(完整版)WindowsServer2008R2WEB服務(wù)器安全設(shè)置指南(四)之禁用不必要的服務(wù)和關(guān)閉端口

1、Windows Server 2008 R2 WEB 服務(wù)器安全設(shè)置指南（四）之禁用不必要的服務(wù)和關(guān)閉端口安全是重中之重，以最少的服務(wù)換取最大的安全。通過只啟用需要用到的服務(wù)、關(guān)閉暫時用不到的服務(wù)或不用的服務(wù)，這樣最大程度來提高安全性。作為web服務(wù)器，并不是所有默認(rèn)服務(wù)都需要的，所以像打印、共享服務(wù) 都可以禁用。當(dāng)然了，你的系統(tǒng)補(bǔ)丁也需要更新到最新， 一些端口的漏洞已經(jīng)隨 著補(bǔ)丁的更新而被修復(fù)了。網(wǎng)上的一些文章都是相互復(fù)制且是基于win2003系統(tǒng)較多，而win2008相比win2003本身就要安全很多。那我們?yōu)槭裁催€要談關(guān)閉端口呢，因?yàn)槲覀円阑加谖慈唬f一服務(wù)器被黑 就不好玩了。禁用不必

2、要的服務(wù)控制面板管理工具服務(wù)：把下面的服務(wù)全部停止并禁用。TCP/IP NetBIOS HelperServer這個服務(wù)器需要小心。天翼云主機(jī)需要用到這個服務(wù)，所以在天翼 云主機(jī)上不能禁用。Distributed Link Tracking ClientMicrosoft Search如果有，禁用Print SpoolerRemote Registry因?yàn)槲覀兪褂玫氖窃浦鳈C(jī)，跟單機(jī)又不一樣，所以有些服務(wù)并不能一概而論, 如上面的Server服務(wù)。例如天翼云的主機(jī)，上海 1和內(nèi)蒙池的主機(jī)就不一樣， 內(nèi)蒙池的主機(jī)需要依賴Server服務(wù)，而上海1的不需要依賴此服務(wù)，所以上海 1的可以禁用，內(nèi)蒙池就

3、不能禁用了。所以在禁用某一項(xiàng)服務(wù)時必須要小心再小心。刪除文件打印和共享本地連接右擊屬性，刪除TCP/IPV6、Microsoft網(wǎng)絡(luò)客戶端、文件和打印 共享。網(wǎng)絡(luò)用卦寸假用:1"V'xnet3 Ethernet AAaftir- #6"菖債© 一 此速接使用下列項(xiàng)目由：Microsoft網(wǎng)絡(luò)客戶端自賓5數(shù)據(jù)包計加屣序J§Mi-oEo£t網(wǎng)絡(luò)的文件和打印機(jī)共享 a工ntern”協(xié)諛版本§ CTCP/IM) . 謫i；ri海 協(xié)議版本4 GCP/IPv4 ) a鋸路層拓?fù)浒l(fā)預(yù)映射器I/O版助程序V：二第路層拓?fù)浒l(fā)現(xiàn)響應(yīng)程序安蕓m

4、.|a瞳.皿| 司一|聲允詳您的計苴機(jī)訪問網(wǎng)珞上的資源a邨肖確定打開防火墻，入站規(guī)則，所的“網(wǎng)絡(luò)發(fā)現(xiàn)”和“文件和打印機(jī)共享”的規(guī)則 全部禁用。入站投寤網(wǎng)絡(luò)發(fā)現(xiàn) 網(wǎng)絡(luò)發(fā)現(xiàn) 網(wǎng)絡(luò)發(fā)現(xiàn) 網(wǎng)絡(luò)整現(xiàn) 文件和打印機(jī)共享 文件和打印機(jī)共享 文件和打即機(jī)共享 文件和打印機(jī)共享 文件和打印機(jī)共完 文件和打E 口機(jī)共享 文件和打印機(jī)共享 文件和打印機(jī)共享 文件和打印機(jī)共事一 色 否否否否香否否否否否否否否否否否否否否否否否否否否否否有否-S否舌舌舌舌舌舌一用 用 公公 用用用 用 用 用用用 用 用用用 用用用 用用用用 用 用甩 甩 有有. 必W必捶專場公掘公專專域公城公專專域公專公城域?qū)９珜９蚬Ｑ┯驅(qū)Ｗ?/p>

5、斯也U網(wǎng)絡(luò)發(fā)現(xiàn)酷D Eveihl sSec we-In）g網(wǎng)絡(luò)發(fā)現(xiàn)值口-工垃0網(wǎng)絡(luò)版現(xiàn)的下迎a網(wǎng)絡(luò)發(fā)現(xiàn)解口-Iio0文件和機(jī)共享（miM-VDF-In） J文件和打t|機(jī)共享贏文件和抵IM共享tmiMK-mP-In）<J文件和打啷共事內(nèi)一口外安審所-1G <J文件和打詠共享如2共電granr工i0 J為牛和行£血共享gRatgarrlnJ 國文件和才其皿共享（B-Hame-IiO 0文件和打共享史-"） Q文件和打印機(jī)共享（B-Ham工Q日文件和打£卸1共享州Tcwiokd）文件和打印機(jī)排拿*文件和打共享如一立"“血）文件和打印機(jī)扶事點(diǎn)文件和

6、打印機(jī)共隼（KEF”出亡口0文件和打印機(jī)共享日文件和打£闞共享C1B-In）文件和打印機(jī)其享電文件和打tlWl共享OT-InJ文件和打印機(jī)共享與文件和弋正口機(jī)共享GMB-InD文件和打印機(jī)真拿0文件和打EIW1洪亭怎臺打印程序服務(wù)文件和打印機(jī)共享文件和打W機(jī)掛享總臺怔瞪序服密一文件和打印機(jī)共享 u文件和打機(jī)共享的白打印程痙朋務(wù).文件和打En機(jī)共事由文件和打£血共享定臺打印程摩服務(wù).文件和打印機(jī)第拿 5,文件和打共享器自打t喳序服務(wù)文件和打印機(jī)共享 3文件和打叫1共享宸自打印程序朋期.文件和打印機(jī)共享 J文件和打EIM共孽（回髭請求一 ICMFv4.攵件和打印機(jī)共孽 包文件和

7、才Fim共享回顯請求- RMF榨.文件和打印機(jī)共享 6文件和打共事（回顯請求-ICMFy4.文件和打印機(jī)共享 ©文件和抵口機(jī)共孽回顯清求-Mfv6 .文件和打印機(jī)共三立文件和才HIM共享回顯清求-工匚Mfvfi.文件和打印機(jī)共享 之文件和打帆共享（回顯清求-工EF證.文件和打印機(jī)共享 6性能日志和磬報COCOM-I.）性能日志和害報性能日志腌報OJCQi-lu）性豫日志和警報*性能巳志和警報（ICF-Iit）性能日志和警報O性能臼志和警4艮Crcp-iti）性能臼志和善報電遠(yuǎn)程服務(wù)管理班-W遠(yuǎn)程照為管理>遠(yuǎn)程服努管理杷匚）遠(yuǎn)程服箝管理1_,- - f"關(guān)閉端口關(guān)閉13

8、9端口本地連接右擊屬性，選擇“ TCP/IPV4協(xié)議”，屬性，在“常規(guī)”選項(xiàng)卡下 選擇“高級”，選擇“ WINS”選項(xiàng)卡，選中“禁用 TCP/IP上的NetBIOS ' 這樣即關(guān)閉了 139端口。常繳TCF/IP襲或工F 設(shè)置DiTS WIHE |-虹彩 地址,按使用排序加：琴姆帕I篇勒刪除如果啟用U«HDSTS查找它將應(yīng)用于所有啟用TCF/IP的諄接力F7啟用UIKDSTS查找（！）導(dǎo)人,日冊0仃3卬1 .NetBIOS 設(shè)置C默認(rèn)伊土林DMCF胭行百館用NetBIOS設(shè)貴京姐果使用靜態(tài)IF地 址變服叁需求觸場皿3戲署？購點(diǎn)靖rcr/ir£的 atEJOE 4r

9、啟用TCF/工F上的NBIDS4）國禁用TCP工E上的NetBIOS CSJ定 1 取消 |使用IP安全策略關(guān)閉端口1 .點(diǎn)擊 控制面板-管理工具”，雙擊打開"本地策略"，選中"IP安全策略，在 本地計算機(jī)“右邊的空白位置右擊鼠標(biāo)，彈出快捷菜單，選擇"創(chuàng)建IP安全策略”， 彈出向?qū)?。在向?qū)е悬c(diǎn)擊下一步，當(dāng)顯示“安全通信請求”畫面時，“激活默認(rèn)相應(yīng)規(guī)則”左邊的按默認(rèn)留空，點(diǎn)“完成”就創(chuàng)建了一個新的 IP安全策略。2 .右擊剛才創(chuàng)建的新的IP安全策略，在“屬性”對話框中，把“使用添加 向?qū)А弊筮叺你^去掉，然后再點(diǎn)擊右邊的“添加”按紐添加新的規(guī)則，隨后彈出“新

10、規(guī)則屬性”對話框，在畫面上點(diǎn)擊“添加”按紐，彈出 IP篩選器列表窗口。 在列表中，首先把“使用添加向?qū)А弊筮叺你^去掉，然后再點(diǎn)擊右邊的 “添加" 按紐 添加新的篩選器。3 .進(jìn)入“篩選器屬性”對話框，首先看到的是尋地址，源地址選“任何 IP 地址”，目標(biāo)地址選“我的IP地址”，點(diǎn)擊“協(xié)議”選項(xiàng)卡，在“選擇協(xié)議類 型”的下拉列表中選擇“TCP”，然后在“到此端口”的下的文本框中輸入“135” 點(diǎn)擊確定。這樣就添加了一個屏蔽 TCP135端口的篩選器，可以防止外界通過 135端口連上你的電腦。點(diǎn)確定后回到篩選器列表的對話框， 可以看到已經(jīng)添加了一條策略。重復(fù)以上步 驟繼續(xù)添力口 TCP137 139 445 593 1025 2745 3127 3128 3389 6129端口和udp 135 139 445 端口，為它們建立相應(yīng)的篩選器。建立好上述端口的篩選器， 最后點(diǎn)擊確定按紐。4 .在“新規(guī)則屬性”對話框中，選中“新IP篩選器列表”然后點(diǎn)擊其左邊 的復(fù)選框，表示已經(jīng)激活。最后點(diǎn)擊“篩選器操作”選項(xiàng)卡中，把“使用添加向 導(dǎo)”左邊的鉤去掉，點(diǎn)擊“添加”按鈕，在“新篩選器操作屬性”的“安全方