|
发信人: gualaguala(大笨象) 整理人: gzcsl(2002-03-26 17:30:56), 站内信件 |
| TCP/IP设置:
1、 TCP/IP安全策略 特点：简单、方便，系统已经集成，可以单独对一块网卡进行设置； 缺点：不灵活；只有允许，没有禁止； 这些设置的允许和禁止，跟Firewall、IDS等的允许和禁止有所不同。 端口如果没有在允许的范围内，表示不能在相应的端口上绑定服务(Bingding，或叫监听)， 但是用来通讯还是可以的，这在Firewall、IDS中是不允许的。 在上例中，(参见：服务/应用对应端口) TCP允许：2433，5631(pcAnywhere)； UDP允许：5632(pcAnywhere)； IP协议：6(TCP)，17(UDP); 2、 删除不必要的网络服务 3、 不在TCP/IP 上绑定NetBIOS协议 4、 取消IP转发 5、 TCP/IP注册表设置 SynAttackProtect 位置： Tcpip\Parameters 类型： REG_DWORD 范围： 0, 1, 2 0 没有保护 1 当TcpMaxHalfOpen 和 TcpMaxHalfOpenRetried 设置条件满足时，减少重发尝试和 延迟 RCE (route cache entry) 建立。 2 in addition to 1 a delayed indication to Winsock is made.) 注意：当系统检测到被攻击时，下面的socket参数将会无效：Scalable windows (RFC 1323 ) 和每个网络接口的TCP 参数 (Initial RTT, window size)。这是因为当系统处于保护状态 下时，在SYN-ACK被成功发送之前，不会查询 route cache entry 和Winsock 参数无效. 默认值： 0 (False) 建议值： 2 说明： Synattack 保护会减少SYN-ACKS,重发的次数, 这样就加速了资源被重新的时间； r oute cache entry 延迟分配，直到连接建立；假如synattackprotect 设为 2, AFD也会被延 时直到三次握手完成。需要注意的是这个保护机制只会在TcpMaxHalfOpen 和TcpMaxHalfOpe nRetried 的值超过时才生效。 TcpMaxHalfOpen 位置：Tcpip\Parameters 类型：REG_DWORD 范围：100–0xFFFF 默认值： 100 (Professional, Server), 500 (advanced server) 建议值： 默认设置 说明： 这个参数控制在SYN-ATTACK 保护之前，处于SYN-RCVD 状态的连接允许最大数目。如 果SynAttackProtect 设为 1, 确认该值小于AFD Backlog 参数的值(参见 AFD Backlog 参数 ) 。 TcpMaxHalfOpenRetried 位置：Tcpip\Parameters 类型：REG_DWORD 范围：80–0xFFFF 默认值：80 (Professional, Server), 400 (Advanced Server) 建议值： 默认设置 说明：这个参数控制在SYN-ATTACK 保护之前，处于SYN-RCVD 状态并已尝试重发的连接允许 最大数目。 EnablePMTUDiscovery 位置：Tcpip\Parameters 类型：REG_DWORD—Boolean 范围：0, 1 (False, True) 默认值：1 (True) 建议值：0 说明：设置为1时，系统会尝试在到达目的路径上寻找最大的MTU值。当设置为0时，系统会在 非内部网络上使用固定的MTU值(576 byte)。 NoNameReleaseOnDemand 位置：Netbt\Parameters 类型：REG_DWORD 范围：0, 1 (False, True) 默认值：0 (False) 建议值：1 说明：这个参数决定系统收到一个NetBIOS 名字解释请求时，是否进行名字解释。管理员可 以设置该值，以防止系统被恶意者攻击。 EnableDeadGWDetect 位置：Tcpip\Parameters 类型：REG_DWORD 范围：0, 1 (False, True) 默认值：1 (True) 建议值：0 说明：设置为1时, TCP 允许检查无效网关。当默认网关无效时，备份网关将会替代默认网关 ，备份网关在TCP/IP协议属性里的“高级”进行设置。 KeepAliveTime 位置：Tcpip\Parameters 类型：REG_DWORD (毫秒) 范围：1–0xFFFFFFFF 默认值：7,200,000 (two hours) 建议值：300,000 说明：这参数控制TCP间隔多长的时间去发送一个keep-alive 数据包，去验证一个空闲的连 接是否存活。如果远程系统仍然存活，它会对这个keep-alive应答。默认情况下， Keep-al ive 数据包不会被发送，需要程序启用该功能。 PerformRouterDiscovery 位置：Tcpip\Parameters\Interfaces\ 类型：REG_DWORD 范围：0,1,2 0 (无效) 1 (有效) 2 (DHCP 发送的路由发现有效) 默认值：2. 建议值：0 说明：控制是否进行路由发现。 EnableICMPRedirects 位置：Tcpip\Parameters 类型：REG_DWORD 范围：0, 1 (False, True) 默认值：1 (True) 建议值：0 (False) 说明：控制系统从一个网络设备处收到一个ICMP 重定向消息时，是否修改自身的路由表。 系统设置 1、 使用NTFS磁盘文件格式 使用CONVERT命令转换为NTFS磁盘文件格式 CONVERT 卷名 /FS:NTFS [/V] 2、 关闭NTFS 8.3文件格式的支持 NtfsDisable8dot3NameCreation 位置：HKEY_LOCAL_MACHINE\SYSTEM 类型：REG_DWORD 范围：0, 1 (False, True) 默认值：0 (False) 建议值：1 (True) 3、 删除OS/2 和POSIX 子系统 位置：HKEY_LOCAL_MACHINE\SOFTWARE 键值：\Microsoft\OS/2 Subsystem for NT 操作：删除所有子键 位置：HKEY_LOCAL_MACHINE\SYSTEM 键值：\CurrentControlSet\Control\Session Manager\Environment 名称：Os2LibPath 操作：删除Os2LibPath 位置：HKEY_LOCAL_MACHINE\SYSTEM 键值：\CurrentControlSet\Control\Session Manager\SubSystems 操作：删除Optional，Posix 和OS/2 4、 禁用LanManager 身份验证 Windows NT Servers Service Pack 4 和后续的版本都支持三种不同的身份验证方法： l LanManager (LM) 身份验证； l Windows NT (也叫 NTLM) 身份验证； l Windows NT Version 2.0 (也叫NTLM2) 身份验证； 默认的情况下，当一个客户尝试连接一台同时支持LM 和 NTLM 身份验证方法的服务器时，L M 身份验证会优先被使用。基于安全的理由，所以建议禁止LM 身份验证方法。 1. 打开注册表编辑器； 2. 定位到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa； 3. 选择菜单“编辑”，“添加数值”； 4. 数值名称中输入：LMCompatibilityLevel ，数值类型为：DWORD，单击 确定； 5. 双击新建的数据，并根据具体情况设置以下值： 0 - 发送 LM 和 NTLM响应； 1 - 发送 LM 和 NTLM响应； 2 - 仅发送 NTLM响应； 3 - 仅发送 NTLMv2响应；(Windows 2000有效) 4 - 仅发送 NTLMv2响应，拒绝 LM；(Windows 2000有效) 5 - 仅发送 NTLMv2响应，拒绝 LM 和 NTLM；(Windows 2000有效) 6. 关闭注册表编辑器； 7. 重新启动机器； 需要获得更多的信息，请参阅： http://support.microsoft.com/support/kb/articles/q1 47/7/06.asp 5、 拒绝guest 用户访问事件日志 在事件日志里，可能存放着一些重要的信息，而且在默认的情况下，Guests和匿名用户是可 以查看事件日志的 ， 所以我们必须禁止Guests和匿名用户访问事件日志： 1. 打开注册表编辑器； 2. 定位到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\ 3. 选择Application 子目录； 4. 选择菜单“编辑”，“添加数值”； 5. 数值名称中输入：RestrictGuestAccess，数值类型为：DWORD，单击 确定； 6. 双击新建的数据，并设置其值为1 ； 7. 对子目录Security 和 System 重复4-6步骤； 6、 删除所有默认共享 位置：HKEY_LOCAL_MACHINE\SYSTEM 键值：CurrentControlSet\Services\LanmanServer\Parameters 名字：AutoShareServer 类型：REG_DWORD 值：0 7、 取消显示最后登录用户 位置：HKEY_LOCAL_MACHINE\SOFTWARE 键值：\Microsoft\Windows NT\Current Version\Winlogon 名称：DontDisplayLastUserName 类型：REG_SZ 值：1 8、 设置密码长度 9、 启用密码复杂性要求 Windows NT 4.0 Service Pack 2 及后续版本包含了一个密码筛选器 DLL 文件 (Passfilt. dll) ，可以加强用户的更强密码要求。Passfilt.dll 提供加强的安全，可以防范外来侵入 者的“密码猜测”或“字典攻击”。 l 密码不得少于 6 个字符。（在域的“密码策略”中设置更大值可以进一步提高最小密码长 度）。 l 密码必须包含下列 4 类字符中至少 3 类的字符： - 英语大写字母 A-Z - 英语小写字母 a-z - 阿拉伯数字 0-9 - 非文字数字（“特殊字符”）如标点符号 l 密码不能包含用户名和全名的任意部分。 要使用 Passfilt.Dll，管理员必须在所有域控制器的系统注册表中配置密码筛选 DLL。 1. 打开注册表编辑器 (regedt32.exe, 不要使用regedit.exe)； 2. 定位到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa； 3. 双击 "Notification Packages"； 4. 把 PASSFILT 加到新的行 (里面可能包含FPNWCLNT 等其他值)。单击 确定； 5. 关闭注册表编辑器； 6. 重新启动机器； 使用 域用户管理器不受这个设置的影响； 10、 运行SYSKEY工具，启用帐号数据 运行命令：syskey 11、 重命名Administrator帐号 12、 启用Administrator帐号网络锁定 passprop /complex /adminlockout 13、 拒绝未认证用户(匿名)访问注册表 位置：HKEY_LOCAL_MACHINE\SYSTEM 键值：\CurrentControlSet\Control\SecurePipeServers 名称：\winreg 14、 拒绝 Anonymous 帐号(NULL Session)访问 不允许匿名列举用户名、共享名。Service Pack 3 开始提供这个设置。 位置：HKEY_LOCAL_MACHINE\SYSTEM 键值：CurrentControlSet\Control\LSA 名称：RestrictAnonymous 类型：REG_DWORD 值：1 15、 检查注册表访问权限 检查以下注册表的访问权限： 位置：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion \Run \RunOnce \RunOnceEx 位置：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion \AeDebug \WinLogon\GinaDLL \WinLogon\Userinit 16、 修改“从网络访问此计算机”权限分配 17、 设置审核规则 18、 启用SAM 访问审核 1. 确定启用审核，如未启用，可以使用“域用户管理器”启动审核 ； 2. 确认启动schedule，如未启动，使用以下命令启动该服务： C:\> net start schedule 3. 命令行使用At 命令添加任务： C:\> at <时间> /interactive "regedt32.exe" 4. 然后Regedt32.exe会以系统帐号启动。 5. 选择 HKEY_LOCAL_MACHINE 窗口； 6. 选择 SAM 并从“安全”菜单选择“审核”，如下图； 7. 单击“添加”，然后“显示用户”； 8. 添加如下帐号： - SYSTEM - Domain Admins - Administrator - Backup Operators 其他拥有以下权限的帐号： - Take ownership of files or other objects（取得文件或其他对象的所有权） - Back up files and directories（备份文件和目录） - Manage auditing and security log（管理审核和安全日志） - Restore files and directories（还原文件和目录） - Add workstations to domain（域中添加工作站） - Replace a process level token（替换进程级记号） 单击“确定”； 9. 选中 "审核已有子项的权限"； 10. 为下面设置“成功”和“失败”的审核： - Query Value（查询数值） - Set Value（设置数值） - Write DAC（写入DAC） - Read Control（读取控制） 11. 单击“确定”。单击“是”。 12. 停止schedule服务； C:\> net stop schedule 19、 移动常用/危险工具，并设置访问权限 xcopy.exewscript.execscript.exenet.exeftp.exetelnet.exe arp.exeedlin.exeping.exe route.exeat.exe finger.exeposix.exersh.exeatsvc.exeqbasic.exerunonce.exe syskey. execacls.exeipconfig.exercp.exesecfixup.exe nbtstat.exerdisk.exe debug.exeregedt 32.exeregedit.exeedit.comnetstat.exetracert.exe nslookup.exerexec.execmd.exe ----  |
|
[关闭][返回] |