Windows和Linux安全设置和加固

一.A模块根本办法设置/安全加固

A-1.登录加固

1.暗码战略

   a.最小暗码长度不少于8个字符，将暗码长度最小值的属性设置界面截图。
  训练用的WindowsServer2008,体系左下角开始 > 管理工具 > 本地安全战略 > 账户战略 > 暗码战略 > 暗码最小长度，如下图👇。

   b.暗码战略必须同时满意巨细写字母、数字、特殊字符，将暗码必须符合复杂性要求的属性设置界面截图
  和上面一样的地方，如下图👇。

---

2.登录战略

   a.在用户登录体系时，应该有“For authorized users only”提示信息，将登录体系时体系弹出告诫信息窗口截图；
  和上面一样只不外变成了，体系左下角开始 > 管理工具 > 本地安全战略 > 本地战略 > 安全选项 > 交互式登录xx，如下图。

   b.一分钟内仅允许5次登录失败的实验，高出5次，登录帐号锁定1分钟，将账户锁定战略设置界面截图；
  位置和上面一样，具体参考下图。

   c.远程用户非运动会话毗连超时应小于即是5分钟，将RDP-Tcp属性对应的设置界面截图。
  键盘win + r之后输入tsconfig.msc，之后打开RDP-TCP属性，之后如下图设置。

---

3.用户安全管理(Web)

   a.对服务器举行远程管理安全性SSL加固，防止敏感信息泄漏被监听，将RDP-Tcp属性对应的设置界面截图；
  键盘win + r之后输入tsconfig.msc，之后打开RDP-TCP属性，之后如下图设置。

   b.仅允许超等管理员账号关闭体系，将关闭体系属性的设置界面截图。
  和上面一样，具体如下图查察👇。

---

A-2.Web安全加固(Web)

1.数据库加固

   1.为了防止web中.mdb数据库文件非法下载，请对Web设置文件举行安全加固，将C:\Windows\System32\inetsrv\config\applicationHost设置文件中对应的部分截图；
  根据标题打开路径文件，然后找到如下图行列修改，把false修改为true。

---

2.限定目次

   2.限定目次实行权限,对picture和upload目次设置实行权限为无，将编辑功能权限的设置界面截图；
  左下角开始 > 管理工具 > IIS管理器选择picture和upload，选择处置惩罚步伐映射，之后在选项卡右边有编辑功能选项，如下图👇。

---

3.日志审计记录

   3.开启IIS的日志审计记录(日志文件生存格式为W3C,只记录日期、时间、客户端IP地点、用户名、方法)，将W3C日志记录字段的设置界面截图；
  打开IIS管理器，选择默认网站，选择日志选项，具体操纵如下图👇。

---

4.减轻网站负载

   4.为了减轻网站负载，设置网站最大并发毗连数为1000，将编辑网站限定的设置界面截图；
  打开IIS管理器，选择默认网站，找到右边选项卡限定，具体操纵如下图。

---

5.防止文件摆列

   5.防止文件摆列毛病摆列网络服务器根目次文件，克制IIS短文件名泄漏，将设置下令截图；
  下令是：

1. FSUTIL 8dot3name set 1
6. <ul class="pre-numbering"></ul>

复制代码

如下图。

---

6.关闭IIS的WebDAV功能

   6.关闭IIS的WebDAV功能增强网站的安全性，将警报提示信息截图。
  打开IIS管理器，选择默认网站，选择WebDAV创作规则，然后关闭，具体操纵如下图。

---

A-3.流量完备性掩护与变乱监控（Web,Log）

1.证书登岸SSH

   1.为了防止暗码在登录大概传输信息时被盗取，仅利用证书登录SSH（Log），将/etc/ssh/sshd_config设置文件中对应的部分截图；
  打开LogLinux呆板，按照标题要求打开路径具体操纵如下图。

---

2.开启考核战略

   2.将Web服务器开启考核战略
  登录变乱 乐成/失败;
  特权利用 乐成;
  战略更改 乐成/失败;
  进程跟踪 乐成/失败;
  将考核战略的设置界面截图；
  打开windows呆板，开始 > 管理工具 > 本地安全战略 > 本地战略 > 考核战略，具体操纵如下图。

---

3.设置Splunk

   3.设置Splunk吸取Web服务器，安整日志，体系日志，CPU负载，内存，磁盘空间，网络状态。将转发器：摆设乐成的页面截图。
  参考别人文章：设置Splunk

---

A-4.防火墙战略

1.Windows禁用445端口

   1.Windows体系禁用445端口，将防火墙入站规则截图；
  打开Windows高级防火墙，新建规则，具体操纵如下图。

之后一起下一步下一步，名称取名字即可。

---

2.linux禁用端口

   2.Linux体系禁用23端口，将iptables设置下令截图
  下令是：

1. iptables -A INPUT -p tcp --dport 23 -j DROP
6. <ul class="pre-numbering"></ul>

复制代码

具体如下图。

---

3.Linux禁Ping

   3.Linux体系克制别人ping通，将iptables设置下令截图；
  下令是：

1. iptables -A INPUT -p icmp --icmp-type 8 -j DROP
6. <ul class="pre-numbering"></ul>

复制代码

具体如下图。

---

4.Linux只允许某IP毗连

   4.Linux体系为确保安全克制全部人毗连SSH除了172.16.1.1这个ip，将iptables设置下令截图。
  下令是：

1. iptables -A INPUT -p tcp --dport 22 -s 172.16.1.1 -j ACCEPT
2. iptables -A INPUT -p tcp --dport 22 -j DROP
7. <ul class="pre-numbering"><li>2</li></ul>

复制代码

具体如下图。

---

A-5.Windows操纵体系安全设置

请对服务器WindowsServer按要求举行相应的设置，进步服务器的安全性。
着实和上面的设置差不多，但是照旧写吧。
1.暗码战略

   1.设置暗码战略必须同时满意巨细写字母、数字、特殊字符，最小暗码长度不少于8个字符，暗码最长利用限期为15天。将服务器上暗码战略设置信息截图;
  开始 > 管理工具 > 本地安全战略 > 暗码战略，具体如下图。

---

2.登录提示信息

   2.在用户登录体系时，应该有“For authorized users only”提示信息，将登录体系时体系弹出告诫信息窗口截图;
  开始 > 管理工具 > 本地安全战略 > 安全选项 > 交互式登录，具体如下图。

---

3.允许登录失败5次

   3.一分钟内仅允许5次登录失败的实验，高出5次，登录帐号锁定1分钟,将账号锁定战略设置信息截图；
  开始 > 管理工具 > 本地安全战略 > 账户战略 > 账户锁定战略，具体如下图。

---

4.设置RDP-TCP

   4.设置远程桌面用户非运动会话毗连超时应小于即是5分钟，将RDP-Tcp属性对应的设置界面截图；
  win + r输入tsconfig.msc，选择RDP-TCP属性，具体操纵如下图。

---

5.通过SSL加密服务器远程桌面

和上面一样的位置，具体操纵如下图。

---

6.只允许超等管理员关闭体系

   6.仅允许超等管理员账号关闭体系，将关闭体系属性的设置界面截图；
  开始 > 管理工具 > 本地安全战略 > 本地战略 > 用户权限分配，具体如下图。

---

7.开启IIS的日志审计记录

   7.开启IIS的日志审计记录，日志文件生存格式为W3C,只记录日期、时间、客户端IP地点、用户名、服务器端口、方法，将W3C日志记录字段的设置界面截图；
  打开IIS管理器，选择默认网站，选择日志，具体操纵如下图。

---

8.设置网站最大并发毗连

   8.设置网站的最大并发毗连数为1000，网站毗连超时为60s，将编辑网站限定的设置界面截图；
  在管理工具打开IIS管理器，选择默认网站，选择右边限定，具体操纵如下图。

---

9.禁用缓存

   9.禁用IIS内核缓存，克制对方利用ms15_034毛病举行DOS攻击，出现蓝屏的征象，将编辑输出缓存设置的设置界面截图；
  在管理工具打开IIS管理器，选择默认网站，选择输出缓存，右边菜单选择编辑功能设置，具体如下图。

---

10.设置某用户特定时间登录

   10.设置user1用户只能在上班时间（周一至周五的9:00~18:00）可以登录。将user1的登录时间设置界面截图。
  须要输入下令，创建用户下令是：

1. net user 用户名 密码 /add
6. <ul class="pre-numbering"></ul>

复制代码

标题要求的下令是。

1. net user user1 /times:M-F,9:00-18:00
6. <ul class="pre-numbering"></ul>

复制代码

具体如下图。

---

A-6.Linux操纵体系安全设置

1.设置克制利用迩来用过旧暗码

   1.设置克制利用迩来用过的6个旧暗码，将设置文件中对应的部分截图;
  打开呆板，对应文件在/etc/pam.d/system-auth内里，利用vim打开，下令如下。

1. vim /etc/pam.d/system-auth
6. <ul class="pre-numbering"></ul>

复制代码

具体修改如下图，末了wq生存退出

---

2.设置暗码复杂水平

   设置暗码复杂水平，允许重试3次，新暗码必须与旧暗码有4位差异，最小位数6位，大写字母至少包罗2位，小写字母
至少包罗3位，特殊字母个数至少包罗1位，将设置文件中对应的部分截图;
  起首严谨一点，Linux修改这些位置的地方有两个，第一个是在/etc/login.defs下面，如下图。

1. PASS_MAX_DAYS   90  　　    # 密码最长过期天数
2. PASS_MIN_DAYS   80  　　　  # 密码最小过期天数
3. PASS_MIN_LEN    10  　　　　# 密码最小长度
4. PASS_WARN_AGE   7   　　　 # 密码过期警告天数
9. <ul class="pre-numbering"></ul>

复制代码

第二种方法才是标题须要的方法，位置在/etc/pam.d/system-auth，修改位置如下图。

---

3.克制匿名用户登录vsftpd

   3.克制匿名用户登录vsftpd服务，将设置文件中对应的部分截图；
  vsftpd服务设置在路径/etc/vsftpd/vsftpd.conf，具体修改位置如下图。

---

4.设置关闭ftp-data端口

   4.设置关闭ftp-data端口倒霉用主动模式，利用ipv4举行监听，将设置文件中对应的部分截图；
  须要修改的文件路径是/etc/vsftpd/vsftpd.conf，具体看下图。

---

5.修改Telnet端口

   

• 将Telnet服务的端标语修改为2323 ,查察Telnet服务端口信息，将回显效果截图；
  

  环境有标题，怎么也不可，就在网上找了文章修改Telnet端口

---

6.限定Telnet用户毗连

   6.限定Telnet用户毗连，单个IP允许的最大毗连数为1，总的最大毗连数为10，将设置文件中对应的部分截图；
  环境标题，参考文章限定Telnet用户毗连尚有这个限定Telnet用户毗连。

---

7.允许root用户通过SSH

   7.允许root用户通过SSH远程登录，将设置文件中对应的部分截图；
  修改路径在/etc/ssh/sshd_config具体如下图

---

8.SSH设置RSA证书登录

   8.设置SSH服务，设置RSA证书登录，将设置文件中对应的部分截图；
  参考文章Centos7 ssh设置RSA证书登录。

---

9.修改httpd服务为root权限

   9.修改网站的httpd服务为root权限，将设置文件中对应的部分截图；
  修改路径在/etc/httpd/conf/httpd.conf，具体修改如下图。

---

10.设置HTTP服务

   10.设置HTTP服务，修改网站的设置文件，设置滚动日志按天记录网站的访问日志和错误日志，将设置文件中对应的部分截图。
  无。