阿里云windows Server 2008 R2默認居然沒有啟用防火墻。2012可能也是這樣的，不過這個一定要檢查！
啟用windows更新服務，設置為自動更新狀態(tài)，以便及時打補丁。
阿里云windows Server 2008 R2默認為自動更新狀態(tài)，2012可能也是這樣的，不過這個一定要檢查！
操作目的 | 減少系統(tǒng)無用賬號，降低風險 |
加固方法 | “Win+R”鍵調(diào)出“運行”->compmgmt.msc（計算機管理）->本地用戶和組。 1、刪除不用的賬號，系統(tǒng)賬號所屬組是否正確。云服務剛開通時，應該只有一個administrator賬號和處于禁用狀態(tài)的guest賬號； 2、確保guest賬號是禁用狀態(tài) 3、買阿里云時，管理員賬戶名稱不要用administrator |
備注 | ? |
操作目的 | 增強口令的復雜度及鎖定策略等，降低被暴力破解的可能性 |
加固方法 | “Win+R”鍵調(diào)出“運行”->secpol.msc （本地安全策略）->安全設置 1、賬戶策略->密碼策略 密碼必須符合復雜性要求：啟用 密碼長度最小值：8個字符 密碼最短使用期限：0天 密碼最長使用期限：90天 強制密碼歷史：1個記住密碼 用可還原的加密來存儲密碼：已禁用 2、本地策略->安全選項 交互式登錄：不顯示最后的用戶名：啟用 |
備注 | “Win+R”鍵調(diào)出“運行”->gpupdate /force立即生效 |
操作目的 | 關閉不需要的服務，減小風險 |
加固方法 | “Win+R”鍵調(diào)出“運行”->services.msc，以下服務改為禁用： Application ?Layer Gateway Service（為應用程序級協(xié)議插件提供支持并啟用網(wǎng)絡/協(xié)議連接） Background ?Intelligent Transfer Service（利用空閑的網(wǎng)絡帶寬在后臺傳輸文件。如果服務被停用，例如Windows Update?和?MSN Explorer的功能將無法自動下載程序和其他信息） Computer Browser（維護網(wǎng)絡上計算機的更新列表，并將列表提供給計算機指定瀏覽） DHCP Client Diagnostic Policy Service Distributed Transaction Coordinator DNS Client Distributed Link Tracking Client Remote Registry（使遠程用戶能修改此計算機上的注冊表設置） Print Spooler（管理所有本地和網(wǎng)絡打印隊列及控制所有打印工作） Server（不使用文件共享可以關閉，關閉后再右鍵點某個磁盤選屬性，“共享”這個頁面就不存在了） Shell Hardware Detection TCP/IP NetBIOS Helper（提供?TCP/IP (NetBT)?服務上的NetBIOS?和網(wǎng)絡上客戶端的NetBIOS?名稱解析的支持，從而使用戶能夠共享文件、打印和登錄到網(wǎng)絡） Task Scheduler（使用戶能在此計算機上配置和計劃自動任務） Windows Remote Management(47001端口，Windows遠程管理服務，用于配合IIS管理硬件，一般用不到) Workstation（創(chuàng)建和維護到遠程服務的客戶端網(wǎng)絡連接。如果服務停止，這些連接將不可用） |
備注 | 用服務需謹慎，特別是遠程計算機 |
·????????????????? 在"網(wǎng)絡連接"里，把不需要的協(xié)議和服務都移除
2? 去掉Qos數(shù)據(jù)包計劃程序
2??關閉Netbios服務（關閉139端口）
網(wǎng)絡連接->本地連接->屬性->Internet協(xié)議版本 4->屬性->高級->WINS->禁用TCP/IP上的NetBIOS。
說明：關閉此功能，你服務器上所有共享服務功能都將關閉，別人在資源管理器中將看不到你的共享資源。這樣也防止了信息的泄露。
2? Microsoft網(wǎng)絡的文件和打印機共享
網(wǎng)絡連接->本地連接->屬性，把除了“Internet協(xié)議版本 4”以外的東西都勾掉。
2? ipv6協(xié)議
先關閉網(wǎng)絡連接->本地連接->屬性->Internet協(xié)議版本 6 (TCP/IPv6)
然后再修改注冊表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters，增加一個Dword項，名字：DisabledComponents，值：ffffffff（十六位的8個f）
重啟服務器即可關閉ipv6
2? microsoft網(wǎng)絡客戶端（主要是為了訪問微軟的網(wǎng)站）
·????????????????? 關閉445端口
445端口是netbios用來在局域網(wǎng)內(nèi)解析機器名的服務端口，一般服務器不需要對LAN開放什么共享，所以可以關閉。
修改注冊表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters，則更加一個Dword項：SMBDeviceEnabled，值：0
·????????????????? 關閉LLMNR（關閉5355端口）
什么是LLMNR？本地鏈路多播名稱解析，也叫多播DNS，用于解析本地網(wǎng)段上的名稱，沒啥用但還占著5355端口。
使用組策略關閉，運行->gpedit.msc->計算機配置->管理模板->網(wǎng)絡->DNS客戶端->關閉多播名稱解析->啟用
操作目的 | 網(wǎng)絡訪問限制 |
加固方法 | “Win+R”鍵調(diào)出“運行”->secpol.msc ->安全設置->本地策略->安全選項 網(wǎng)絡訪問: 不允許 SAM 帳戶的匿名枚舉：已啟用 網(wǎng)絡訪問: 不允許 SAM 帳戶和共享的匿名枚舉：已啟用 網(wǎng)絡訪問: 將 Everyone權限應用于匿名用戶：已禁用 帳戶: 使用空密碼的本地帳戶只允許進行控制臺登錄：已啟用 |
備注 | “Win+R”鍵調(diào)出“運行”->gpupdate /force立即生效 |
步驟：
1.防火墻中設置
1.控制面板——windows防火墻——高級設置——入站規(guī)則——新建規(guī)則——端口——特定端口tcp（如13688）——允許連接 2.完成以上操作之后右擊該條規(guī)則作用域——本地ip地址——任何ip地址——遠程ip地址——下列ip地址—— 添加管理者ip 同理其它端口可以通過此功能對特定網(wǎng)段屏蔽（如80端口）。
請注意：不是專線的網(wǎng)絡的IP地址經(jīng)常變，不適合限定IP。
2.運行regedit 2.[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds \rdpwd\Tds \tcp] 和 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\WinStations\RDP-TCP]，看見PortNamber值了嗎？其默認值是3389，修改成所希望的端口即可，例如13688
3.[HKEY_LOCAL_MACHINE\SYSTEM\CurrentContro1Set\Control\Tenninal Server\WinStations\ RDP\Tcp]，將PortNumber的值（默認是3389）修改成端口13688（自定義）。
4.重新啟動電腦，以后遠程登錄的時候使用端口13688就可以了。
操作目的 | 增強Everyone權限 |
加固方法 | 鼠標右鍵系統(tǒng)驅動器（磁盤）->“屬性”->“安全”，查看每個系統(tǒng)驅動器根目錄是否設置為Everyone有所有權限 刪除Everyone的權限或者取消Everyone的寫權限 |
備注 | ? |
注意：
1、2008 R2默認的文件夾和文件所有者為TrustedInstaller，這個用戶同時擁有所有控制權限。 2、注冊表同的項也是這樣，所有者為TrustedInstaller。 3、如果要修改文件權限時應該先設置管理員組 administrators 為所有者，再設置其它權限。 4、如果要刪除或改名注冊表，同樣也需先設置管理員組為所有者，同時還要應該到子項，直接刪除當前項還是刪除不掉時可以先刪除子項后再刪除此項。
步驟：
操作目的 | 增大日志量大小，避免由于日志文件容量過小導致日志記錄不全 |
加固方法 | “Win+R”鍵調(diào)出“運行”->eventvwr.msc ->“windows日志”->查看“應用程序”“安全”“系統(tǒng)”的屬性 建議設置： 日志上限大?。?/span>20480 KB Windows server 2008 R2默認就是這樣設置的 |
備注 | ? |
操作目的 | 對系統(tǒng)事件進行審核，在日后出現(xiàn)故障時用于排查故障 |
加固方法 | “Win+R”鍵調(diào)出“運行”->secpol.msc ->安全設置->本地策略->審核策略 建議設置： 審核策略更改：成功 審核登錄事件：成功，失敗 審核對象訪問：成功 審核進程跟蹤：成功，失敗 審核目錄服務訪問：成功，失敗 審核系統(tǒng)事件：成功，失敗 審核帳戶登錄事件：成功，失敗 審核帳戶管理：成功，失敗 |
備注 | “Win+R”鍵調(diào)出“運行”->gpupdate /force立即生效 |
進入“控制面板->管理工具->本地安全策略”，在“本地策略->用戶權利指派”:
把“關閉系統(tǒng)”設置為“只指派給Administrators組”
把?“從遠端系統(tǒng)強制關機”設置為“只指派Administrators組”
?設置“取得文件或其它對象的所有權”設置為“只指派給Administrators組
也就是平時說的PING，讓別人PING不到服務器，減少不必要的軟件掃描麻煩。
在服務器的控制面板中打開?windows防火墻?，點擊?高級設置：
?
點擊?入站規(guī)則?——找到?文件和打印機共享(回顯請求 - ICMPv4-In)?，啟用此規(guī)則即是開啟ping，禁用此規(guī)則IP將禁止其他客戶端ping通，但不影響TCP、UDP等連接。
?
<customErrors>標記的“mode”屬性不能設置為“Off”，這樣用戶能看到異常詳情。
IIS用戶
匿名身份驗證不能使用管理員賬號，得使用普通用戶賬號。
中學內(nèi)部安全保衛(wèi)方案《工貿(mào)企業(yè)有限空間作業(yè)安全規(guī)定》解讀嚴重靜電污染環(huán)境中的嬰兒與兒童的靜…服務器安全保護的具體措施食物中毒類危險源控制方案電子商務的安全建設高溫來襲，這份安全生產(chǎn)說明書請收好！泗河采砂整治措施及對策
淺談食品安全的重要性我國安全生產(chǎn)的基本方針是什么？生產(chǎn)車間安全常識車間內(nèi)安全通道的寬度是多少？食品安全突發(fā)事件應急處置方案食堂安全隱患及防范措施冬季安全生產(chǎn)注意事項城市污水處理廠的安全生產(chǎn)
