优化企业服务器系统安全环境，就这么几招

　　元旦当天，大兵听到一位网友反应情况，其QQ被人盗取，盗取QQ号的人留下话，大意是：我正在练手，你找一个会反盗窃的人来跟我对攻，攻下了我就把号码还你，攻不下算你倒霉。

　　在听到上述事情的同时，不由让大兵想起IDC界一次重大的事件：2006年晚些时候，位于北京亦庄网通机房的新网更是在互联网大会当天被黑客攻击，是向世人挑衅或是对手的恶意竞争，新网内部并未给出大众答案，我们也是不得而知。

　　事情发生后不久，大兵当时跟一位做IDC的朋友交流，他跟我提到一些情况情况：在黑市，一些人专门从事网络或网站攻击业务，由于从业人员的素质相对不是很高，再加近几年加入此地下工作的人员过多，市面非常惨淡，现在以2000元人民币的酬劳，基本可以完成一个专业中型网站或安全级别中级的企业内部网络攻击……

　　所有这些，只是近几年IT界安全相关中的一个方面，而所有这些事情、事件、事故，将安全推上企业IT管理关注的一个重点。

　　那么，怎样防范攻击以更好地保障企业网络正常运行呢？

　　对于不同的专项攻击，我们有不同的方式来部署以应对，但是我们都了解：在被攻击前，我们不知道攻击者是采用什么方式来进行攻击过程的。

　　这可怎么办好呢？

　　系统性地部署我们的服务器与网络相关设置！只有这样，我们才能将被攻击的可能降到最低！

技巧一：系统安全基础设置

　　黑客开始对你的网络发起攻击的时候，他们首先会检查是否存在一般的安全漏洞。因此，当你服务器上的数据都存在一个FAT的磁盘分区的时候，即使安装上世界上所有的安全软件也不会对你有多大帮助的。

　　因此，你需要从基本做起。将服务器上所有包含了敏感数据的磁盘分区都转换成NTFS格式的。同时，可以为Exchange Server安装反病毒软件，将被感染的邮件在到达用户以前隔离起来。

技巧二：保护你的备份

　　备份实际上是一个巨大的安全漏洞。应该考虑通过密码保护你的磁带，并且如果你的备份程序支持加密功能，你还可以加密这些数据，如果窃贼还是把磁带弹出来带走的话，磁带上的数据也就毫无价值了。

技巧三：使用RAS回叫功能

　　Windows NT最酷的功能之一就是对服务器进行远程访问(RAS)的支持。不幸的是，一个RAS服务器对一个企图进入你的系统的黑客来说是一扇敞开的大门。黑客们所需要的一切只是一个电话号码。

　　你所要使用的技术将在很大程度上取决于你的远程用户如何使用RAS。如果远程用户经常是从家里或是类似的不太变动的地方呼叫主机，建议你使用回叫功能，它允 许远程用户登录以后切断连接。然后RAS服务器拨通一个预先定义的电话号码再次接通用户。黑客也就没有机会设定服务器回叫的号码了。

　　另一个可选的办法是限定所有的远程用户都访问单一的服务器。这样，即使黑客通过破坏手段来进入主机，那么他们也会被隔离在单一的一台机器上。

　　最后还有一个技巧就是在你的RAS服务器上使用出人意料的协议，迷惑一些不加提防的黑客。

技巧四：考虑工作站的安全问题

　　工作站是通向服务器的一个端口，在所有的工作站上使用Windows 2000。Windows 2000是一个非常安全的操作系统。你也可以使用Windows NT。锁定工作站，使得一些没有安全访问权的人想要获得网络配置信息变得困难或是不可能。

　　另，一个技术是将工作站的功能限定一个“聪明的”哑终端，让程序和数据驻留在服务器上但却在工作站上运行。所有安装在工作站上的是一份Windows拷贝以及 一些指向驻留在服务器上的应用程序的图标。当你点击一个图标运行程序时，这个程序将使用本地的资源来运行，而不是消耗服务器的资源。这比你运行一个完全的 哑终端程序对服务器造成的压力要小得多。

技巧五：使用流行的补丁程序

　　微软雇佣了一个程序员团队来检查安全漏洞并修 补它们。这些补丁被捆绑进一个大的软件包并做为服务包(service pack)发布。通常有两种不同的补丁程序版本:一个40位的版本和一个128位的版本。128位的版本使用128位的加密算法，比40位的版本要安全得 多。微软定期将重要的补丁程序发布在它的FTP站点上。这些热点补丁程序是自上一次服务包发布以后被公布的安全修补程序。要经常查看热点补丁。但要记住一 定要按逻辑顺序使用这些补丁。避免导致一些文件的版本错误。

技巧六：使用强有力的安全政策

　　要提高安全性，另一个可以做的工作就是制定一个好的，强有力的安全策略。确保每一个人都知道它并知道它是强制执行的。如果你使用Windows 2000 Server，你就有可能指定用户特殊的使用权限来使用你的服务器而不需要交出管理员的控制权，可以授予这种删除和禁用账号权限并限制创建用户或是更改许 可等这些活动的权限了。

技巧七：反复检查防火墙

　　防火墙是网络的一个重要部分，因为它将你公司的计算机同互联网上那些可能对它们造成损坏的蛊惑仔们隔离开来。

　　你首先要做的事情是确保防火墙不会向外界开放超过必要的任何IP地址。你总是至少要让一个IP地址对外界可见。这个IP地址被使用来进行所有的互联网通讯。如果你还有DNS注册的Web服务器或是电子邮件服务器，它们的IP地址也许也要通过防火墙对外界可见。但是，工作站和其他服务器的IP地址必须被隐藏起来。

　　你还可以查看端口列表验证你已经关闭了所有并不常用的端口地址。例如，TCP/IP 端口80用于HTTP通讯，因此你可能并不想堵掉这个端口。但是，你也许永远都不会用端口81，因此它应该被关掉。你可以在Internet上找到每个端口使用用途的列表。

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有