网站服务器安全配置(企业网络服务器的安全配置)
- 服务器
- 2022-12-19 19:46:15
- 10
今天给各位分享网站服务器安全配置的知识,其中也会对企业网络服务器的安全配置进行解释,如果能碰巧解决你现在面临的问题,别忘了关注本站,现在开始吧!
本文目录一览:
- 1、选择网站服务器时需要注意哪些因素
- 2、安全开发运维必备的Nginx代理Web服务器性能优化与安全加固配置
- 3、服务器有哪些安全设置?
- 4、公司要购买云服务器,那么应该如何选择配置和安全设置
- 5、服务器安全狗怎样配置
- 6、如何配置网络服务器安全
选择网站服务器时需要注意哪些因素
一、速处理型、海量存储型和低价稳定型。
像企业网站,普通个人网站等要求对存储要求不高,但对安全性和稳定性却是必须要考虑的因素,选择那一类型的网站服务器就需要结合网站的属性和预算以及各方面因素来加以考虑了,再对服务器的各项参数加以对比和分析。从硬件配置来看,操作系统、数据库、Web服务器、Web应用软件等的选择问题,要根据网站类型、网站规模、资金预算及站长经验众多因素从站长预备的方案中选出适宜的产品,还有服务器的中央处理器、内存、芯片组、I/O总线、I/O设备、电源、机箱和相关软件,这些应该是站长选择服务器所要关注的指标。
二、服务器的性能稳定性
站长们在日常的网站维护中,可不希望自己购买或者租凭的服务器出现问题,因为服务器属于比较复杂和高负荷运载的机器,服务器的维修通常要比处理一个网站的N多问题困难得多,一点小毛病就会带来一系列的问题,服务器的维护都是以预防为主的,当一出现问题,所造成用户的损失也是不可估量的,因此稳定型强的服务器对站长们是至关重要的。
三、服务器的安全性
选择服务器,安全因素也是站长朋友们必须要考虑的因素,安全系统方面是指服务器维护人员否能24小时进行全方位的机房监控。它主要要考虑两个方面:一是保护服务器机密信息;二是要防止黑客的攻击。
四、服务器的技术服务
服务器的良好服务也是作为服务器的最高宗旨,从服务器商的服务管理体系是否规范,技术实力是否到位,问题处理是否及时,产品使用说明讲解是否详细,IDC服务商的管理运营能力是否以从用户的角度出发,其次看IDC商是不是正规公司,是否拥有这方面的资深认证可以帮助站长朋友们免费备案,还要看IDC服务商背后是否有强大的资源支持等等。如果出了问题,不能得到服务商及时可靠的技术支持,将很可能影响到网站的正常运营。
五、服务器的应用指标
以Web服务器为例,如果站长的Web站点网页主要是ASP动态类型的,就不适宜选择Apache服务器系统,因为它对ASP不支持,同样,如果站长的数据库系统是SQL,也不适宜选择Apache,同样是因为它不支持。
六、服务器的内存性能
一款高内存的服务器,往往可以储存海量的信息和具备站长网站日常大量的会话和互动需求,如果条件允许,站长们尽量选择内存稍大点易扩展的服务器,对于日后网站的升级更新,访问量增大等提供支持。
安全开发运维必备的Nginx代理Web服务器性能优化与安全加固配置
为了更好的指导部署与测试艺术升系统nginx网站服务器高性能同时下安全稳定运行,需要对nginx服务进行调优与加固;
本次进行Nginx服务调优加固主要从以下几个部分:
本文档仅供内部使用,禁止外传,帮助研发人员,运维人员对系统长期稳定的运行提供技术文档参考。
Nginx是一个高性能的HTTP和反向代理服务器,也是一个IMAP/POP3/SMTP服务器。Nginx作为负载均衡服务器, Nginx 既可以在内部直接支持 Rails 和 PHP 程序对外进行服务,也可以支持作为 HTTP代理服务器对外进行服务。
Nginx版本选择:
项目结构:
Nginx文档帮助:
Nginx首页地址目录: /usr/share/nginx/html
Nginx配置文件:
localtion 请求匹配的url实是一个正则表达式:
Nginx 匹配判断表达式:
例如,匹配末尾为如下后缀的静态并判断是否存在该文件, 如不存在则404。
查看可用模块编译参数:
http_gzip模块
开启gzip压缩输出(常常是大于1kb的静态文件),减少网络传输;
http_fastcgi_module模块
nginx可以用来请求路由到FastCGI服务器运行应用程序由各种框架和PHP编程语言等。可以开启FastCGI的缓存功能以及将静态资源进行剥离,从而提高性能。
keepalive模块
长连接对性能有很大的影响,通过减少CPU和网络开销需要开启或关闭连接;
http_ssl_module模块
Nginx开启支持Https协议的SSL模块
Linux内核参数部分默认值不适合高并发,Linux内核调优,主要涉及到网络和文件系统、内存等的优化,
下面是我常用的内核调优配置:
文件描述符
文件描述符是操作系统资源,用于表示连接、打开的文件,以及其他信息。NGINX 每个连接可以使用两个文件描述符。
例如如果NGINX充当代理时,通常一个文件描述符表示客户端连接,另一个连接到代理服务器,如果开启了HTTP 保持连接,这个比例会更低(译注:为什么更低呢)。
对于有大量连接服务的系统,下面的设置可能需要调整一下:
精简模块:Nginx由于不断添加新的功能,附带的模块也越来越多,建议一般常用的服务器软件使用源码编译安装管理;
(1) 减小Nginx编译后的文件大小
(2) 指定GCC编译参数
修改GCC编译参数提高编译优化级别稳妥起见采用 -O2 这也是大多数软件编译推荐的优化级别。
GCC编译参数优化 [可选项] 总共提供了5级编译优化级别:
常用编译参数:
缓存和压缩与限制可以提高性能
NGINX的一些额外功能可用于提高Web应用的性能,调优的时候web应用不需要关掉但值得一提,因为它们的影响可能很重要。
简单示例:
1) 永久重定向
例如,配置 http 向 https 跳转 (永久)
nginx配置文件指令优化一览表
描述:Nginx因为安全配置不合适导致的安全问题,Nginx的默认配置中存在一些安全问题,例如版本号信息泄露、未配置使用SSL协议等。
对Nginx进行安全配置可以有效的防范一些常见安全问题,按照基线标准做好安全配置能够减少安全事件的发生,保证采用Nginx服务器系统应用安全运行;
Nginx安全配置项:
温馨提示: 在修改相应的源代码文件后需重新编译。
设置成功后验证:
应配置非root低权限用户来运行nginx服务,设置如下建立Nginx用户组和用户,采用user指令指运行用户
加固方法:
我们应该为提供的站点配置Secure Sockets Layer Protocol (SSL协议),配置其是为了数据传输的安全,SSL依靠证书来验证服务器的身份,并为浏览器和服务器之间的通信加密。
不应使用不安全SSLv2、SSLv3协议即以下和存在脆弱性的加密套件(ciphers), 我们应该使用较新的TLS协议也应该优于旧的,并使用安全的加密套件。
HTTP Referrer Spam是垃圾信息发送者用来提高他们正在尝试推广的网站的互联网搜索引擎排名一种技术,如果他们的垃圾信息链接显示在访问日志中,并且这些日志被搜索引擎扫描,则会对网站排名产生不利影响
加固方法:
当恶意攻击者采用扫描器进行扫描时候利用use-agent判断是否是常用的工具扫描以及特定的版本,是则返回错误或者重定向;
Nginx支持webdav,虽然默认情况下不会编译。如果使用webdav,则应该在Nginx策略中禁用此规则。
加固方法: dav_methods 应设置为off
当访问一个特制的URL时,如"../nginx.status",stub_status模块提供一个简短的Nginx服务器状态摘要,大多数情况下不应启用此模块。
加固方法:nginx.conf文件中stub_status不应设置为:on
如果在浏览器中出现Nginx自动生成的错误消息,默认情况下会包含Nginx的版本号,这些信息可以被攻击者用来帮助他们发现服务器的潜在漏洞
加固方法: 关闭"Server"响应头中输出的Nginx版本号将server_tokens应设置为:off
client_body_timeout设置请求体(request body)的读超时时间。仅当在一次readstep中,没有得到请求体,就会设为超时。超时后Nginx返回HTTP状态码408(Request timed out)。
加固方法:nginx.conf文件中client_body_timeout应设置为:10
client_header_timeout设置等待client发送一个请求头的超时时间(例如:GET / HTTP/1.1)。仅当在一次read中没有收到请求头,才会设为超时。超时后Nginx返回HTTP状态码408(Request timed out)。
加固方法:nginx.conf文件中client_header_timeout应设置为:10
keepalive_timeout设置与client的keep-alive连接超时时间。服务器将会在这个时间后关闭连接。
加固方法:nginx.conf文件中keepalive_timeout应设置为:55
send_timeout设置客户端的响应超时时间。这个设置不会用于整个转发器,而是在两次客户端读取操作之间。如果在这段时间内,客户端没有读取任何数据,Nginx就会关闭连接。
加固方法:nginx.conf文件中send_timeout应设置为:10
GET和POST是Internet上最常用的方法。Web服务器方法在RFC 2616中定义禁用不需要实现的可用方法。
加固方法:
limit_zone 配置项限制来自客户端的同时连接数。通过此模块可以从一个地址限制分配会话的同时连接数量或特殊情况。
加固方法:nginx.conf文件中limit_zone应设置为:slimits $binary_remote_addr 5m
该配置项控制一个会话同时连接的最大数量,即限制来自单个IP地址的连接数量。
加固方法:nginx.conf 文件中 limit_conn 应设置为: slimits 5
加固方法:
加固方法:
解决办法:
描述后端获取Proxy后的真实Client的IP获取需要安装--with-http_realip_module,然后后端程序采用JAVA(request.getAttribute("X-Real-IP"))进行获取;
描述: 如果要使用geoip地区选择,我们需要再nginx编译时加入 --with-http_geoip_module 编译参数。
描述: 为了防止外部站点引用我们的静态资源,我们需要设置那些域名可以访问我们的静态资源。
描述: 下面收集了Web服务中常规的安全响应头, 它可以保证不受到某些攻击,建议在指定的 server{} 代码块进行配置。
描述: 为了防止某些未备案的域名或者恶意镜像站域名绑定到我们服务器上, 导致服务器被警告关停,将会对业务或者SEO排名以及企业形象造成影响,我们可以通过如下方式进行防范。
执行结果:
描述: 有时你的网站可能只需要被某一IP或者IP段的地址请求访问,那么非白名单中的地址访问将被阻止访问, 我们可以如下配置;
常用nginx配置文件解释:
(1) 阿里巴巴提供的Concat或者Google的PageSpeed模块实现这个合并文件的功能。
(2) PHP-FPM的优化
如果您高负载网站使用PHP-FPM管理FastCGI对于PHP-FPM的优化非常重要
(3) 配置Resin on Linux或者Windows为我们可以打开 resin-3.1.9/bin/httpd.sh 在不影响其他代码的地方加入:-Dhttps.protocols=TLSv1.2, 例如
原文地址:
服务器有哪些安全设置?
1)、系统安全基本设置
1.安装说明:系统全部NTFS格式化,重新安装系统(采用原版win2003),安装杀毒软件(Mcafee),并将杀毒软件更新,安装sp2补钉,安装IIS(只安装必须的组件),安装SQL2000,安装.net2.0,开启防火墙。并将服务器打上最新的补钉。
2)、关闭不需要的服务
Computer Browser:维护网络计算机更新,禁用
Distributed File System: 局域网管理共享文件,不需要禁用
Distributed linktracking client:用于局域网更新连接信息,不需要禁用
Error reporting service:禁止发送错误报告
Microsoft Serch:提供快速的单词搜索,不需要可禁用
NTLMSecuritysupportprovide:telnet服务和Microsoft Serch用的,不需要禁用
PrintSpooler:如果没有打印机可禁用
Remote Registry:禁止远程修改注册表
Remote Desktop Help Session Manager:禁止远程协助 其他服务有待核查
3)、设置和管理账户
1、将Guest账户禁用并更改名称和描述,然后输入一个复杂的密码
2、系统管理员账户最好少建,更改默认的管理员帐户名(Administrator)和描述,密码最好采用数字加大小写字母加数字的上档键组合,长度最好不少于10位
3、新建一个名为Administrator的陷阱帐号,为其设置最小的权限,然后随便输入组合的最好不低于20位的密码
4、计算机配置-Windows设置-安全设置-账户策略-账户锁定策略,将账户设为“三次登陆无效 时间为30分钟
5、在安全设置-本地策略-安全选项中将“不显示上次的用户名”设为启用
6、 在安全设置-本地策略-用户权利分配中将“从网络访问此计算机”中只保留Internet来宾账户、启动IIS进程账户,Aspnet账户
7、创建一个User账户,运行系统,如果要运行特权命令使用Runas命令。
4)、打开相应的审核策略
审核策略更改:成功
审核登录事件:成功,失败
审核对象访问:失败
审核对象追踪:成功,失败
审核目录服务访问:失败
审核特权使用:失败
审核系统事件:成功,失败
审核账户登录事件:成功,失败
审核账户管理:成功,失败
5)、 其它安全相关设置
1、禁止C$、D$、ADMIN$一类的缺省共享
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters,在右边的 窗口中新建Dword值,名称设为AutoShareServer值设为0
2、解除NetBios与TCP/IP协议的绑定
右击网上邻居-属性-右击本地连接-属性-双击Internet协议-高级-Wins-禁用TCP/IP上的 NETBIOS
3、隐藏重要文件/目录
可以修改注册表实现完全隐藏: “HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrent-VersionExplorerAdvancedFol derHi-ddenSHOWALL”,鼠标右击“CheckedValue”,选择修改,把数值由1改为0
4、防止SYN洪水攻击
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters 新建DWORD 值,名为SynAttackProtect,值为2
5、 禁止响应ICMP路由通告报文
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersInterfacesinterface 新建DWORD值,名为PerformRouterDiscovery 值为0
6. 防止ICMP重定向报文的攻击
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters 将EnableICMPRedirects 值设为0
7、 不支持IGMP协议
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters 新建DWORD 值,名为IGMPLevel 值为0
8、禁用DCOM:运行中输入 Dcomcnfg.exe。 回车, 单击“控制台根节点”下的“组件服务”。 打开“计算机”子 文件夹。
对于本地计算机,请以右键单击“我的电脑”,然后选择“属 性”。选择“默认属性”选项卡。清除“在这台计算机上启用分布式 COM”复选框。
9、终端服务的默认端口为3389,可考虑修改为别的端口。
修改方法为: 服务器端:打开注册表,在“HKLM\SYSTEM\Current ControlSet\Control\Terminal Server\Win Stations” 处找到类似RDP-TCP的子键,修改PortNumber值。 客户端:按正常步骤建一个客户端连接,选中这个连接,在“文件”菜单中选择导出,在指定位置会 生成一个后缀为.cns的文件。打开该文件,修改“Server Port”值为与服务器端的PortNumber对应的 值。然后再导入该文件(方法:菜单→文件→导入),这样客户端就修改了端口。
6)、配置 IIS 服务
1、不使用默认的Web站点,如果使用也要将 将IIS目录与系统磁盘分开。
2、删除IIS默认创建的Inetpub目录(在安装系统的盘上)。
3、删除系统盘下的虚拟目录,如:_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、 MSADC。
4、删除不必要的IIS扩展名映射。 右键单击“默认Web站点→属性→主目录→配置”,打开应用程序窗口,去掉不必要的应用程序映 射。主要为.shtml, .shtm, .stm
5、更改IIS日志的路径 右键单击“默认Web站点→属性-网站-在启用日志记录下点击属性
6、如果使用的是2000可以使用iislockdown来保护IIS,在2003运行的IE6.0的版本不需要。
7、使用UrlScan
UrlScan是一个ISAPI筛选器,它对传入的HTTP数据包进行分析并可以拒绝任何可疑的通信量。 目前最新的版本是2.5,如果是2000Server需要先安装1.0或2.0的版本。 如果没有特殊的要求采用UrlScan默认配置就可以了。 但如果你在服务器运行ASP.NET程序,并要进行调试你需打开要 %WINDIR%System32InetsrvURLscan,文件夹中的URLScan.ini 文件,然后在UserAllowVerbs节添 加debug谓词,注意此节是区分大小写的。 如果你的网页是.asp网页你需要在DenyExtensions删除.asp相关的内容。 如果你的网页使用了非ASCII代码,你需要在Option节中将AllowHighBitCharacters的值设为1 在对URLScan.ini 文件做了更改后,你需要重启IIS服务才能生效,快速方法运行中输入iisreset 如果你在配置后出现什么问题,你可以通过添加/删除程序删除UrlScan。
8、利用WIS (Web Injection Scanner)工具对整个网站进行SQL Injection 脆弱性扫描.
7)、配置Sql服务器
1、System Administrators 角色最好不要超过两个
3、不要使用Sa账户,为其配置一个超级复杂的密码
4、删除以下的扩展存储过程格式为:
use master sp_dropextendedproc '扩展存储过程名'
xp_cmdshell:是进入操作系统的最佳捷径,删除 访问注册表的存储过程,
删除
Xp_regaddmultistring Xp_regdeletekey Xp_regdeletevalue Xp_regenumvalues Xp_regread Xp_regwrite Xp_regremovemultistring
OLE自动存储过程,不需要删除
Sp_OACreate Sp_OADestroy Sp_OAGetErrorInfo Sp_OAGetProperty Sp_OAMethod Sp_OASetProperty Sp_OAStop
5、隐藏 SQL Server、更改默认的1433端口
右击实例选属性-常规-网络配置中选择TCP/IP协议的属性,选择隐藏 SQL Server 实例,并改原默 认的1433端口。
8)、修改系统日志保存地址 默认位置为 应用程序日志、安全日志、系统日志、DNS日志默认位置:%systemroot%\system32\config,默认 文件大小512KB,管理员都会改变这个默认大小。
安全日志文件:%systemroot%\system32\config\SecEvent.EVT 系统日志文件:%systemroot%\system32\config\SysEvent.EVT 应用程序日志文件:%systemroot%\system32\config\AppEvent.EVT Internet信息服务FTP日志默认位置:%systemroot%\system32\logfiles\msftpsvc1\,默认每天一个日 志 Internet信息服务WWW日志默认位置:%systemroot%\system32\logfiles\w3svc1\,默认每天一个日 志 Scheduler(任务计划)服务日志默认位置:%systemroot%\schedlgu.txt 应用程序日志,安全日志,系统日志,DNS服务器日志,它们这些LOG文件在注册表中的: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog Schedluler(任务计划)服务日志在注册表中 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SchedulingAgent SQL 删掉或改名xplog70.dll [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters] "AutoShareServer"=dword:00000000 "AutoShareWks"=dword:00000000 // AutoShareWks 对pro版本 // AutoShareServer 对server版本 // 0
禁止管理共享admin$,c$,d$之类默认共享 [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA] "restrictanonymous"=dword:00000001 //0x1 匿名用户无法列举本机用户列表 //0x2 匿名用户无法连接本机IPC$共享(可能sql server不能够启动
9)、本地安全策略
1.只开放服务需要的端口与协议。 具体方法为:按顺序打开“网上邻居→属性→本地连接→属性→Internet 协议→属性→高级→选项→ TCP/IP筛选→属性”,添加需要的TCP、UDP端口以及IP协议即可。根据服务开设口,常用的TCP 口有:80口用于Web服务;21用于FTP服务;25口用于SMTP;23口用于Telnet服务;110口 用于POP3。常用的UDP端口有:53口-DNS域名解析服务;161口-snmp简单的网络管理协议。 8000、4000用于OICQ,服务器用8000来接收信息,客户端用4000发送信息。 封TCP端口: 21(FTP,换FTP端口)23(TELNET),53(DNS),135,136,137,138,139,443,445,1028,1433,3389 可封TCP端口:1080,3128,6588,8080(以上为代理端口).25(SMTP),161(SNMP),67(引导) 封UDP端口:1434(这个就不用说了吧) 封所有ICMP,即封PING 以上是最常被扫的端口,有别的同样也封,当然因为80是做WEB用的
2、禁止建立空连接 默认情况下,任何用户可通过空连接连上服务器,枚举账号并猜测密码。空连接用的端口是139, 通过空连接,可以复制文件到远端服务器,计划执行一个任务,这就是一个漏洞。可以通过以下两 种方法禁止建立空连接:
(1) 修改注册表中 Local_Machine\System\ CurrentControlSet\Control\LSA-RestrictAnonymous 的值为1。
(2) 修改Windows 2000的本地安全策略。设置“本地安全策略→本地策略→选项”中的 RestrictAnonymous(匿名连接的额外限制)为“不容许枚举SAM账号和共享”。 首先,Windows 2000的默认安装允许任何用户通过空连接得到系统所有账号和共享列表,这本来 是为了方便局域网用户共享资源和文件的,但是,同时任何一个远程用户也可以通过同样的方法得 到您的用户列表,并可能使用暴力法破解用户密码给整个网络带来破坏。很多人都只知道更改注册 表Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous = 1来禁止空用户连接, 实际上Windows 2000的本地安全策略里(如果是域服务器就是在域服务器安全和域安全策略里) 就有RestrictAnonymous选项,其中有三个值:“0”这个值是系统默认的,没有任何限制,远程用户 可以知道您机器上所有的账号、组信息、共享目录、网络传输列表(NetServerTransportEnum)等;“1” 这个值是只允许非NULL用户存取SAM账号信息和共享信息;“2”这个值只有Windows 2000才支 持,需要注意的是,如果使用了这个值,就不能再共享资源了,所以还是推荐把数值设为“1”比较 好。
10)、防止asp木马
1、基于FileSystemObject组件的asp木马
cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用 regsvr32 scrrun.dll /u /s //删除
2.基于shell.application组件的asp木马
cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用 regsvr32 shell32.dll /u /s //删除
3.将图片文件夹的权限设置为不允许运行。
4.如果网站中不存在有asp的话,禁用asp
11)、防止SQL注入
1.尽量使用参数化语句
2.无法使用参数化的SQL使用过滤。
3.网站设置为不显示详细错误信息,页面出错时一律跳转到错误页面。
4.不要使用sa用户连接数据库
5、新建一个public权限数据库用户,并用这个用户访问数据库 6、[角色]去掉角色public对sysobjects与syscolumns对象的select访问权限
最后强调一下,以上设置可能会影响到有些应用服务,例如导至不能连接上远程服务器,
因此强烈建议,以上设置首先在本地机器或虚拟机(VMware Workstation)上做好设置,确定没事之后然后再在服务器上做。
公司要购买云服务器,那么应该如何选择配置和安全设置
网络时代回答您:
购买服务器需要考虑的因素:
一、云服务器的环境
如果购买的云服务器在主干节点上,它将比平均节点访问速度快。
二、云服务器的硬件配置
一般来说,购买云服务器的配置将直接影响服务器的响应速度。云服务器的CPU数量,硬盘越大,内存越大,处理器越好,云服务器运行的速度就越快。
三、云服务器的带宽大小
云服务器的带宽将直接影响到网站访问的速度。服务器带宽越大,访问速度越快。此外,当带宽小,访客数量过多时,会出现纸箱现象。
服务器安全狗怎样配置
导语:网站安全狗是安全狗旗下的一款集网站内容安全防护、网站资源保护、网站加速及网站流量保护功能为一体的服务器工具。下面我为您收集整理了服务器安全狗配置,欢迎阅读!
1、下载网站安全狗到服务器上,安装完成后,即可对网站进行防护。在百度上搜索“安全狗”就可以看到官网信息。
2、可利用扫描功能 对网站进行整体扫描,看网站是否存在安全威胁,如是否被挂马、被挂黑链、是否存在网页木马、以及畸形文件等。
3、开启主动防御。包括网站漏洞防护、网马防护、危险组件防护、禁止IIS执行程序、一句话后门防护。【开启之后记得要点击保存,才能生效】
网站漏洞防护可以防SQL、XSS等注入行为;
网马防护主要是拦截上传或浏览的网页木马,保护网站安全;
危险组件防护,前面拦截恶意代码对组件的调用权限;
禁止IIS执行程序,全面拦截IIS执行恶意程序;
一句话后门防护,可有效拦截PHP一句话后门。
开启CC攻击防护。
4、CC攻击(ChallengeCollapsar)是借助代理服务器生成指向受害主机的合法请求,实现DOS和伪装。模拟多个用户不停的进行访问那些需要大量数据操作,大量CPU时间的页面,使得页面打开速度缓慢。CC攻击防护基本原理是防止一个IP多次不断刷新而断开与该IP得连接,防止服务器瘫痪,达到了防攻击目的。
5、在进行访问规则设置的时候,如果是新手,建议直接使用默认值。同时该设置也支持自主设置,用户可根据实际情况设置参数,已达到最佳防护效果。
开启资源保护,包括资源防盗链、网站特定资源保护、网站后台防护等,保护网站安全。
6、在网站后台防护中,建议启用临时黑名单,比如说60秒内非法访问3次,将会被冻结5分钟,5分钟后才可继续使用。参数,用户可以根据自己的实际情况进行设置。设置后,记得点击保存生效。
启用网站加速,主要针对图片、视频、js、flash等静态资源进行加速,操作简单易用。
网站加速功能默认是关闭的,如有需要可进行开启。点击“开启按钮”开启网站加速服务,随后把想加速的.网站添加到列表中并开启加速即可。(需要注意的是,如果没有加入安全狗服云,点击开启时,就会看到一个提示:“加入服云,才能开启使用网站加速功能”。)
7、IP黑白名单的设置。
IP白名单设置可以通过设置一些值得信赖IP地址为白名单地址,从而使它们能够顺利的访问网站;
IP黑名单是相对白名单进行设置的,目的是为了通过设置一些不良IP地址为黑名单地址,从而限制它们访问网站。
用户可以点击“启用”选项开启IP黑白名单功能,设置好后需要保存!
8、可以在网站安全狗防护日志中查看到每日防护具体信息,便于你及时调整安全防护措施。同时,如果想把哪个被拦截IP添加到IP黑白名单,可直接选中某个日志,右键单击即可把IP添加到黑白名单中。
网站安全狗的功能很强大,还有很多细节信息并没有一一写出来,大家如有需要可以到官网详细了解一番。同时安全狗的其他产品服务:服务器安全狗、安全狗服云等也可以了解下,比如说:安全狗服云手机端,可以远程管理服务器和网站安全等。
如何配置网络服务器安全
服务器的安全设置很重要,所以相对也会很繁琐,需要进行的操作有很多:
系统漏洞扫描与修复;管理员账号、来宾账号、普通账号、影子账号的优化保护系
统不被黑客恶意添加或修改;
对IIS下的ASP、ASPX网站相关的EXE和DLL文件进行保护操作防止网站被恶意上传和特殊权限的运行;
对系统文件夹下
的关键二进制文件进行保护操作,确保存储的DLL文件和以及其他用于支持、配置或操作的文件的安全;对系统文件夹下的文件进行保护操作,防止系统文件被修
改,以确保系统的正常运行;
对用户配置信息的文件夹进行保护操作,以防止用户当前桌面环境、应用程序设置和个人数据信息的泄露;
对数据库进行权限优化以及
安全加固;
停止了类似Remote Registry(远程修改注册表服务) Remote Desktop Help Session
Manager(远程协助服务)
这种不必要的服务,以防被黑客利用,降低安全隐患;
关闭135和445这类用于远程过程调用,局域网中轻松访问各种共享文件夹或共享打印机的端口;
禁止掉
ICP空连接功能,以防止连接者与目标主机建立无需用户名与密码的空连接造成的风险出现;
配置backlog,提高网络并发性及网络的处理能力;
优化设置
SYN-ACK等待时间,检查无效网关用以提高网络性能;
检查TCPIP协议栈IGMP堆栈溢出本地拒绝服务、检查ICMP重定向报文,并进行优化操作,
防止被用于攻击;
禁止路由发现功能,用以防止ICMP路由通告报文带来的增加路由表纪录的攻击;
限制处于TIME_WAIT状态的最长时间,使运行的应用
程序可以更快速地释放和创建连接;
卸载掉wshom.ocx组件和shell32.dll组件,防止默认允许asp运行、exe可执行文件带来的安全隐
患;
禁止掉系统自动启动服务器共享的功能,用以防止服务器上的资源被共享功能泄露出去。
在手动配置的同时也可以安装服务器安全狗进行相应的设置,能够更加的完善服务器的安全设置,并且服务器安全狗也能给服务器提供实时防护,一举两得,新手和老手同样适合使用,免费又安全。建议可以去试试
我的服务器用的是小鸟云的,性能稳定,访问很流畅。
网站服务器安全配置的介绍就聊到这里吧,感谢你花时间阅读本站内容,更多关于企业网络服务器的安全配置、网站服务器安全配置的信息别忘了在本站进行查找喔。
本文由admin于2022-12-19发表在靑年PHP官网,如有疑问,请联系我们。
本文链接:https://www.qnphp.com/post/130137.html