七求帮你打造无攻击服务器

kunphantom

七招帮你打造无攻击服务器
技巧一：从基本做起
　　我知道这听起来象是废话，但是当我们谈论网络服务器的安全的时候，我所能给你的最好的建议就是不要做门外汉。当黑客开始对你的网络发起攻击的时候，他们首先会检查是否存在一般的安全漏洞，然后才会考虑难度更加高一点的突破安全系统的手段。因此，比方说，当你服务器上的数据都存在于一个FAT的磁盘分区的时候，即使安装上世界上所有的安全软件也不会对你有多大帮助的。
　　因为这个原因，你需要从基本做起。你需要将服务器上所有包含了敏感数据的磁盘分区都转换成NTFS格式的。同样，你还需要将所有的反病毒软件及时更新。我建议你同时在服务器和桌面终端上运行反病毒软件。这些软件还应该配置成每天自动下载最新的病毒数据库文件。你还更应该知道，可以为Exchange Server安装反病毒软件。这个软件扫描所有流入的电子邮件，寻找被感染了的附件，当它发现一个病毒时，会自动将这个被感染的邮件在到达用户以前隔离起来。
　　另一个保护网络的好方法是以用户待在公司里的时间为基础限定他们访问网络的时间。一个通常在白天工作的临时员工不应该被允许在临晨三点的时候访问网络，除非那个员工的主管告诉你那是出于一个特殊项目的需要。

　　技巧二：保护你的备份
　　每一个好的网络管理员都知道每天都备份网络服务器并将磁带记录远离现场进行保护以防意外灾害。但是，安全的问题远不止是备份那么简单。大多数人都没有意识到，你的备份实际上就是一个巨大的安全漏洞。
　　要理解这是为什么，试想一下，大多数的备份工作都是在大约晚上10：00或是11：00的时候开始的。整个备份的过程通常是在半夜的时候结束，这取决于你有多少数据要备份。现在，想象一下，时间已经到了早晨四点，你的备份工作已经结束。但是，没有什么东西能够阻止一些人偷走你磁带记录上的数据并将它们在自己家中或是你竞争对手办公室里的一台服务器上恢复它们。
　　不过，你可以阻止这种事情的发生。首先，可以通过密码保护你的磁带并且如果你的备份程序支持加密功能，你还可以加密这些数据。其次，你可以将备份程序完成工作的时间定在你早晨上班的时间。这样的话，即使有人前一天半夜想要溜进来偷走磁带的话，他们也会因为磁带正在使用而无法得逞。如果窃贼还是把磁带弹出来带走的话，磁带上的数据也就毫无价值了。
　　技巧三：对RAS使用回叫功能
　　Windows NT最酷的功能之一就是对服务器进行远程访问(RAS)的支持。不幸的是，一个RAS服务器对一个企图进入你
　　的系统的黑客来说是一扇敞开的大门。黑客们所需要的一切只是一个电话号码，有时还需要一点耐心，然后就能通过RAS进入一台主机了。但你可以采取一些方法来保证RAS服务器的安全。
你所要使用的技术将在很大程度上取决于你的远程用户如何使用RAS。如果远程用户经常是从家里或是类似的不太变动的地方呼叫主机，我建议你使用回叫功能，它允许远程用户登录以后切断连接。然后RAS服务器拨通一个预先定义的电话号码再次接通用户。因为这个号码是预先设定了的，黑客也就没有机会设定服务器回叫的号码了。

　　技巧四：考虑工作站的安全问题
　　在一个关于服务器安全的文章里谈论工作站的安全看起来很奇怪。但是，工作站正是通向服务器的一个端口。加强工作站的安全能够提高整个网络的安全性。对于初学者，我建议在所有的工作站上使用Windows 2000。Windows 2000是一个非常安全的操作系统。如果你并不想这样做，那么至少使用Windows NT。你可以锁定工作站，使得一些没有安全访问权的人想要获得网络配置信息变得困难或是不可能。
　　另一个技术是控制哪个人能够访问哪台工作站。例如，有一个员工叫Bob，并且你已经知道他是一个麻烦制造者。显然，你不想Bob能够在午餐的时候打开他朋友的电脑或是差上他自己的笔记本然后黑掉整个系统。因此，你应该使用工作组用户管理程序还修改Bob的帐号以便他只能从他自己的电脑(并且是在你指定的时间内)登录。Bob远不太可能从他自己的电脑上攻击网络，因为他知道别人可以将他追查出来。
　
　　技巧五：使用流行的补丁程序
　　微软雇佣了一个程序员团队来检查安全漏洞并修补它们。有时，这些补丁被**进一个大的软件包并作为服务包(service pack)发布。
　　通常有两种不同的补丁程序版本：一个任何人都可以使用的40位的版本和一个只能在美国和加拿大使用的128位的版本。128位的版本使用128位的加密算法，比40位的版本要安全得多。如果你现在还在使用40位的服务包并且生活在美国或是加拿大，我强烈建议你下载128位的版本。
　　技巧六：使用一个强有力的安全政策
　　要提高安全性，另一个你可以做的工作就是制定一个好的，强有力的安全策略。确保每一个人都知道它并知道它是强制执行的。这样的一个政策需要包括对一个在公司机器上下载未授权的软件的员工的严厉惩罚。
　　如果你使用Windows 2000 Server，你就有可能指定用户特殊的使用权限来使用你的服务器而不需要交出管理员的控制权。一个好的用法就是授权人力资源部来删除和禁用一个帐号。这样，人力资源部就可以在一个行将走人的员工知道自己将被解雇以前就删除或是禁用他的用户帐号。这样，不满的员工就不会有机会来搅乱公司的系统了。同时，使用特殊用户权限，你就可以授予这种删除和禁用帐号权限并**创建用户或是更改许可等这些活动的权限了。

　　技巧七：反复检查你的防火墙
　　我们的最后一个技巧包括仔细检查你防火墙的设置。你的防火墙是网络的一个重要部分因为它将你公司的计算机同互联网上那些可能对它们造成损坏的蛊惑仔们隔离开来。
　　你首先要做的事情是确保防火墙不会向外界开放超过必要的任何IP地址。你总是至少要让一个IP地址对外界可见。这个IP地址被使用来进行所有的互联网通讯。如果你还有DNS注册的Web服务器或是电子邮件服务器，它们的IP地址也许也要通过防火墙对外界可见。但是，工作站和其他服务器的IP地址必须被隐藏起来。
　　你还可以查看端口列表验证你已经关闭了所有你并不常用的端口地址。例如，TCP/IP 端口80用于HTTP通讯，因此你可能并不想堵掉这个端口。但是，你也许永远都不会用端口81因此它应该被关掉。你可以在Internet上找到每个端口使用用途的列表。
世纪创联 专业服务器租用托管虚拟主机 百兆独享1.5万/年 送托管
18机房零利润 专业提供服务器租用托管虚拟主机 代理免费加入
托管2800元/年 年付租用送产权4900元起 手机:15824803750 何炜华
MSN [email protected] QQ:9142074