当前位置: 首页 > article >正文

Windows和Linux安全配置和加固

一.A模块基础设施设置/安全加固

A-1.登录加固

1.密码策略

a.最小密码长度不少于8个字符,将密码长度最小值的属性配置界面截图。

练习用的WindowsServer2008,系统左下角开始 > 管理工具 > 本地安全策略 > 账户策略 > 密码策略 > 密码最小长度,如下图👇。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-EYellYUc-1666224310515)(/images/wordimage/2022/1018/mimachangdu.png)]

b.密码策略必须同时满足大小写字母、数字、特殊字符,将密码必须符合复杂性要求的属性配置界面截图

和上面一样的地方,如下图👇。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-XDFzmqj9-1666224310516)(/images/wordimage/2022/1018/fuzadu.png)]


2.登录策略

a.在用户登录系统时,应该有“For authorized users only”提示信息,将登录系统时系统弹出警告信息窗口截图;

和上面一样只不过变成了,系统左下角开始 > 管理工具 > 本地安全策略 > 本地策略 > 安全选项 > 交互式登录xx,如下图。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-73LmeXz0-1666224310516)(/images/wordimage/2022/1018/jiaohu.png)]

b.一分钟内仅允许5次登录失败的尝试,超过5次,登录帐号锁定1分钟,将账户锁定策略配置界面截图;

位置和上面一样,具体参考下图。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-lZggdewp-1666224310517)(/images/wordimage/2022/1018/suoding.png)]

c.远程用户非活动会话连接超时应小于等于5分钟,将RDP-Tcp属性对应的配置界面截图。

键盘win + r之后输入tsconfig.msc,之后打开RDP-TCP属性,之后如下图设置。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-6Os8mgBH-1666224310517)(/images/wordimage/2022/1018/tsconfig.png)]


3.用户安全管理(Web)

a.对服务器进行远程管理安全性SSL加固,防止敏感信息泄露被监听,将RDP-Tcp属性对应的配置界面截图;

键盘win + r之后输入tsconfig.msc,之后打开RDP-TCP属性,之后如下图设置。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-NOWHK7fJ-1666224310517)(/images/wordimage/2022/1018/SSL.png)]

b.仅允许超级管理员账号关闭系统,将关闭系统属性的配置界面截图。

和上面一样,具体如下图查看👇。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-HNROPWhI-1666224310518)(/images/wordimage/2022/1018/guanbixitong.png)]


A-2.Web安全加固(Web)

1.数据库加固

1.为了防止web中.mdb数据库文件非法下载,请对Web配置文件进行安全加固,将C:\Windows\System32\inetsrv\config\applicationHost配置文件中对应的部分截图;

根据题目打开路径文件,然后找到如下图行列修改,把false修改为true。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-c2KzwpGb-1666224310518)(/images/wordimage/2022/1018/mdbtrue.png)]


2.限制目录

2.限制目录执行权限,对picture和upload目录设置执行权限为无,将编辑功能权限的配置界面截图;

左下角开始 > 管理工具 > IIS管理器选择pictureupload,选择处理程序映射,之后在选项卡右边有编辑功能选项,如下图👇。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-jLGpmp65-1666224310519)(/images/wordimage/2022/1018/picture.png)]

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Jw3JUjkv-1666224310520)(/images/wordimage/2022/1018/upload.png)]


3.日志审计记录

3.开启IIS的日志审计记录(日志文件保存格式为W3C,只记录日期、时间、客户端IP地址、用户名、方法),将W3C日志记录字段的配置界面截图;

打开IIS管理器,选择默认网站,选择日志选项,具体操作如下图👇。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-6eBuB3Kg-1666224310520)(/images/wordimage/2022/1018/W3Clog.png)]


4.减轻网站负载

4.为了减轻网站负载,设置网站最大并发连接数为1000,将编辑网站限制的配置界面截图;

打开IIS管理器,选择默认网站,找到右边选项卡限制,具体操作如下图。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-tNzQ85Ap-1666224310520)(/images/wordimage/2022/1018/xianzhi.png)]


5.防止文件枚举

5.防止文件枚举漏洞枚举网络服务器根目录文件,禁止IIS短文件名泄露,将配置命令截图;

命令是:

FSUTIL 8dot3name set 1

 
 

    如下图。

    [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-nMRU2TxM-1666224310521)(/images/wordimage/2022/1018/8t3.png)]


    6.关闭IIS的WebDAV功能

    6.关闭IIS的WebDAV功能增强网站的安全性,将警报提示信息截图。

    打开IIS管理器,选择默认网站,选择WebDAV创作规则,然后关闭,具体操作如下图。

    [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-nqaJpSDO-1666224310521)(/images/wordimage/2022/1018/WebDAV.png)]


    A-3.流量完整性保护与事件监控(Web,Log)

    1.证书登陆SSH

    1.为了防止密码在登录或者传输信息时被窃取,仅使用证书登录SSH(Log),将/etc/ssh/sshd_config配置文件中对应的部分截图;

    打开LogLinux机器,按照题目要求打开路径具体操作如下图。

    [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ja01o4Xd-1666224310522)(/images/wordimage/2022/1018/linxpassword.png)]


    2.开启审核策略

    2.将Web服务器开启审核策略

    登录事件 成功/失败;

    特权使用 成功;

    策略更改 成功/失败;

    进程跟踪 成功/失败;

    将审核策略的配置界面截图;

    打开windows机器,开始 > 管理工具 > 本地安全策略 > 本地策略 > 审核策略,具体操作如下图。

    [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-COygsqb3-1666224310523)(/images/wordimage/2022/1018/shenhe.png)]


    3.配置Splunk

    3.配置Splunk接收Web服务器,安全日志,系统日志,CPU负载,内存,磁盘空间,网络状态。将转发器:部署成功的页面截图。

    参考别人文章:配置Splunk


    A-4.防火墙策略

    1.Windows禁用445端口

    1.Windows系统禁用445端口,将防火墙入站规则截图;

    打开Windows高级防火墙,新建规则,具体操作如下图。

    [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-60xsf6hh-1666224310523)(/images/wordimage/2022/1018/port.png)]

    [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-WJjTRni9-1666224310524)(/images/wordimage/2022/1018/445.png)]

    [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-U1d1jrd0-1666224310524)(/images/wordimage/2022/1018/zuzhulianjie.png)]

    之后一路下一步下一步,名称取名字即可。


    2.linux禁用端口

    2.Linux系统禁用23端口,将iptables配置命令截图

    命令是:

    iptables -A INPUT -p tcp --dport 23 -j DROP
    
     
     

      具体如下图。

      [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-QIEylZx1-1666224310525)(/images/wordimage/2022/1018/closer23port.png)]


      3.Linux禁Ping

      3.Linux系统禁止别人ping通,将iptables配置命令截图;

      命令是:

      iptables -A INPUT -p icmp --icmp-type 8 -j DROP
      
       
       

        具体如下图。

        [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-wy6758Ms-1666224310525)(/images/wordimage/2022/1018/jinzhiping.png)]


        4.Linux只允许某IP连接

        4.Linux系统为确保安全禁止所有人连接SSH除了172.16.1.1这个ip,将iptables配置命令截图。

        命令是:

        iptables -A INPUT -p tcp --dport 22 -s 172.16.1.1 -j ACCEPT
        iptables -A INPUT -p tcp --dport 22 -j DROP
        
         
         
        • 2

        具体如下图。

        [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-6TTVXbGX-1666224310526)(/images/wordimage/2022/1018/iplinux.png)]


        A-5.Windows操作系统安全配置

        请对服务器WindowsServer按要求进行相应的设置,提高服务器的安全性。

        其实和上面的配置差不多,但是还是写吧。

        1.密码策略

        1.设置密码策略必须同时满足大小写字母、数字、特殊字符,最小密码长度不少于8个字符,密码最长使用期限为15天。将服务器上密码策略配置信息截图;

        开始 > 管理工具 > 本地安全策略 > 密码策略,具体如下图。

        [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Vg0UYVox-1666224310527)(/images/wordimage/2022/1018/passwordsetting.png)]

        [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-S0yNSzpv-1666224310527)(/images/wordimage/2022/1018/minpassword.png)]

        [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-aZx4Qp3q-1666224310527)(/images/wordimage/2022/1018/maxpasswordday.png)]


        2.登录提示信息

        2.在用户登录系统时,应该有“For authorized users only”提示信息,将登录系统时系统弹出警告信息窗口截图;

        开始 > 管理工具 > 本地安全策略 > 安全选项 > 交互式登录,具体如下图。

        [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-hqroQwJ7-1666224310528)(/images/wordimage/2022/1018/denglujiaoh.png)]

        [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-mWFvXC2e-1666224310528)(/images/wordimage/2022/1018/tishi.png)]


        3.允许登录失败5次

        3.一分钟内仅允许5次登录失败的尝试,超过5次,登录帐号锁定1分钟,将账号锁定策略配置信息截图;

        开始 > 管理工具 > 本地安全策略 > 账户策略 > 账户锁定策略,具体如下图。

        [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-f552ECIj-1666224310529)(/images/wordimage/2022/1018/passwordcelue.png)]


        4.设置RDP-TCP

        4.设置远程桌面用户非活动会话连接超时应小于等于5分钟,将RDP-Tcp属性对应的配置界面截图;

        win + r输入tsconfig.msc,选择RDP-TCP属性,具体操作如下图。

        [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-TVw9IOrW-1666224310530)(/images/wordimage/2022/1018/zuixiao.png)]


        5.通过SSL加密服务器远程桌面

        和上面一样的位置,具体操作如下图。

        [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-bj6m0p28-1666224310530)(/images/wordimage/2022/1018/SSLsetting.png)]


        6.只允许超级管理员关闭系统

        6.仅允许超级管理员账号关闭系统,将关闭系统属性的配置界面截图;

        开始 > 管理工具 > 本地安全策略 > 本地策略 > 用户权限分配,具体如下图。

        [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ecgY56ZW-1666224310531)(/images/wordimage/2022/1018/poweroffsystem.png)]


        7.开启IIS的日志审计记录

        7.开启IIS的日志审计记录,日志文件保存格式为W3C,只记录日期、时间、客户端IP地址、用户名、服务器端口、方法,将W3C日志记录字段的配置界面截图;

        打开IIS管理器,选择默认网站,选择日志,具体操作如下图。

        [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-eRsgBEkE-1666224310531)(/images/wordimage/2022/1018/rizhi.png)]


        8.设置网站最大并发连接

        8.设置网站的最大并发连接数为1000,网站连接超时为60s,将编辑网站限制的配置界面截图;

        在管理工具打开IIS管理器,选择默认网站,选择右边限制,具体操作如下图。

        [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-NX7HaIG6-1666224310532)(/images/wordimage/2022/1018/bingfa.png)]


        9.禁用缓存

        9.禁用IIS内核缓存,避免对方利用ms15_034漏洞进行DOS攻击,出现蓝屏的现象,将编辑输出缓存设置的配置界面截图;

        在管理工具打开IIS管理器,选择默认网站,选择输出缓存,右边菜单选择编辑功能设置,具体如下图。

        [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Pac5YS2X-1666224310532)(/images/wordimage/2022/1018/huancun.png)]


        10.设置某用户特定时间登录

        10.设置user1用户只能在上班时间(周一至周五的9:00~18:00)可以登录。将user1的登录时间配置界面截图。

        需要输入命令,创建用户命令是:

        net user 用户名 密码 /add
        
         
         

          题目要求的命令是。

          net user user1 /times:M-F,9:00-18:00
          
           
           

            具体如下图。

            [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-xRxehks5-1666224310533)(/images/wordimage/2022/1018/netuser.png)]


            A-6.Linux操作系统安全配置

            1.设置禁止使用最近用过旧密码

            1.设置禁止使用最近用过的6个旧密码,将配置文件中对应的部分截图;

            打开机器,对应文件在/etc/pam.d/system-auth里面,使用vim打开,命令如下。

            vim /etc/pam.d/system-auth
            
             
             

              具体修改如下图,最后wq保存退出

              [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-YQosVwy8-1666224310533)(/images/wordimage/2022/1018/rember.png)]


              2.设置密码复杂程度

              设置密码复杂程度,允许重试3次,新密码必须与旧密码有4位不同,最小位数6位,大写字母至少包含2位,小写字母
              至少包含3位,特殊字母个数至少包含1位,将配置文件中对应的部分截图;

              首先严谨一点,Linux修改这些位置的地方有两个,第一个是在/etc/login.defs下面,如下图。

              [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-jHo3UE1M-1666224310534)(/images/wordimage/2022/1018/PASSxiugai.png)]

              PASS_MAX_DAYS   90        # 密码最长过期天数
              PASS_MIN_DAYS   80       # 密码最小过期天数
              PASS_MIN_LEN    10      # 密码最小长度
              PASS_WARN_AGE   7       # 密码过期警告天数
              
               
               

                第二种方法才是题目需要的方法,位置在/etc/pam.d/system-auth,修改位置如下图。

                [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-oKvA3ljZ-1666224310534)(/images/wordimage/2022/1018/passx.png)]


                3.禁止匿名用户登录vsftpd

                3.禁止匿名用户登录vsftpd服务,将配置文件中对应的部分截图;

                vsftpd服务配置在路径/etc/vsftpd/vsftpd.conf,具体修改位置如下图。

                [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Rp1EoDjP-1666224310535)(/images/wordimage/2022/1018/vsftpd.png)]


                4.设置关闭ftp-data端口

                4.设置关闭ftp-data端口不使用主动模式,使用ipv4进行监听,将配置文件中对应的部分截图;

                需要修改的文件路径是/etc/vsftpd/vsftpd.conf,具体看下图。

                [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-IRQ1wAbi-1666224310535)(/images/wordimage/2022/1018/buzhudong.png)]

                [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-DoClbvHr-1666224310536)(/images/wordimage/2022/1018/IPV4jianting.png)]


                5.修改Telnet端口
                1. 将Telnet服务的端口号修改为2323 ,查看Telnet服务端口信息,将回显结果截图;

                环境有问题,怎么也不行,就在网上找了文章修改Telnet端口


                6.限制Telnet用户连接

                6.限制Telnet用户连接,单个IP允许的最大连接数为1,总的最大连接数为10,将配置文件中对应的部分截图;

                环境问题,参考文章限制Telnet用户连接还有这个限制Telnet用户连接。


                7.允许root用户通过SSH

                7.允许root用户通过SSH远程登录,将配置文件中对应的部分截图;

                修改路径在/etc/ssh/sshd_config具体如下图

                [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-6lOcAmcE-1666224310536)(/images/wordimage/2022/1018/PermitRootlogin.png)]


                8.SSH设置RSA证书登录

                8.配置SSH服务,设置RSA证书登录,将配置文件中对应的部分截图;

                参考文章Centos7 ssh配置RSA证书登录。


                9.修改httpd服务为root权限

                9.修改网站的httpd服务为root权限,将配置文件中对应的部分截图;

                修改路径在/etc/httpd/conf/httpd.conf,具体修改如下图。

                [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-GIFjXL17-1666224310537)(/images/wordimage/2022/1018/httproot.png)]


                10.设置HTTP服务

                10.设置HTTP服务,修改网站的配置文件,配置滚动日志按天记录网站的访问日志和错误日志,将配置文件中对应的部分截图。

                无。


                http://www.kler.cn/a/449907.html

                相关文章:

              • Kafka快速扫描
              • uniapp跨平台开发---webview调用app方法
              • linux socket编程之udp_dict_serve服务端--引入配置文件
              • Android修行手册 - 移动端几种常用动画方案对比
              • 数学竞赛网站:构建互动学习的网络平台
              • Cline 3.0发布:从AI编程助手到通用智能体平台的进化
              • [Effective C++]条款38-39 复合和private继承
              • IT运维的365天--021 服务器上的dns设置后不起作用
              • aws(学习笔记第十九课) 使用ECS和Fargate进行容器开发
              • 云计算中的容器技术(如Docker)是什么?
              • 一些elasticsearch重要概念与配置参数
              • webview和H5来实现的android短视频(短剧)音视频播放依赖控件
              • 动手学深度学习11.2. 凸性-笔记练习(PyTorch)
              • 一篇文章学会HTML
              • 最适合智能体的身份认证技术:对比OpenID Connect、API keys、did:wba
              • 类class:继承类后同名方法是覆盖还是去哪了呢,类中this指向问题等
              • 汽车IVI中控开发入门及进阶(44):杰发科智能座舱芯片
              • 【CSS】优化动画性能
              • rk3568制冷项目驱动开发流程汇总(只适用于部分模块CIF DVP等,自用)
              • 【计算机视觉基础CV-图像分类】05 - 深入解析ResNet与GoogLeNet:从基础理论到实际应用
              • 【时间之外】IT人求职和创业应知【74】-运维机器人
              • 基于微信小程序的国产动漫论坛系统
              • css让按钮放在最右侧
              • 初学stm32 --- NVIC中断
              • logback日志控制台打印与写入文件
              • 如何训练Stable Diffusion 模型