現(xiàn)在很多企業(yè)網(wǎng)站或個人網(wǎng)站都是選擇搭建在云服務器上，雖說這些網(wǎng)站的安全性比起搭建在傳統(tǒng)服務器上的網(wǎng)站來說是更加安全的，但平時的維護也需要我們站長多加小心，以免被惡意掛馬，導致網(wǎng)站被懲罰。

最近，換了新的云服務器，選購的是Windows Server 2008 R2的系統(tǒng)，很多安全設置就要重新做了，對于一些基本設置及基本安全策略，在網(wǎng)上搜了一下，整理大概有以下這些要點，如果有不足的設置，希望大家?guī)兔μ岢龉?/span>

首先，先說幾個比較重要的部分：

1、更改默認administrator用戶名，復雜密碼

2、開啟防火墻

3、安裝殺毒軟件

細節(jié)部分包含：

1、新做系統(tǒng)一定要先打上補丁

2、安裝必要的殺毒軟件

3、刪除系統(tǒng)默認共享

4、修改本地策略——>安全

選項

交互式登陸：不顯示最后的用戶名 啟用

網(wǎng)絡訪問：不允許SAM 帳戶和共享的匿名枚舉 啟用

網(wǎng)絡訪問: 不允許存儲網(wǎng)絡身份驗證的憑據(jù)或 .NET Passports 啟用

網(wǎng)絡訪問：可遠程訪問的注冊表路徑和子路徑 全部刪除

5、禁用不必要的服務

TCP/IP NetBIOS Helper、Server、 Distributed Link Tracking Client 、Print Spooler、Remote Registry、Workstation

6、禁用IPV6

server 2008 r2交互式登錄: 不顯示最后的用戶名

其實最重要的就是開啟防火墻+服務器安全狗（安全狗自帶的一些功能基本上都設置的差不多了）+mysql(sqlserver)低權限運行基本上就差不多了。3389遠程登錄，一定要限制ip登錄。

一、系統(tǒng)及程序

1、屏幕保護與電源

桌面右鍵--〉個性化--〉屏幕保護程序，屏幕保護程序 選擇無，更改電源設置 選擇高性能，選擇關閉顯示器的時間 關閉顯示器選“從不”保存修改。

2、配置IIS7組件、FTP7、php 5.5.7、mysql 5.6.15、phpMyAdmin 4.1.8、phpwind 9.0、ISAPI_Rewrite環(huán)境。在這里我給大家可以推薦下阿里云的服務器一鍵環(huán)境配置，全自動安裝設置很不錯的（具體可查看馬海祥博客《云主機iis_php_mysql一鍵安裝包》的相關介紹）。

二、安全配置

接下來，我們重點講一下系統(tǒng)上的安全配置，旨在指導系統(tǒng)管理人員或安全檢查人員進行Windows操作系統(tǒng)的安全合規(guī)性檢查和配置，需要的朋友可以參考下：

1、目錄權限

除系統(tǒng)所在分區(qū)之外的所有分區(qū)都賦予Administrators和SYSTEM有完全控制權，之后再對其下的子目錄作單獨的目錄權限。

2、遠程連接

我的電腦屬性--〉遠程設置--〉遠程--〉只允許運行帶網(wǎng)絡超級身份驗證的遠程桌面的計算機連接，選擇允許運行任意版本遠程桌面的計算機連接(較不安全)。備注：方便多種版本W(wǎng)indows遠程管理服務器。windows server 2008的遠程桌面連接，與2003相比，引入了網(wǎng)絡級身份驗證（NLA，network level authentication)，XP SP3不支持這種網(wǎng)絡級的身份驗證，vista跟win7支持。然而在XP系統(tǒng)中修改一下注冊表，即可讓XP SP3支持網(wǎng)絡級身份驗證。HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Control\\\\Lsa在右窗口中雙擊Security Pakeages，添加一項“tspkg”。HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Control\\\\SecurityProviders，在右窗口中雙擊SecurityProviders，添加credssp.dll；請注意，在添加這項值時，一定要在原有的值后添加逗號后，別忘了要空一格（英文狀態(tài)）。然后將XP系統(tǒng)重啟一下即可。再查看一下，即可發(fā)現(xiàn)XP系統(tǒng)已經(jīng)支持網(wǎng)絡級身份驗證。

3、修改遠程訪問服務端口

更改遠程連接端口方法，可用windows自帶的計算器將10進制轉為16進制。更改3389端口為8208，重啟生效！

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Control\\\\Terminal Server\\\\Wds\\\\rdpwd\\\\Tds\\\\tcp]

"PortNumber"=dword:0002010

[HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Control\\\\Terminal Server\\\\WinStations\\\\RDP-Tcp]

"PortNumber"=dword:00002010

（1）、在開始--運行菜單里,輸入regedit,進入注冊表編輯,按下面的路徑進入修改端口的地方

（2）、HKEY_LOCAL_MACHINE\\\\System\\\\CurrentControlSet\\\\Control\\\\Terminal Server\\\\WinStations\\\\RDP-Tcp

（3）、找到右側的 "PortNumber"，用十進制方式顯示，默認為3389，改為(例如)6666端口

（4）、HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Control\\\\Terminal Server\\\\Wds\\\\rdpwd\\\\Tds\\\\tcp

（5）、找到右側的 "PortNumber"，用十進制方式顯示，默認為3389，改為同上的端口

（6）、在控制面板--Windows 防火墻--高級設置--入站規(guī)則--新建規(guī)則

（7）、選擇端口--協(xié)議和端口--TCP/特定本地端口：同上的端口

（8）、下一步，選擇允許連接

（9）、下一步，選擇公用

（10）、下一步，名稱：遠程桌面-新(TCP-In)，描述：用于遠程桌面服務的入站規(guī)則，以允許RDP通信。[TCP 同上的端口]

（11）、刪除遠程桌面(TCP-In)規(guī)則

（12）、重新啟動計算機

4、配置本地連接

網(wǎng)絡--〉屬性--〉管理網(wǎng)絡連接--〉本地連接，打開“本地連接”界面，選擇“屬性”，左鍵點擊“Microsoft網(wǎng)絡客戶端”，再點擊“卸載”，在彈出的對話框中“是”確認卸載。點擊“Microsoft網(wǎng)絡的文件和打印機共享”，再點擊“卸載”，在彈出的對話框中選擇“是”確認卸載。

解除Netbios和TCP/IP協(xié)議的綁定139端口：打開“本地連接”界面，選擇“屬性”，在彈出的“屬性”框中雙擊“Internet協(xié)議版本（TCP/IPV4）”，點擊“屬性”，再點擊“高級”—“WINS”，選擇“禁用TCP/IP上的NETBIOS”，點擊“確認”并關閉本地連接屬性。

禁止默認共享：點擊“開始”—“運行”，輸入“Regedit”，打開注冊表編輯器，打開注冊表項“HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Services\\\\lanmanserver\\\\parameters”，在右邊的窗口中新建Dword值，名稱設為AutoShareServer，值設為“0”。

關閉 445端口：HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Services\\\\NetBT\\\\Parameters，新建 Dword（32位）名稱設為SMBDeviceEnabled 值設為“0”

5、共享和發(fā)現(xiàn)

右鍵“網(wǎng)絡” 屬性 網(wǎng)絡和共享中心  共享和發(fā)現(xiàn)。

關閉，網(wǎng)絡共享，文件共享，公用文件共享，打印機共享，顯示我正在共享的所有文件和文件夾，顯示這臺計算機上所有共享的網(wǎng)絡文件夾。

6、防火墻的設置

控制面板→Windows防火墻設置→更改設置→例外，勾選FTP、HTTP、遠程桌面服務 核心網(wǎng)絡。

HTTPS用不到可以不勾

3306：Mysql

1433：Mssql

更多服務器安全設置的內容，可以關注藍隊云技術支持庫，云服務器相關技術操作全在這里了。