目錄

• 系統(tǒng)更新配置
• 更換Windows更新服務(wù)器
• 啟用并允許自動(dòng)更新
• 系統(tǒng)賬號(hào)安全
• 設(shè)置賬號(hào)安全策略
• 檢查并優(yōu)化賬號(hào)
• 禁止系統(tǒng)自動(dòng)登錄
• 遠(yuǎn)程訪問(wèn)安全
• 更改遠(yuǎn)程終端默認(rèn)3389端口
• 將遠(yuǎn)程關(guān)機(jī)、本地關(guān)機(jī)和用戶(hù)權(quán)限分配只授權(quán)給Administrtors組
• 將遠(yuǎn)程登錄賬戶(hù)設(shè)置為具體的管理員賬號(hào)
• 系統(tǒng)網(wǎng)絡(luò)安全
• 關(guān)閉不需要的服務(wù)
• 關(guān)閉“同步主機(jī)_xxx”服務(wù)
• 關(guān)閉IPC共享
• 關(guān)閉139端口（Netbios服務(wù)）、445端口、5355端口（LLMNR）
• 網(wǎng)絡(luò)訪問(wèn)限制
• 日志審計(jì)
• 增強(qiáng)日志記錄
• 增強(qiáng)審核
• 開(kāi)啟并設(shè)置防火墻
• 開(kāi)啟或關(guān)閉Windows防火墻
• 允許特定的端口訪問(wèn)
• 關(guān)閉ICMP（禁ping）
• 其它安全設(shè)置
• 設(shè)置屏保，使本地攻擊者無(wú)法直接恢復(fù)桌面控制
• 關(guān)閉Windows自動(dòng)播放功能
• 禁用IPV6。看操作。
• 小編補(bǔ)充

話說(shuō)跟2008的服務(wù)器安全設(shè)置很像

系統(tǒng)更新配置

更換Windows更新服務(wù)器

如果你覺(jué)得默認(rèn)的Windows更新服務(wù)器比較慢，或者如果選擇了阿里云或騰訊云服務(wù)器的話，可以更換Windows服務(wù)器。

右鍵開(kāi)始菜單圖標(biāo)，選擇“運(yùn)行”，然后輸入gpedit.msc，依次選擇 “計(jì)算機(jī)配置” - “管理模板” - “Windows 組件” - “Windows 更新”，雙擊“指定 Intranet Microsoft 更新服務(wù)位置”：

選中 已啟用，然后設(shè)置檢測(cè)更新的Intranet更新服務(wù)和統(tǒng)計(jì)服務(wù)器，如果是阿里云經(jīng)典網(wǎng)絡(luò)可以設(shè)置成 http://windowsupdate.aliyun-inc.com，阿里云VPC網(wǎng)絡(luò)可以設(shè)置成 http://update.cloud.aliyuncs.com，騰訊云可以設(shè)置成 http://windowsupdate.tencentyun.com，備用下載服務(wù)器設(shè)置成 http://wsus.neu.edu.cn。

啟用并允許自動(dòng)更新

雙擊“允許自動(dòng)更新立即安裝”，選擇“已啟用”啟用自動(dòng)更新。然后雙擊“配置自動(dòng)更新”，選中“已啟用”并配置成“自動(dòng)下載并通知安裝”，如下圖：

設(shè)置完上述兩步之后，需要以管理員角色執(zhí)行下面的命令：

gpupdate /force

解決執(zhí)行自動(dòng)更新時(shí)出現(xiàn)的 0x8024401f 和 0x8024401c 錯(cuò)誤
完成上述操作之后，選擇開(kāi)始菜單-設(shè)置，執(zhí)行檢查更新，檢查一下是否正常。
如果出現(xiàn) 0x8024401f 或 0x8024401c 錯(cuò)誤的話，以管理員身份執(zhí)行下面的命令：

net stop wuauserv
reg delete HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate
net start wuauserv

系統(tǒng)賬號(hào)安全

設(shè)置賬號(hào)安全策略

在“運(yùn)行”中執(zhí)行secpol.msc命令，打開(kāi)“本地安全策略”，進(jìn)行如下設(shè)置：
（1）“賬戶(hù)設(shè)置”-“密碼策略”
設(shè)置合適的密碼復(fù)雜度，增強(qiáng)密碼的強(qiáng)度。參考設(shè)置如下：

（2）“賬戶(hù)設(shè)置”-“賬戶(hù)鎖定策略”
設(shè)置賬號(hào)密碼出錯(cuò)之后的鎖定時(shí)間，需要先設(shè)置“賬戶(hù)鎖定閥值”才能設(shè)置其他兩項(xiàng)，參考設(shè)置如下：

（3）“本地策略”-“安全選項(xiàng)”
將“交互式登錄: 不顯示最后的用戶(hù)名”設(shè)置為“啟用”狀態(tài)。

檢查并優(yōu)化賬號(hào)

將賬戶(hù)安全設(shè)置完成之后，再對(duì)系統(tǒng)的賬號(hào)進(jìn)行優(yōu)化。在“運(yùn)行”中執(zhí)行compmgmt.msc命令，打開(kāi)“計(jì)算機(jī)管理”，然后在“系統(tǒng)工具”-“本地用戶(hù)和組”-“用戶(hù)”中查看是否有不用的賬戶(hù)，將不用的賬戶(hù)刪除或停用。除此之外，還要在命令行中使用 net user 命令查看一遍有沒(méi)有多余的賬號(hào)（有的賬號(hào)會(huì)在計(jì)算機(jī)管理中隱藏），可以使用 net user <username> /del 命令刪除對(duì)應(yīng)的賬號(hào)。

將默認(rèn)的管理員用戶(hù)名 Administrator 進(jìn)行重命名，并且建議重新設(shè)置新的管理員密碼。

禁止系統(tǒng)自動(dòng)登錄

系統(tǒng)休眠重新激活之后，需要密碼才能登錄系統(tǒng)。在“運(yùn)行”中輸入 control userpasswords2，打開(kāi)“用戶(hù)賬戶(hù)”，然后啟用“要是用本機(jī)，用戶(hù)必須輸入用戶(hù)名和密碼”的選項(xiàng)。

遠(yuǎn)程訪問(wèn)安全

更改遠(yuǎn)程終端默認(rèn)3389端口

將默認(rèn)的遠(yuǎn)程終端端口3389修改成其他的端口。運(yùn)行regedit打開(kāi)注冊(cè)表程序，需要修改注冊(cè)表的兩個(gè)地方：

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\Wds\repwd\Tds\tcp
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp

將上述兩個(gè)地方右側(cè) PortNumber的值修改成新的端口號(hào)（建議將基數(shù)設(shè)置為十進(jìn)制）：

設(shè)置完成之后關(guān)閉注冊(cè)表，然后重啟服務(wù)器之后即可生效。如果設(shè)置防火墻的話，注意新端口加入防火墻的白名單中。

將遠(yuǎn)程關(guān)機(jī)、本地關(guān)機(jī)和用戶(hù)權(quán)限分配只授權(quán)給Administrtors組

在“運(yùn)行”中執(zhí)行secpol.msc，打開(kāi)“本地安全策略”窗口，依次打開(kāi)“本地策略”-“用戶(hù)權(quán)限分配”。
（1）雙擊右側(cè)的“從遠(yuǎn)程系統(tǒng)強(qiáng)制關(guān)機(jī)”，只保留“Administrators組”并將其他用戶(hù)組刪除；
（2）雙擊右側(cè)的“關(guān)閉系統(tǒng)”，只保留“Administrators組”并將其他用戶(hù)組刪除；
（3）雙擊右側(cè)的“取得文件或其它對(duì)象的所有權(quán)”，只保留“Administrators組”并將其他用戶(hù)組刪除；

將遠(yuǎn)程登錄賬戶(hù)設(shè)置為具體的管理員賬號(hào)

指定特定的管理員賬號(hào)而不是Administrtors組，將增強(qiáng)登錄系統(tǒng)的安全性，就算通過(guò)漏洞創(chuàng)建了Administrtors組的賬號(hào)，也無(wú)法登錄系統(tǒng)。

在“運(yùn)行”中執(zhí)行secpol.msc，打開(kāi)“本地安全策略”窗口，依次打開(kāi)“本地策略”-“用戶(hù)權(quán)限分配”。雙擊右側(cè)的“從網(wǎng)絡(luò)訪問(wèn)此計(jì)算機(jī)”，將所有的用戶(hù)組刪除，然后點(diǎn)擊下面的“添加用戶(hù)或組...”按鈕，點(diǎn)擊“高級(jí)”按鈕，然后點(diǎn)擊“立即查詢(xún)”按鈕，從查詢(xún)的結(jié)果中選擇管理員的賬號(hào)，然后依次確定保存；

系統(tǒng)網(wǎng)絡(luò)安全

關(guān)閉不需要的服務(wù)

在“運(yùn)行”中執(zhí)行 services.msc 命令，打開(kāi)“服務(wù)”，根據(jù)情況建議將以下服務(wù)改為禁用：

Application Layer Gateway Service（為應(yīng)用程序級(jí)協(xié)議插件提供支持并啟用網(wǎng)絡(luò)/協(xié)議連接）
Background Intelligent Transfer Service（利用空閑的網(wǎng)絡(luò)帶寬在后臺(tái)傳輸文件。如果服務(wù)被停用，例如Windows Update 和 MSN Explorer的功能將無(wú)法自動(dòng)下載程序和其他信息）
Computer Browser（維護(hù)網(wǎng)絡(luò)上計(jì)算機(jī)的更新列表，并將列表提供給計(jì)算機(jī)指定瀏覽）
DHCP Client
Diagnostic Policy Service
Distributed Link Tracking Client
Distributed Transaction Coordinator
DNS Client
Print Spooler（管理所有本地和網(wǎng)絡(luò)打印隊(duì)列及控制所有打印工作）
Remote Registry（使遠(yuǎn)程用戶(hù)能修改此計(jì)算機(jī)上的注冊(cè)表設(shè)置）
Server（不使用文件共享可以關(guān)閉，關(guān)閉后再右鍵點(diǎn)某個(gè)磁盤(pán)選屬性，“共享”這個(gè)頁(yè)面就不存在了）
Shell Hardware Detection
TCP/IP NetBIOS Helper（提供 TCP/IP (NetBT) 服務(wù)上的NetBIOS 和網(wǎng)絡(luò)上客戶(hù)端的NetBIOS 名稱(chēng)解析的支持，從而使用戶(hù)能夠共享文件、打印和登錄到網(wǎng)絡(luò)）
Task Scheduler（使用戶(hù)能在此計(jì)算機(jī)上配置和計(jì)劃自動(dòng)任務(wù)）
Windows Remote Management(47001端口，Windows遠(yuǎn)程管理服務(wù)，用于配合IIS管理硬件，一般用不到)
Workstation（創(chuàng)建和維護(hù)到遠(yuǎn)程服務(wù)的客戶(hù)端網(wǎng)絡(luò)連接。如果服務(wù)停止，這些連接將不可用）

關(guān)閉“同步主機(jī)_xxx”服務(wù)

Windows 2016中有一個(gè)“同步主機(jī)_xxx”的服務(wù)，后面的xxx是一個(gè)數(shù)字，每個(gè)服務(wù)器不同。需要手動(dòng)關(guān)閉，操作如下：
首先在“運(yùn)行”中執(zhí)行regedit打開(kāi)注冊(cè)表，然后在 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services 下面找到 OneSyncSvc、OneSyncSvc_xxx、UserDataSvc和UserDataSvc_xxx四個(gè)項(xiàng)，依次將其中的 start 值修改為4，退出注冊(cè)表然后重啟服務(wù)器即可。

關(guān)閉IPC共享

如果在上面停止并禁用 Server服務(wù)的話就不會(huì)出現(xiàn)IPC共享了，執(zhí)行 net share 命令之后會(huì)提示“沒(méi)有啟動(dòng)Server服務(wù)”，否則會(huì)類(lèi)似C$、D$等默認(rèn)共享，可以使用 net share C$ /del 命令進(jìn)行刪除。

在注冊(cè)表中找到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters，在右側(cè)空白處右鍵，依次選擇“新建”-“DWORD項(xiàng)”,名稱(chēng)設(shè)置為AutoShareServer，鍵值設(shè)置為0。

關(guān)閉139端口（Netbios服務(wù)）、445端口、5355端口（LLMNR）

（1）關(guān)閉139端口
依次打開(kāi)“控制面板”-“查看網(wǎng)絡(luò)狀態(tài)和任務(wù)”，然后點(diǎn)擊左側(cè)的“更改適配器設(shè)置”，在網(wǎng)絡(luò)連接中雙擊激活的網(wǎng)卡，點(diǎn)擊“屬性”按鈕，雙擊“Internet 協(xié)議版本 4（TCP/IPv4）”，在打開(kāi)的窗口中點(diǎn)擊右下角的“高級(jí)”按鈕，然后選擇上面的“WINS”標(biāo)簽，在“NetBIOS設(shè)置”中選擇“禁用 TCP/IP上的NetBIOS”，最后依次“確定”。

關(guān)閉此功能，你服務(wù)器上所有共享服務(wù)功能都將關(guān)閉，別人在資源管理器中將看不到你的共享資源。這樣也防止了信息的泄露。

（2）關(guān)閉445端口

445端口是netbios用來(lái)在局域網(wǎng)內(nèi)解析機(jī)器名的服務(wù)端口，一般服務(wù)器不需要對(duì)LAN開(kāi)放什么共享，所以可以關(guān)閉。打開(kāi)注冊(cè)表，在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters位置，在右側(cè)右鍵并依次選擇“新建”-“Dword值”，名稱(chēng)設(shè)置為SMBDeviceEnabled，值設(shè)置為0。

（3）關(guān)閉5355端口（LLMNR）

LLMNR本地鏈路多播名稱(chēng)解析，也叫多播DNS，用于解析本地網(wǎng)段上的名稱(chēng)，可以通過(guò)組策略關(guān)閉將其關(guān)閉。打開(kāi)“運(yùn)行”，輸入gpedit.msc打開(kāi)“本地組策略編輯器”，依次選擇“計(jì)算機(jī)配置”-“管理模板”-“網(wǎng)絡(luò)”-“DNS客戶(hù)端”，在右側(cè)雙擊“關(guān)閉多播名稱(chēng)解析”項(xiàng)，然后設(shè)置為“已禁用”。

網(wǎng)絡(luò)訪問(wèn)限制

在“運(yùn)行”中執(zhí)行 secpol.msc 打開(kāi)“本地安全策略”，打開(kāi)“安全設(shè)置”-“本地策略”-“安全選項(xiàng)”，設(shè)置下面的策略：

網(wǎng)絡(luò)訪問(wèn): 不允許 SAM 帳戶(hù)的匿名枚舉：已啟用
網(wǎng)絡(luò)訪問(wèn): 不允許 SAM 帳戶(hù)和共享的匿名枚舉：已啟用
網(wǎng)絡(luò)訪問(wèn): 將 Everyone 權(quán)限應(yīng)用于匿名用戶(hù)：已禁用
帳戶(hù): 使用空白密碼的本地帳戶(hù)只允許進(jìn)行控制臺(tái)登錄：已啟用

設(shè)置完成之后，在命令行（管理員身份）中執(zhí)行 gpupdate /force 使其立即生效。

日志審計(jì)

增強(qiáng)日志記錄

增大日志量大小，避免由于日志文件容量過(guò)小導(dǎo)致日志記錄不全。在“運(yùn)行”中執(zhí)行eventvwr.msc命令，打開(kāi)“事件查看器”窗口，打開(kāi)“Windows 日志”文件，分別右鍵下面的“應(yīng)用程序”、“安全”和“系統(tǒng)”項(xiàng)，選擇“屬性”，修改“日志最大大小”為 20480。

增強(qiáng)審核

對(duì)系統(tǒng)事件進(jìn)行記錄，在日后出現(xiàn)故障時(shí)用于排查審計(jì)。在“運(yùn)行”中執(zhí)行secpol.msc命令，打開(kāi)“本地安全策略”窗口，依次選擇“安全設(shè)置”-“本地策略”-“審核策略”，建議將里面的項(xiàng)目設(shè)置如下：

審核策略更改：成功
審核登錄事件：成功，失敗
審核對(duì)象訪問(wèn)：成功
審核進(jìn)程跟蹤：成功，失敗
審核目錄服務(wù)訪問(wèn)：成功，失敗
審核系統(tǒng)事件：成功，失敗
審核帳戶(hù)登錄事件：成功，失敗
審核帳戶(hù)管理：成功，失敗

上面的項(xiàng)目設(shè)置成功之后，在“運(yùn)行”中執(zhí)行 gpupdate /force 命令使設(shè)置立即生效。

開(kāi)啟并設(shè)置防火墻

如果使用了云服務(wù)器（如阿里云、騰訊云等），云服務(wù)商會(huì)提供一個(gè)防火墻工具，通常是放在路由級(jí)別的，使用起來(lái)更方便，如果誤操作的話也不會(huì)將自己排除在服務(wù)器上，因此建議優(yōu)先采用云服務(wù)商提供的防火墻。

開(kāi)啟或關(guān)閉Windows防火墻

打開(kāi)“控制面板”，依次選擇“系統(tǒng)和安全”-“Windows防火墻”，選擇左側(cè)的“啟用或關(guān)閉Windows防火墻”，根據(jù)需要選擇啟用或關(guān)閉Windows防火墻。如果采用了云服務(wù)商提供的防火墻的話，建議將Windows防火墻關(guān)閉。PS:開(kāi)啟防火墻之前需要允許遠(yuǎn)程登錄的端口訪問(wèn)，否則遠(yuǎn)程連接會(huì)中斷！

允許特定的端口訪問(wèn)

這里以Windows防火墻為例進(jìn)行說(shuō)明（其實(shí)云服務(wù)商提供的防火墻規(guī)則是類(lèi)似的），前提是防火墻是啟用的。在“運(yùn)行”中執(zhí)行 WF.msc 打開(kāi)“高級(jí)安全 Windows 防火墻”，點(diǎn)擊左側(cè)的“入站規(guī)則”，然后點(diǎn)擊右側(cè)的“新建規(guī)則...”打開(kāi)“新建入站規(guī)則向?qū)А贝翱冢x擇“端口”然后點(diǎn)擊“下一步”按鈕；端口類(lèi)型選擇“TCP”，下面選擇“特定本地端口”，里面輸入設(shè)置的遠(yuǎn)程登錄端口以及Web端口，如：80, 433, 3389，然后點(diǎn)擊“下一步”按鈕；選擇“允許連接”，然后點(diǎn)擊“下一步”按鈕；選中所有的選項(xiàng)，然后點(diǎn)擊“下一步”；最后輸入一個(gè)規(guī)則的名稱(chēng)，比如“允許遠(yuǎn)程連接和Web服務(wù)”，最后點(diǎn)擊“完成”保存。

關(guān)閉ICMP（禁ping）

按照上面的步驟打開(kāi)“高級(jí)安全 Windows 防火墻”并選中左側(cè)的“入站規(guī)則”，從默認(rèn)的規(guī)則里面雙擊“文件和打印機(jī)共享(回顯請(qǐng)求 - ICMPv4-In)”，在“常規(guī)”中選中“已啟用”，并在“操作”中選中“阻止連接”，最后“確定”保存即可。

其它安全設(shè)置

設(shè)置屏保，使本地攻擊者無(wú)法直接恢復(fù)桌面控制

打開(kāi)“控制面板”，依次進(jìn)入“外觀和個(gè)性化”-“個(gè)性化”-“屏幕保護(hù)程序”，選擇某一個(gè)屏保，然后選中“在恢復(fù)時(shí)顯示登錄屏幕”，并將等待時(shí)間設(shè)置為10分鐘。

關(guān)閉Windows自動(dòng)播放功能

在“運(yùn)行”中執(zhí)行g(shù)pedit.msc命令，依次打開(kāi)“計(jì)算機(jī)配置”-“掛你模板”-“所有設(shè)置”，雙擊“關(guān)閉自動(dòng)播放”，然后選擇“已啟用”。

禁用IPV6。看操作。

在windows server 2008/2016操作系統(tǒng)下部署weblogic web application，部署完成后進(jìn)行測(cè)試，發(fā)現(xiàn)測(cè)試頁(yè)的地址使用的是隧道適配器的地址，而不是靜態(tài)的ip地址，而且所在的網(wǎng)絡(luò)并沒(méi)有ipv6接入，因此決定將ipv6和隧道適配器禁用，操作如下：
禁用ipv6很簡(jiǎn)單，進(jìn)入 控制面板\網(wǎng)絡(luò)和 Internet\網(wǎng)絡(luò)和共享中心 單擊面板右側(cè)“更改適配器設(shè)置”進(jìn)入網(wǎng)絡(luò)連接界面，選擇要設(shè)置的連接，右鍵選擇屬性，取消Internet 協(xié)議版本 6 (TCP/IPv6) 前面的選擇框確定即可。

要禁用隧道適配器需要更改注冊(cè)表信息，操作如下：
開(kāi)始 -> 運(yùn)行 - > 輸入 Regedit 進(jìn)入注冊(cè)表編輯器
定位到：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters]
右鍵點(diǎn)擊 Parameters，選擇新建 -> DWORD (32-位)值
命名值為 DisabledComponents，然后修改值為 ffffffff (16進(jìn)制)
重啟后生效
DisableComponents 值定義：
0， 啟用所有 IPv 6 組件，默認(rèn)設(shè)置
0xffffffff，禁用所有 IPv 6 組件, 除 IPv 6 環(huán)回接口
0x20， 以前綴策略中使用 IPv 4 而不是 IPv 6
0x10， 禁用本機(jī) IPv 6 接口
0x01， 禁用所有隧道 IPv 6 接口
0x11， 禁用除用于 IPv 6 環(huán)回接口所有 IPv 6 接口

OVER ! 重啟下服務(wù)器吧

小編補(bǔ)充

其實(shí)很多情況下可以參考win2008 r2 服務(wù)器的安全設(shè)置。

安裝mcafee、安全狗、護(hù)衛(wèi)神套件等。都有基本的安全設(shè)置，一鍵操作。但原理還是跟上面的一樣，但自己手工操作的更利于個(gè)人技術(shù)的提升，第一次建議手工操作，然后再用工具檢測(cè)一下。

更多的可以參考下面兩篇文章

Windows Server 2008 R2常規(guī)安全設(shè)置及基本安全策略

win2008 r2 服務(wù)器安全配置步驟小結(jié)

到此這篇關(guān)于Windows 2016 服務(wù)器安全設(shè)置的文章就介紹到這了,更多相關(guān)win2016服務(wù)器安全配置內(nèi)容請(qǐng)搜索以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持！