一、项目和任务描述： 假定你是某企业的网络安全工程师，对于企业的服务器系统， 根据任务要求确保各服务正常运行，并通过综合运用登录安全加 固、数据库安全策略、流量完整性策略、事件监控策略、防火墙策 略、IP 协议安全配置等多种安全策略来提升服务器系统的网络安全 防御能力。本模块要求根据竞赛现场提供的 A 模块答题模板对具体 任务的操作进行截图并加以相应的文字说明，以 word 文档的形式书 写,以 PDF 格式保存，以“赛位号+模块 A”作为文件名，PDF 格式文 档为此模块评分唯一依据。
二、服务器环境说明
Windows 用户名：administrator，密码：123456
Linux 用户名：root，密码：123456
三、具体任务（每个任务得分以电子答题卡为准）
A-1 任务一 登录安全加固
1.密码策略（Windows，Linux）
a.设置最短密码长度为 15；
Windows：secpol.msc 管理工具-本地安全策略-账户策略-密码策略，设置 密码长度即可
Linux: vi /etc/login.defs
2.用户安全管理
a.设置 user1 用户只能在上班时间（周一至周五的 9:00~18:00 可以登录，将 user1 的登录时间配置界面截图；
b.在组策略中只允许管理员账号从网络访问本机；
gpedit.msc-计算机配置-Windows 设置-安全设置-本地策略-用户权限分配 -从网络访问此计算机
c.设置操作系统中的关键目录（system32、hosts、 Program Files、Perflogs）的权限为最优状态，即仅允许管理 员用户进行读取及运行。
找到文件(system32,hosts,Program Files, Perflogs) 点击属性—>安全 —->高级—>所有者—>编辑—>其他用户和组—>点击高级—>立即查找—>选择 Administrator (最高用户组)–>一路回车进行更新权限即可
A-2 任务二 数据库安全策略
3.以普通帐户 mysql 安全运行 mysql 服务，禁止 mysql 以管理 员帐号权限运行；
vi /etc/my.cnf
4.删除默认数据库(test)；
drop database test;
5.改变默认 mysql 管理员用户为:SuperRoot；
Use mysql;
update user set user="SuperRoot" where user='root';
6.使用 mysql 内置 MD5 加密函数加密用户 user1 的密码为 (P@ssw0rd1!)。
Create user user1 identified by 'P@ssw0rd1!';
update mysql.user set password=md5('P@ssw0rd1!') where user='user1';
update mysql.user set authentication_string=md5('P@ssw0rd1!') where user='user1';
A-3 任务三 流量完整性
7.对 Web 网站进行 HTTP 重定向 HTTPS 设置，仅使用 HTTPS 协议 访问网站（Windows）(注：证书颁发给 test.com 并通过 https://www.test.com 访问 Web 网站)。
A-4 任务四 事件监控
8.将 Web 服务器开启审核策略
登录事件 成功/失败；
特权使用 成功；
策略更改 成功/失败；
进程跟踪 成功/失败。
运行–secpol.msc–>本地策略–>审核策略
审核策略更改:成功,失败
审核登录事件:成功,失败
审核进程跟踪:成功,失败
审核特权使用:成功
A-5 任务五 防火墙策略
9.Windows 系统禁用 445 端口；
高级安全 Windows 防火墙–>新建规则–>规则类型 设置端口–>协议 和端口设置 tcp 和 445 或者 23–>操作设置阻止连接–>配置文件设置所有–> 名称 445 和 23 端口 
10.Windows 系统禁用 23 端口；
高级安全 Windows 防火墙–>新建规则–>规则类型设置端口–>协议和端 口设置 tcp 和 445 或者 23–>操作设置阻止连接–>配置文件设置所有–>名称 445 和 23 端口
11.Linux 系统使用 iptables 禁用 23 端口；
iptables -A INPUT -p tcp --dport 23 -j DROP
iptables -A OUTPUT -p udp --dport 23 -j DROP
12.Linux 系统使用 iptables 禁止别人 ping 通。
iptables -A INPUT -p icmp -j DROP
A-6 任务六 IP 协议安全配置
13.指定触发 SYN 洪水攻击保护所必须超过的 TCP 连接请求数阈 值为 5；
在开始->运行->键入 regedit,在注册表项 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameter s 下，值名称为 TcpMaxPortsExhausted，推荐值为 5
14.指定处于 SYN_RCVD 状态的 TCP 连接数的阈值为 500；
在开始->运行->键入 regedit,在注册表项 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameter s 下，值名称为 TcpMaxHalfOpen，推荐值为 500
15.指定处于至少已发送一次重传的 SYN_RVCD 状态中的 TCP 连 接数的阈值为 400。
在开始->运行->键入 regedit,在注册表项 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameter s 下，值名称为 TcpMaxHalfOpenRetried，推荐值为 400
A-1 任务一 登录安全加固（Windows，Linux）
1.密码策略（Windows，linux）
a.最小密码长度不少于 8 个字符;
windows: secpol.msc 在账户策略/密码策略中将密码长度最小值修改为 8
Linux: Vi /etc/pam.d/system-auth
在配置文件中找到 password requisite pam_cracklib.so try first_pass retry=3 type= 所在行 在该行末尾空一格追加 minlen=8 (注意这里不换行) 
b.密码策略必须同时满足大小写字母、数字、特殊字符。
windows: secpol.msc 在账户策略/密码策略中将密码必须符合复杂性要求修改为已启用
Linux: Vi /etc/pam.d/system-auth
在配置文件中找到 password requisite pam_cracklib.so try first_pass retry=3 type= 所在行 在该行末尾空一格追加 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1
ucredit=-1 #大写字母
lcredit=-1 #小写字母
dcredit=-1 #数字
ocredit=-1 #特殊字符
2.登录策略（Windows，linux）
a.在用户登录系统时，应该有“For authorized users only” 提示信息;
Linux：vi /etc/issue 文件添加本地登录欢迎语 For authorized users only
init 3 #验证
Windows：secpol.msc -本地策略-安全选项，“交换式登录：试图登录的 用户的消息标题 属性” 修改欢迎语。
b.一分钟内仅允许 5 次登录失败的尝试，超过 5 次，登录帐号 锁定 1 分钟；
Windows:
打开 secpol.msc; (开始菜单/管理工具(管理)/本地安全策略)
在账户策略/账户锁定策略中将账户锁定时间修改为 1 分钟;
在账户策略/账户锁定策略中将账户锁定阈值修改为 6 次;
在账户策略/账户锁定策略中将重置账户锁定计数器修改为 1 分钟;
在本地策略/安全选项中将交互式登录:需要域控制器身份验证以对工作站 进行解锁修改为已启用.
6 次无效登录
Linux:
在/etc/pam.d/system-auth 配置文件第二行后追加一行添加以下内容:
auth required pam_tally2.so deny=6 unlock_time=60
auth requisite pam_tally2.so deny=6 unlock_time=60
c.远程用户非活动会话连接超时应小于等于 5 分钟。
Linux：修改/etc/ssh/sshd_config 文件，设置 ClientAliveInterval 和 ClientAliveCountMax 参数（#去掉 Max 3）
Windows：管理工具-远程桌面服务-远程桌面会话主机设置，RDP-Tcp 属 性，在会话中修改
3.用户安全管理(Windows)
a.对服务器进行远程管理安全性 SSL 加固，防止敏感信息泄露 被监听;
Windows：管理工具-远程桌面服务-远程桌面会话主机设置，RDP-Tcp 属 性
b.查找并删除服务器中可能存在的帐号 hacker;
Windows: Net user
Net user hacker /del
c.普通用户进行最小权限管理，对关闭系统仅限管理员帐号。
Windows:
1.打开本地安全策略; (开始菜单/管理工具(管理)/本地安全策略)
2.在本地策略/用户权限分配中将关闭系统修改为 Administrator;
A-2 任务二 日志安全配置（Windows）
4.配置审核登陆，记录内容包括用户登录使用的账户、登录是 否成功、登录时间、以及远程登录时间、及用户使用的 IP 地址；
Secpol.msc，在 本地策略 > 审核策略 中，设置 审核登录事件。
5.启用本地安全策略中对 Windows 系统的审核策略更改，成功 和失败操作都需要审核；
打开 控制面板 > 管理工具 > 本地安全策略，在 本地策略 > 审核策略 中，设置 审 核策略更改。
6.启用本地安全策略中对 Windows 系统的审核对象访问，成功 和失败操作都需要审核。
打开 控制面板 > 管理工具 > 本地安全策略，在 本地策略 > 审核策略 中，设置 审 核对象访问。
12.启用本地安全策略中对 Windows 系统的审核目录服务访问， 仅需要审核失败操作；
在 本地策略 > 审核策略 中，设置 审核目录服务器访问。
13.启用本地安全策略中对 Windows 系统的审核特权使用，成功 和失败操作都需要审核；
在 本地策略 > 审核策略 中，设置 审核特权使用。
14.启用本地安全策略中对 Windows 系统的审核系统事件，成功 和失败操作都需要审核。配置图
在 本地策略 > 审核策略 中，设置 审核系统事件。
A-3 任务三 中间件服务安全加固 VSFTPD/HTTPD/BIND （Linux）
7.VSFTPD
a.vsftpd 禁止匿名用户上传；
vi /etc/vsftpd/vsftpd.conf anon_upload_enable=YES 修改为 NO
b. 设置无任何操作的超时时间为 5 分钟；
idle_session_timeout=300 注意去掉#
c.匿名用户访问的最大传输速率为 512KB/S；（自己添加）
Vi /etc/vsftpd/vsftpd.conf anon_max_rate=524288#匿名用户的最大传输速率 512KB
d.用户访问的最大传输速率为 1M。
vi /etc/vsftpd/vsftpd.conf local_max_rate=1024
8.HTTPD
a.更改默认监听端口为 6666；
Vi /etc/httpd/conf/httpd.conf
Listen 80
把 80 修改成需要的号即
Listen 6666
b.设置禁止目录浏览；
修改 Apache 配置文件 httpd.conf:
将第 3 行的 Options FollowSymlinks
c.隐藏 Apache 版本号；
/etc/httpd/httpd.conf
1.Server Tokens Full 修改为 Server Tokens Prod
2.将 ServersSignature On 修改为 ServersSignature Off
d.将 Apache 服务降权，用户为 apache，用户组为 www。
/etc/httpd/httpd.conf
User apache
Group www
9.BIND
a.隐藏 bind 版本号；
打开 /etc/named.conf 文件，找出 options 部分，
隐藏 BIND 版本：
version “”;
b.设置不提供递归服务。
recursion no；
A-5 任务五 防火墙策略（Linux）
11.为防止 Nmap 扫描软件探测到关键信息，设置 iptables 防火 墙策略对 3306 号端口进行流量处理；
iptables -A INPUT -p tcp –dport 3306 -j DROP
12.为防止 SSH 服务被暴力枚举，设置 iptables 防火墙策略仅 允许 172.16.10.0/24 网段内的主机通过 SSH 连接本机；
iptables -A INPUT -s 172.16.10.0/24 -p tcp –dport 22 -j ACCEPT
13.为防御 IP 碎片攻击，设置 iptables 防火墙策略限制 IP 碎 片的数量，仅允许每秒处理 1000 个。
iptables -A FORWARD -f -m limit --limit 1000/s --limit-burst 1000 -j ACCEPT
A-6 任务六 WEB 安全加固（Windows）
14.为了防止 web 中.mdb 数据库文件非法下载，请对 Web 配置 文件进行安全加固;
编辑配置文件 C:WindowsSystem32inetsrvconfigapplicationHost
15.限制目录执行权限,对 picture 和 upload 目录设置执行权限 为无；
打开 IIS 管理器(开始菜单/管理工具/Internet 信息服务(IIS)管理器) 依次右键找到
16.开启 IIS 的日志审计记录(日志文件保存格式为 W3C,只记录 日期、时间、客户端 IP 地址、用户名、方法)。
打开 IIS 管理器 (开始菜单/管理工具/Internet 信息服务(IIS)管理器)
双击网站,在网站主页中选择日志
在日志文件中将格式修改为 W3C,并选择所需字段.
在右侧点击应用完成更改.
A-1 任务一 登录安全加固（Windows, Linux）
请对服务器 Windows、Linux 按要求进行相应的设置，提高服务 器的安全性。
2.用户安全管理(Windows)
a.设置取得文件或其他对象的所有权，将该权限只指派给 administrators 组；
secpol.msc，在 本地策略 > 用户权限分配 中，配置 取得文件或其它对 象的所有权 权限只分配给 Administrators 组。
b.禁止普通用户使用命令提示符;
gpedit.msc 组策略 -> 用户配置 -> 管理模板->系统
c.设置不显示上次登录的用户名。
本地策略编辑器 -> windows 设置 -> 安全设置 -> 本地策略 -> 安全选项
A-2 任务二 Nginx 安全策略（Linux）
3.禁止目录浏览和隐藏服务器版本和信息显示；
打开 nginx.conf 文件，在 location server 或 http 段中删除
autoindex off;
写在 srver_tokens 上面
4.限制 HTTP 请求方式，只允许 GET、HEAD、POST；
• 在 nginx 配置文件中的 http 下配置
5.设置客户端请求主体读取超时时间为 10；
• Vim nginx.conf
• 设置客户端请求头读取超时时间为 10；
• Vim nginx.conf
6.将 Nginx 服务降权，使用 www 用户启动服务。
Vi /etc/nginx.conf
A-3 任务三 日志监控（Windows）
8.安全日志文件大小至少为 128MB，设置当达到最大的日志大小 上限时，覆盖早于 30 天的日志；
事件查看器 eventvwr.msc–>windows 日志–>安全–>点击属性 进行修改
9.应用日志文件大小至少为 64MB，设置当达到最大的日志大小 上限时，覆盖早于 15 天的日志；
10.系统日志大小至少为 32MB，设置当达到最大的日志大小上限 时，按需要覆盖事件。
事件查看器 eventvwr.msc–>windows 日志–>安全–>点击属性 进行修改
安装域环境 计算机配置---windows 设置---安全设置---事件日志
A-4 任务四 中间件服务加固 SSHDVSFTPDIIS（Windows, Linux）
11.SSH 服务加固（Linux）
a.修改 ssh 服务端口为 2222；
vi /etc/ssh/sshd_config
Service sshd restart 重启 ssh
为了防止密码在登录或者传输信息中被窃取，仅使用证书登录 SSH （Linux），将/etc/ssh/sshd_config 配置文件中对应的部分截图
b.ssh 禁止 root 用户远程登录；
PermitRootLogin yes 修改为 no
c.设置 root 用户的计划任务。每天早上 7:50 自动开启 ssh 服 务，22:50 关闭；每周六的 7:30 重新启动 ssh 服务；
d.修改 SSHD 的 PID 档案存放地。
cat /etc/ssh/sshd_config
#PidFile /var/run/sshd.pid
pid 文件存放位置
12.VSFTPD 服务加固（Linux）
a.设置运行 vsftpd 的非特权系统用户为 pyftp；
Vi /etc/vsftpd/vsftpd.conf
nopriv_user=pyftp
b.限制客户端连接的端口范围在 50000-60000；
Vi /etc/vsftpd/vsftpd.conf
pasv_min_port=50000
pasv_max_port=60000
将使客户端连接时的端口范围在 50000 和 60000 之间 后面加
7. c.限制本地用户登陆活动范围限制在 home 目录。
Vi /etc/vsftpd/vsftpd.conf
设置对所有的本地用户执行 chroot（即活动范围限制在自家目录)只要将 chroot_local_user 的值设 为 YES 即可， 即：
chroot_local_user=YES
local_root=/home
13.IIS 加固（Windows）
b.关闭 IIS 的 WebDAV 功能增强网站的安全性。
A-5 任务五 本地安全策略（Windows）
14.禁止匿名枚举 SAM 帐户；
本地组策略编辑器 -> windows 设置 -> 安全设置 -> 本地策略 -> 安全 选项
15.禁止系统在未登录的情况下关闭；
本地策略编辑器 -> windows 设置 -> 安全设置 -> 本地策略 -> 安全选 项
16.禁止存储网络身份验证的密码和凭据；
本地策略编辑器 -> windows 设置 -> 安全设置 -> 本地策略 -> 安全选 项
17. 禁止将 Everyone 权限应用于匿名用户；
本地策略编辑器 -> windows 设置 -> 安全设置 -> 本地策略 -> 安全 选项
18. 在超过登录时间后强制注销。
本地策略编辑器 -> windows 设置 -> 安全设置 -> 本地策略 -> 安全选项
A-6 任务六 防火墙策略（Linux）
19. 设置防火墙允许本机转发除 ICMP 协议以外的所有数据包；
iptables -A FORWARD ! -p icmp -j ACCEPT
20. 为防止 Nmap 等扫描软件探测到关键信息，设置 iptables 防火墙策略对 80 号端口进行流量处理；
Iptables -A INPUT -p tcp --dport 80 -j DROP
为防御拒绝服务攻击，设置 iptables 防火墙策略对传入的流量 进行过滤，限制每分钟允许 3 个包传入，并将瞬间流量设定为一次 最多处理 6 个数据包（超过上限的网络数据包将丢弃不予处理）；
iptables -A INPUT -m limit --limit 3/m --limit-burst 6 -j ACCEPT
iptables -A OUTPUT -m limit --limit 3/m --limit-burst 6 -j ACCEPT
21. 只允许转发来自 172.16.0.0/24 局域网段的 DNS 解析请求 数据包。
iptables -A FORWARD -s 172.16.0.0/24 -p udp --dport 53 -j ACCEPT
A-2 任务二 本地安全策略（Windows）
8.要求登录时不显示用户名；
运行 gpedit.msc 打开组策略，在计算机配置→Windows 设置→安全设置→本地策略→安全选项→交互式登录:不显示上次的用户名。
9.在密码过期的前 5 天开始提示用户在过期之前更改密码；
本地策略编辑器 -> windows 设置 -> 安全设置 -> 本地策略 -> 安全选项
10.要求任何用户在登录到 Windows 前都必须按 CTRL+ALT+DEL；
本地策略编辑器 -> windows 设置 -> 安全设置 -> 本地策略 -> 安全选项
11.禁止 SAM 帐户和共享的匿名枚举；
本地策略编辑器 -> windows 设置 -> 安全设置 -> 本地策略 -> 安全选项
12.禁用来宾帐户。
A-3 任务三 服务安全配置（Windows）
8.禁用 TCP/IP 上的 NetBIOS 协议，关闭监听的 UDP 137 （netbios-ns）、UDP 138（netbios-dgm）以及 TCP 139 （netbios-ssn）端口；
在 计算机管理 > 服务和应用程序 > 服务 中禁用 TCP/IP NetBIOS Helper 服务。双击
在网络连接属性中，双击 Internet 协议版本 4（TCP/IPv4），单击 高级。 在 WINS 页签中，进行如下设置：
9.在本地策略里配置禁用未登陆前关机；
secpol.msc 依次展开如下分支“计算机配置→Windows 设置→安全设置 →本地策略→安全选项”，在右侧的窗格中找到“关机：允许在未登陆前关 机”选项，双击。
10.设置从屏幕保护恢复时需要输入密码，并将屏幕保护自动开 启时间设定为五分钟；
启用屏幕保护程序，设置等待时间为 5 分钟，并启用 在恢复时使用密码 保护。
11.对于远程登录的帐户，设置不活动超过时间 5 分钟自动断开 连接。
打开 控制面板 > 管理工具 > 本地安全策略，在 本地策略 > 安全选项 中，设置 Microsoft 网络服务器：暂停会话前所需的空闲时间数量 属性为 5 分钟。
A-5 任务五 中间件安全加固 SSHDVSFTPDIIS（Windows, Linux）
15．SSHD 服务加固
a.修改 SSH 连接界面静置时间;
vi /etc/ssh/sshd_config,添加如下两行
ClientAliveInterval 300
ClientAliveCountMax 3
b.修改登录记录的等级为 INFO;
vi /etc/ssh/sshd_config
LogLevel INFO
c.禁止登陆后显示信息。
16．VSFTPD 服务加固
a.同一客户机 IP 地址允许最大客户端连接数 10；
vi /etc/vsftpd/vsftpd.conf
Max_per_ip=10
b.最大客户端连接数为 100；
vi /etc/vsftpd/vsftpd.conf
Max_clients=100
c.设置数据连接的超时时间为 2 分钟；
vi /etc/vsftpd/vsftpd.conf
data_connection_timeout=120
d.设置本地用户创建文件的权限为 022。
vi /etc/vsftpd/vsftpd.conf
local_umask=022
17．IIS 服务加固
a.关闭 FTP 匿名访问；
控制面板 –> 管理工具 –> Internet 信息服务管理器
打开后左侧选择相应的 FTP 站点
右击 –> 属性 –> 安全帐户
允许匿名连接 前面的√取消掉，点击确定
b 为了解决 IIS 短文件名漏洞，设置 URL 序列为~；
IIS-》请求筛选-》URL-》添加拒绝序列-》URL 序列设置为【~】
c.设置网站最大并发连接数为 10。
Internet 信息服务 IIS 管理器 -> 网站->高级设置 ->限制 -> 最大并发 连接数
A-6 任务六 防火墙策略（Windows）
18. 禁止任何机器 ping 本机；
19.禁止本机 ping 任何机器；
iptables -A OUTPUT -p icmp -j DROP
20.拒绝 TCP 标志位全部为 1 及全部为 0 的报文访问本机；
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
21.禁止转发来自 MAC 地址为 29:0E:29:27:65:EF 主机的数据 包。
iptables -A FORWARD -m mac --mac-source 29:0E:29:27:65:EF -j DROP
A-5 任务五 Web 安全加固（Windows）
19.防止文件枚举漏洞枚举网络服务器根目录文件，禁止 IIS 短 文件名泄露；
1. 打开命令提示符输入 fsutil 8dot3name set 1 (Windows Server 2008 R2)
A-6 任务六 防火墙安全策略（iptables）
21.为确保安全 Linux 系统禁止所有人通过 ssh 连接除了 172.16.1.1 这个 ip；
iptables -A INPUT -p tcp --dport 22 -s 172.16.1.1 -j ACEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
22.在工作时间，即周一到周五的 8:30-18:00，开放本机的 ftp 服务给 192.168.1.0 网络中的主机访问；
iptables -A INPUT -p tcp --dport 21 -s 192.168.1.0/24 -m time -- weekdays 1,2,3,4,5 --timestart 08:30 --timestop 18:00 -j ACCEPT
23.要求从 ftp 服务的数据下载请求次数每分钟不得超过 5 个；
iptables -A INPUT -p tcp -m state --state RELATED -m limit -- limit 5/m -j ACCEPT
iptables -A OUTPUT -p tcp -m state --state RELATED -m limit -- limit 5/m -j ACCEPT
24.拒绝 TCP 标志位全部为 1 及全部为 0 的报文访问本机；
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
25.配置 iptables 防火墙过滤规则，以封堵目标网段 （172.16.1.0/24），并在两小时后解除封锁。
iptables -I INPUT -s 172.16.1.0/24 -j DROP
iptables -I FORWARD -s 172.16.1.0/24 -j DROP
at now +2hours
iptables -D INPUT 1
iptables -D FORWARD
