現在很多企業網站或個人網站都是選擇搭建在云服務器上，雖說這些網站的安全性比起搭建在傳統服務器上的網站來說是更加安全的，但平時的維護也需要我們站長多加小心，以免被惡意掛馬，導致網站被懲罰。

最近，換了新的云服務器，選購的是Windows Server 2008 R2的系統，很多安全設置就要重新做了，對于一些基本設置及基本安全策略，在網上搜了一下，整理大概有以下這些要點，如果有不足的設置，希望大家幫忙提出哈！

首先，先說幾個比較重要的部分：

1、更改默認administrator用戶名，復雜密碼

2、開啟防火墻

3、安裝殺毒軟件

細節部分包含：

1、新做系統一定要先打上補丁

2、安裝必要的殺毒軟件

3、刪除系統默認共享

4、修改本地策略——>安全

選項

交互式登陸：不顯示最后的用戶名 啟用

網絡訪問：不允許SAM 帳戶和共享的匿名枚舉 啟用

網絡訪問: 不允許存儲網絡身份驗證的憑據或 .NET Passports 啟用

網絡訪問：可遠程訪問的注冊表路徑和子路徑 全部刪除

5、禁用不必要的服務

TCP/IP NetBIOS Helper、Server、 Distributed Link Tracking Client 、Print Spooler、Remote Registry、Workstation

6、禁用IPV6

server 2008 r2交互式登錄: 不顯示最后的用戶名

其實最重要的就是開啟防火墻+服務器安全狗（安全狗自帶的一些功能基本上都設置的差不多了）+mysql(sqlserver)低權限運行基本上就差不多了。3389遠程登錄，一定要限制ip登錄。

一、系統及程序

1、屏幕保護與電源

桌面右鍵--〉個性化--〉屏幕保護程序，屏幕保護程序 選擇無，更改電源設置 選擇高性能，選擇關閉顯示器的時間 關閉顯示器選“從不”保存修改。

2、配置IIS7組件、FTP7、php 5.5.7、mysql 5.6.15、phpMyAdmin 4.1.8、phpwind 9.0、ISAPI_Rewrite環境。在這里我給大家可以推薦下阿里云的服務器一鍵環境配置，全自動安裝設置很不錯的（具體可查看馬海祥博客《云主機iis_php_mysql一鍵安裝包》的相關介紹）。

二、安全配置

接下來，我們重點講一下系統上的安全配置，旨在指導系統管理人員或安全檢查人員進行Windows操作系統的安全合規性檢查和配置，需要的朋友可以參考下：

1、目錄權限

除系統所在分區之外的所有分區都賦予Administrators和SYSTEM有完全控制權，之后再對其下的子目錄作單獨的目錄權限。

2、遠程連接

我的電腦屬性--〉遠程設置--〉遠程--〉只允許運行帶網絡超級身份驗證的遠程桌面的計算機連接，選擇允許運行任意版本遠程桌面的計算機連接(較不安全)。備注：方便多種版本Windows遠程管理服務器。windows server 2008的遠程桌面連接，與2003相比，引入了網絡級身份驗證（NLA，network level authentication)，XP SP3不支持這種網絡級的身份驗證，vista跟win7支持。然而在XP系統中修改一下注冊表，即可讓XP SP3支持網絡級身份驗證。HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Control\\\\Lsa在右窗口中雙擊Security Pakeages，添加一項“tspkg”。HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Control\\\\SecurityProviders，在右窗口中雙擊SecurityProviders，添加credssp.dll；請注意，在添加這項值時，一定要在原有的值后添加逗號后，別忘了要空一格（英文狀態）。然后將XP系統重啟一下即可。再查看一下，即可發現XP系統已經支持網絡級身份驗證。

3、修改遠程訪問服務端口

更改遠程連接端口方法，可用windows自帶的計算器將10進制轉為16進制。更改3389端口為8208，重啟生效！

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Control\\\\Terminal Server\\\\Wds\\\\rdpwd\\\\Tds\\\\tcp]

"PortNumber"=dword:0002010

[HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Control\\\\Terminal Server\\\\WinStations\\\\RDP-Tcp]

"PortNumber"=dword:00002010

（1）、在開始--運行菜單里,輸入regedit,進入注冊表編輯,按下面的路徑進入修改端口的地方

（2）、HKEY_LOCAL_MACHINE\\\\System\\\\CurrentControlSet\\\\Control\\\\Terminal Server\\\\WinStations\\\\RDP-Tcp

（3）、找到右側的 "PortNumber"，用十進制方式顯示，默認為3389，改為(例如)6666端口

（4）、HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Control\\\\Terminal Server\\\\Wds\\\\rdpwd\\\\Tds\\\\tcp

（5）、找到右側的 "PortNumber"，用十進制方式顯示，默認為3389，改為同上的端口

（6）、在控制面板--Windows 防火墻--高級設置--入站規則--新建規則

（7）、選擇端口--協議和端口--TCP/特定本地端口：同上的端口

（8）、下一步，選擇允許連接

（9）、下一步，選擇公用

（10）、下一步，名稱：遠程桌面-新(TCP-In)，描述：用于遠程桌面服務的入站規則，以允許RDP通信。[TCP 同上的端口]

（11）、刪除遠程桌面(TCP-In)規則

（12）、重新啟動計算機

4、配置本地連接

網絡--〉屬性--〉管理網絡連接--〉本地連接，打開“本地連接”界面，選擇“屬性”，左鍵點擊“Microsoft網絡客戶端”，再點擊“卸載”，在彈出的對話框中“是”確認卸載。點擊“Microsoft網絡的文件和打印機共享”，再點擊“卸載”，在彈出的對話框中選擇“是”確認卸載。

解除Netbios和TCP/IP協議的綁定139端口：打開“本地連接”界面，選擇“屬性”，在彈出的“屬性”框中雙擊“Internet協議版本（TCP/IPV4）”，點擊“屬性”，再點擊“高級”—“WINS”，選擇“禁用TCP/IP上的NETBIOS”，點擊“確認”并關閉本地連接屬性。

禁止默認共享：點擊“開始”—“運行”，輸入“Regedit”，打開注冊表編輯器，打開注冊表項“HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Services\\\\lanmanserver\\\\parameters”，在右邊的窗口中新建Dword值，名稱設為AutoShareServer，值設為“0”。

關閉 445端口：HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Services\\\\NetBT\\\\Parameters，新建 Dword（32位）名稱設為SMBDeviceEnabled 值設為“0”

5、共享和發現

右鍵“網絡” 屬性 網絡和共享中心  共享和發現。

關閉，網絡共享，文件共享，公用文件共享，打印機共享，顯示我正在共享的所有文件和文件夾，顯示這臺計算機上所有共享的網絡文件夾。

6、防火墻的設置

控制面板→Windows防火墻設置→更改設置→例外，勾選FTP、HTTP、遠程桌面服務 核心網絡。

HTTPS用不到可以不勾

3306：Mysql

1433：Mssql

更多服務器安全設置的內容，可以關注藍隊云技術支持庫，云服務器相關技術操作全在這里了。