windows服务器安全配置篇

背景概述

自己对Windows服务器系统的使用，从WinServer2003开始接触使用，但是使用时间也是比较段，基本都是基于IIS下配置发布网站，从本地测试环境到网站正式发布到外网服务器都是在使用Windows服务器、逐渐的就只使用Windows服务器了、不知道是成为了情怀还是仅仅只只是因为自己只习惯用Windos系统懒得去学习接触其它系统。

第一次对服务器的基本安全配置有真正的意识的时候，得从2013年发生的一起服务器安全事件说起，WinServer2003用的时间不长后面便开始使用的是WinServer2008系统的服务器。在2013年底的时候，具体时间已经记不清楚了、自己的服务器WinServer2003系统被黑了、被人挂了木马、自己的远程登密码都被改了，无奈之下只有联系机房重新设置密码。可是设置了密码之后的新密码依旧在黑客的掌控之中，因为这时候我只是做了简单的修改密码操作，但是木马依旧存活在服务器上，所以改的新密码黑客还是知道的（此时我自己是不知道的），后面才了解到改密码没任何意义，因为已经被黑了。

第二天黑客加了我的QQ，因为我之前有在服务器桌面上留了一个文本，里面有我的QQ让他们来联系我。正是因为这次事件，意识到了自己对服务器的日常管理疏于防范、之后他加了我的QQ跟他也学习交流了很多服务器安全方面的基本常识，才让我学会并懂得了如何提升服务器安全的知识，这些服务器基本安全的保障知识以后会多写出来与大家分享交流的。

当时因为我服务器上没太多重要的东西，所以为了能够彻底清理这些木马，让机房重新装了系统。这次装的是WinServe2008系统，然后把硬盘整个格式化了一遍，这次算是放心了。格式化以后木马都清理掉了，但是这个刚好也是我们要对服务器做好防护的开始。

服务器安全防护的三个主要环节如下：

注：当前文档中的截图举例操作为WinServer2019系统

一、 修改系统高级管理员账户名称

服务器系统安装好以后进入系统首先要修改管理员账号和密码，账号不要用常用的Admin或者默认的Administrator,尽量自己自定义一些不常用的名称、密码最好不要与以前的密码重复，首先第一是他们有一个密码字典。里面有记录了很多密码，如果你的密码和用户名在他们这个字典中哪你就很不幸了。。。就会被爆破工具匹配出来,所以你要尽量的定期修改账户名和密码，确保安全。

系统账户名称密码修改如下图：

二、 更改远程连接的端口号

修改远程连接的3389端口，改成另外一个不常用的端口。因为网上有很多针对远程3389爆破的工具，这里我们修改下安全系数就能高一些。

修改远程连接端口之前我们先提前要做一件事就是配置防火墙入站规则，操作流程如下：

打开服务器管理工具，选择防火墙

到这一步防火墙的入站规则就已经添加好了、先添加规则是因为服务器一般都有开防火墙，如果直接修改了远程端口而忘记了配置防火墙，那就直接导致无法远程，虽说有其它方式可以解决，但终归还是比价麻烦一些的，所以就先配置防火墙后面修改好端口后直接重启就可以用新的方式远程操作服务器了。

防火墙配置完成后就可以开始修改远程端口了，操作步骤如下：

更改远程默认端口3389为自定义端口

打开注册表：运行 regedit

找到[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp] 双击右边 PortNumber——点十进制——更改值为：84239 —— 点确定。然后找到： [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp] 双击右边 PortNumber——点十进制——更改值为：84239 —— 点确定。

操作截图如下：

以上步骤设置完了以后如果新的远程端口还不能连接。那就要在阿里云上设置了，如下图

以上步骤操作完以后记得重启以下服务器

因为之前阿里云上没有设置安全规则，所以设置完以后怎么都连不上。折腾了好久、最后找帖子发现了这种说法，设置试了一下完美解决，可以使用新账户名称和端口号远程了。

三、 服务器禁ping