面向networking的Windows服务器的“待办事项”是什么？

首先你需要考虑你的networkingdevise。 最好使用至less一个DMZ来保护内部networking。 如果你不想购买新的2012年服务器，一个好的公开的Windows系统将是Windows Server 2008 R2。 我们至less有四个基于Windows的networking服务器，完全可以作为networking服务器，全部基于2008 R2。 只要确保做到以下几点：

• 使用DMZ（1或2）
• 不要安装未使用的服务器angular色
• 一定要停止你不需要的服务
• 请务必将RDP端口（如果需要）仅打开到内部networking
• 一定要保持所有未使用的端口closures
• 在服务器前使用适当的防火墙解决scheme，如Cisco，Juniper或Checkpoint
• 保持你的服务器是最新的（至less每月更新）
• 使其成为冗余（至less使用两台服务器，一台用于备份）
• 良好的监控：Nagios（我喜欢它;-)）

（可选）使用Hyper-V作为您的networking服务器及其备份系统。 更新和检查更新是否更容易以某种方式干扰web服务。 在这种情况下，如果出现硬件故障，您将需要两台完全相同的硬件设备。 但是这可能相当昂贵。

希望它可以帮助你！

如果你告诉我们你要在这个面向公众的Windows机器上提供什么样的服务，我们可以给你一个更详细的答案。 例如IIS，OWA，DNS等？

要locking盒子本身，请从vlad的答案开始，删除（或不安装）以开始）盒子上不需要的任何附加服务/angular色。 这包括任何不应该在服务器上使用的第三方软件（无acrobat阅读器，闪存等）。 任何事情当然要保持修补。

将您的防火墙策略configuration为只允许stream量到达正在运行的服务的相应端口

使用与您正在运行的服务相关的规则configurationIDS / IPS。

根据资产的风险/价值，考虑除了IPS外围设备之外，还可以安装一个基于主机的IPS，最好是从其他厂商购买。

假设主要目的是托pipe一个网站，lockingIIS在7.5（2008 R2）方面的麻烦要less得多，尽pipe你仍然应该确保你做了一些事情，例如：

• 将网站文件存储在与操作系统文件不同的卷上
• 从Microsoft，NSA等获取XML安全模板作为基准
• 在\InetPub\AdminScripts通过NTFS删除或locking所有脚本
• locking危险的exe文件，如appcmd，cmd.exe等
• 使用IPSec来控制DMZ和授权的内部主机之间的通信
• 如果您需要AD，请在您的DMZ中使用与您的内部networking不同的森林
• 确保所有网站都需要主机标头值（有助于防止自动扫描）
• 除以下成功事件外，启用Windows审核所有失败和成功事件：导向器服务访问，过程跟踪和系统事件。
• 在文件系统上使用NTFS审计来loggingEveryone组的失败操作，并确保根据备份（500Mb左右）将安全日志的大小增加到适当的大小。
• 启用根文件夹的HTTP日志logging
• 不要给正在运行应用程序池的用户帐户赋予不必要的权利。
• 摆脱ISAPI和CGI模块，如果你不需要它们。

我不想让这个太长，所以如果你需要/想要更多的信息在一个特定的子弹，请留下评论。

现有的答案是好的，但是他们错过了一个至关重要的方面。 当你的服务器被攻破时会发生什么？

ServerFault上的答案在人们问的时候几乎总是把问题作为我的服务器被重复的紧急问题来解决！ 顶部答案中的说明介绍了如何find折中的原因/方法以及如何从备份中恢复。

要遵循这些说明，您必须拥有广泛的日志logging和定期备份。 您必须有足够的日志logging，才能使用它来确定攻击者做了什么以及什么时候做了什么。 为此，您需要将来自不同机器的日志文件关联起来，这就需要NTP。 您可能还需要某种日志关联引擎。

日志logging和备份通常都不能从受到威胁的机器上获得。

一旦你知道你的服务器已经被入侵，你就把它关掉，并开始调查。 一旦你知道攻击者何时以及如何得到它，你可以将缺陷修补到备用机器上，并将其上网。 如果备用机器也有数据泄露（因为它是从现场机器进行同步），那么您需要从比妥协更早的备份中恢复数据，然后再使其联机。

通过上述链接的答案工作，看看你是否可以实际执行的步骤，然后添加/更改的东西，直到你可以。

在安装，configuration和testing此服务器的angular色/应用程序后，运行SCW（安全configuration向导）。

完成以上所有build议后，请按照国防部出版的“安全技术实施指南”（STIG）进行：1- Windows服务器（查找您的版本）2-对于IIS（查找您的版本）3-对于网站（查找您的版本）

以下是STIGs的完整列表：

http://iase.disa.mil/stigs/az.html

问候。