如何防止服务器被入侵？

因为服务器的IP对外是透明的，如何防止网络服务器不被黑客入侵。对网络服务器的恶意网络行为包括两个方面：一是恶意攻击行为，如拒绝服务攻击，网络病毒等等，这些行为旨在消耗服务器资源，影响服务器的正常运作，甚至服务器所在网络的瘫痪;另外一个就是恶意入侵行为，这种行为更是会导致服务器敏感信息泄露，入侵者更是可以为所欲为，肆意破坏服务器。所以，我们要保证服务器安全可以说就是尽量减少网络服务器受这两种行为的影响。

防止服务器被入侵是网络安全的范畴。中国在2016年推出了《网络安全法》，同时，在2019年12月发布了《等级保护》2.0。这里头都对网络安全要求提高到了更高的高度。按国家要求，我们安全至少需要从两方面来防护：

一、技术手段

在计算机安全技术上，我们可以从4个方面来着手分析服务器存在的风险，以及防范措施。

1、物理环境安全

物理环境就是指我们服务器存放的位置，我们需要分析它是否存在风险，比如：

• 如果是自有服务器，你必须要有相对隔离的专用空间，并配上门禁和视频监控控制出入。因为如果服务器人人都可以触碰到它，那它没有任何安全可言。因为只要物理上可以接触到，那就有可能会被恶意的人盗走服务器，然后在慢慢破解服务器，获取服务器的信息。
• 如果服务器是托管，你必须要求托管方有上面提到的门禁、视频监控等。不过，一般都会有。
• 如果是云服务器，也就是虚拟机，那你要求云服务商的物理服务器必须在国内，同样有上面提到的基本物理安全。

2、通讯网络安全

通讯网络就是服务器需要对外提供服务使用的网络系统。这一块是我们比较熟悉的。我们需要做如下措施来保障安全：

• 出口必须有防火墙，（有条件用双机）通过防火墙的的规则，可以屏蔽不需要开放的端口。使得黑客们的攻击面变窄。
• 服务器和桌面终端不能在同一个区域，至少需要划分VLAN隔离。
• 对外服务的访问尽量采用加密访问，比如：web服务就尽量采用HTTPS来提供；
• 有分支结构访问的，采用加密IPsec VPN或者SSL VPN来访问。
• 服务器本身需要有 TPM 芯片（现在一般都有），该芯片是可信计算模块，可以帮助我们的服务器对内部的计算信息进行加密。确保不会在计算过程中因为信息被窃取而出现安全问题。

3、区域边界安全

这里说的区域是指我们内部网络进行区域划分，比如：桌面处于一个区域（安全级别较低），服务器处于一个区域（安全级别较高）；

• 不同的区域之间虽然有前面提到的VLAN隔离，但是我们还需要部署防火墙系统，让低安全等级的区域不能随意进入高安全等级区域。
• 出口的边界区域，除了前面提到需要出口防火墙外，还可以配备入侵防御系统IPS、来防范攻击。因为防火墙只是收窄了攻击面。相当于只是一个小区保安帮忙过滤了一下进出人员。但无法防范伪冒正常流量的攻击。所以需要配备IPS，来对入侵进行防御。
• 服务器必须配备防病毒系统。如果服务器众多，可以配备防病毒网关。服务器就1-2台，那就在服务器上安全企业杀毒软件，防止病毒入侵。

4、计算安全

计算安全就是服务器本身的计算安全。这里需要防止服务器本身的软硬件不安全和内部人员的恶意行为。

• 系统要加固，也就是操作系统要及时打补丁，尤其是安全补丁。如果服务器众多，可以考虑上服务器加固系统。
• 身份安全：也就是服务器的密码必须复杂口令、并且定时更换。有条件的可以采用动态密码和静态密码结合的双因子认证。
• 定期要进行漏洞扫描，防止服务器在使用过程中出现漏洞。一旦扫描发现漏洞，需要立即进行修复。
• 服务器日志要集中收集，运维人员定时分析日志。发现异常入侵行为日志，应该立即预警，并作出防御行动。
• 最后，为了防止内部人员恶意入侵，我们还需要一套堡垒机，通过堡垒机来控制所有的运维人员对服务器的操作。确保其权限始终，并且操作行为可被追踪。

二、管理手段

管理手段是指我们服务器在持续运营的阶段，我们要保障它的安全性可以持续。我们需要通过建立以下管理手段：

• 建立安全管理制度，制定安全策略、发布完整的安全管理制度；
• 建立安全管理机构：落实安全岗位、人员职责，并有监督机制；
• 人员安全管理：对安全人员要定期进行安全培训，对人员入职、离职做好安全管理。对于来访人员应该做好安全管控，比如：必须明确可以进入的区域，不能进入的区域；
• 采购安全设备，要关注安全设备厂商的资质、设备的认证情况；
• 建立安全运维制度：无论自己运维还是第三方运维，都必须有一套安全运维管理制度来管理整个安全运维

三、入侵服务器的关键突破口

1、操作系统漏洞

操作系统是一个庞大的代码集合，上千万行甚至上亿行的代码，为了兼容各种设备，运行各种软件，想要彻底的指望系统没有bug，没有漏洞是不可能的，只能指望厂家勤更新，自己勤打补丁，并且关闭不必要的服务，减少系统的漏洞；

2、业务系统漏洞

运行在系统上运行的业务软件，未客户提供的服务，这些都是由程序员开发的，一个业务系统或软件，做的在精细，都不可避免的出现bug或者漏洞，只能发现问题，解决问题，做好数据备份是最至关重要的；

3、其他软件

在服务器上不可避免的运行着除操作系统和业务服务的一些软件和工具，这些软件或工具本身就存在bug或漏洞，会被利用，多升级软件或者多做数据备份。

四、防止黑客入侵服务器

1、第一步：防ACCESS数据库下载

添加MDB的扩展映射就可以了。方法：IIS属性，主目录，配置，映射，应用程序扩展里添加。mdb的应用解析，至于选择的解析文件大家可以自已测试，只要访问数据库时出现无法找到该页就可以了，这里给出一个选择为wam.dll。

2、第二步：防上传

以MSSQL数据库为例。在IIS的WEB目录，在权限选项里只能IIS用户读取和列出目录的权限，然后进入上传文件保存和存放数据库的目录，给IIS用户加上写入的权限，然后在这二个目录的属性，执行权限选项。

3、第三步：防MSSQL注入

这很重要，在一次提醒，连接数据库万万不能用SA帐号。一般来说可以使用DB——OWNER权限来连接数据库。不过这存在差异备份来获得WEBSHELL的问题。下面就说一下如何防差异备份。

4、如何防差异备份

差异备份是有备份的权限，而且要知道WEB目录。现在找WEB目录的方法是通过注册表或是列出主机目录自已找，这二个方法其实用到了XP_REGREAD和XP_DRITREE这二个扩展存储，我们只要删除他们就可以了。但是还有一点就是万一程序自已爆出目录呢。所以要让帐号的权限更低，无法完成备份。操作如下：在这个帐号的属性，数据库访问选项里只需要选中对应的数据库并赋予其DB_OWNER权限，对于其它数据库不要操作，接着还要到该数据库，属性，权限，把该用户的备份和备份日志的权限去掉就可以了，这样入侵者就不能通过差异备份来获取WEBSEHLL了。

五、如何防止网络服务器受到恶意攻击?

基于windows做操作系统的服务器在中国市场的份额以及国人对该操作系统的了解程度，这里谈谈对维护windows网络服务器安全的意见。

1、采用NTFS文件系统格式

NTFS是微软Windows NT内核的系列操作系统支持的、一个特别为网络和磁盘配额、文件加密等管理安全特性设计的磁盘格式。NTFS文件系统里你可以为任何一个磁盘分区单独设置访问权限。把你自己的敏感信息和服务信息分别放在不同的磁盘分区。这样即使黑客通过某些方法获得你的服务文件所在磁盘分区的访问权限，还需要想方设法突破系统的安全设置才能进一步访问到保存在其他磁盘上的敏感信息。

2、做好系统数据备份

每个星期最好有备份网站服务器的工作，重要的数据建议每天都要备份。目前，主流的云服务器产品主要提供两种云端数据备份的方式：一是云快照备份数据;另一种是云镜像备份数据。我想这些数据除了数据库的数据，还有就是页面和上传的图片和文档等，这些数据量不小。

3、关闭不必要的服务，只开该开的端口

关闭那些不必要开的服务，做好本地管理和组管理。Windows系统有很多默认的服务其实没必要开的，甚至可以说是危险的，比如：默认的共享远程注册表访问(Remote Registry Service)，系统很多敏感的信息都是写在注册表里的，如pcanywhere的加密密码等。关闭那些不必要的端口。一些看似不必要的端口，确可以向黑客透露许多操作系统的敏感信息，如windows 2000 server默认开启的IIS服务就告诉对方你的操作系统是windows 2000。69端口告诉黑客你的操作系统下默认的tftp服务使用的端口。对端口的进一步访问，还可以返回该服务器上软件及其版本的一些信息，这些对黑客的入侵都提供了很大的帮助。此外，开启的端口更有可能成为黑客进入服务器的门户。

建议对windows服务器的，只开80，21，1433，还有一个远程端口。总之，做好TCP/IP端口过滤不但有助于防止黑客入侵，而且对防止病毒也有一定的帮助。

4、软件防火墙、杀毒软件

必要的组件：防火墙、入侵检测系统、路由系统等。防火墙在安全系统中扮演一个保安的角色，可以很大程度上保证来自网络的非法访问以及数据流量攻击，如拒绝服务攻击等；入侵检测系统则是扮演一个监视器的角色，监视你的服务器出入口，非常智能地过滤掉那些带有入侵和攻击性质的访问。

5、开启事件日志

虽然开启日志服务虽然说对阻止黑客的入侵并没有直接的作用，但是通过他记录黑客的行踪，我们可以分析入侵者在我们的系统上到底做过什么手脚，给我们的系统到底造成了哪些破坏及隐患，黑客到底在我们的系统上留了什么样的后门，我们的服务器到底还存在哪些安全漏洞等等。如果你是高手的话，你还可以设置密罐，等待黑客来入侵，在他入侵的时候把他逮个正着。

6、对RAS使用回叫功能

Windows NT最酷的功能之一就是对服务器进行远程访问(RAS)的支持。不幸的是，一个RAS服务器对一个企图进入你的系统的黑客来说是一扇敞开的大门。黑客们所需要的一切只是一个电话号码，有时还需要一点耐心，然后就能通过RAS进入一台主机了。但可以采取一些方法来保证RAS服务器的安全。

你所要使用的技术将在很大程度上取决于你的远程用户如何使用RAS。如果远程用户经常是从家里或是类似的不太变动的地方呼叫主机，建议使用回叫功能，它允许远程用户登录以后切断连接。然后RAS服务器拨通一个预先定义的电话号码再次接通用户。因为这个号码是预先设定了的，黑客也就没有机会设定服务器回叫的号码了。

另一个可选的办法是限定所有的远程用户都访问单一的服务器。可以将用户通常访问的数据放置在RAS服务器的一个特殊的共享点上。于是可以将远程用户的访问限制在一台服务器上，而不是整个网络。这样，即使黑客通过破坏手段来进入主机，那么他们也会被隔离在单一的一台机器上，在这里，他们造成的破坏被减少到了最小。

最后，还有一个技巧就是在你的RAS服务器上使用出人意料的协议。我知道的每一个人都使用TCP/IP协议作为RAS协议。考虑到TCP/IP协议本身的性质和典型的用途，这看起来象是一个合理的选择。但是，RAS还支持IPX/SPX和NetBEUI协议。如果你使用NetBEUI作为你RAS的协议，你确实可以迷惑一些不加提防的黑客。

7、即时的下载更新windows补丁程序

微软雇佣了一个程序员团队来检查安全漏洞并修补它们。有时，这些补丁被捆绑进一个大的软件包并作为服务包(service pack)发布。通常有两种不同的补丁程序版本：一个任何人都可以使用的40位的版本和一个只能在美国和加拿大使用的128位的版本。128位的版本使用128位的加密算法，比40位的版本要安全得多。如果你现在还在使用40位的服务包并且生活在美国或是加拿大，强烈建议你下载128位的版本。

8、使用一个强有力的安全政策

要提高安全性，另一个你可以做的工作就是制定一个好的，强有力的安全策略。确保每一个人都知道它并知道它是强制执行的。这样的一个政策需要包括对一个在公司机器上下载未授权的软件的员工的严厉惩罚。

如果使用Windows 2003 Server，你就有可能指定用户特殊的使用权限来使用你的服务器而不需要交出管理员的控制权。一个好的用法就是授权人力资源部来删除和禁用一个帐号。这样，人力资源部就可以在一个行将走人的员工知道自己将被解雇以前就删除或是禁用他的用户帐号。这样，不满的员工就不会有机会来搅乱公司的系统了。同时，使用特殊用户权限，你就可以授予这种删除和禁用帐号权限并限制创建用户或是更改许可等这些活动的权限了。

六、服务器怎么防止攻击?

防止服务器被攻击是所有IT运维人员必须考虑的问题，除了常规的设置手段。如若用户对网络优化，运营比较看重，最好是选择高防服务器或者具有高防性能的虚拟空间。

• 1）发现租用的主机被入侵，应立即关闭所有网站服务。为主机租用系统安装最新的补丁，当然还有所有运行着的主机软件。
• 2）如果安装的是虚拟主机管理系统，则重装最新的受控端安装包，重新自动设置受控端网站，这样会自动更改账户的密码。
• 3）检查添加/删除程序里面是不是被别人装了其他软件。为网站目录重新配置权限，关闭删除可疑的系统账户。
• 4）升级安装包/软件到最新，如果是虚拟主机管理系统，先用最新的安全包修补权限漏洞，再用杀马软件扫所有盘的权限，看还有没有权限漏洞提示。

至于高防服务器的选择，主要是根据行业来定，例如政府、金融、游戏行业、电子商城等这些通常都是ddos攻击的主要目标。

在DDoS的流量攻击上，往往会以大流量攻击为基础，其流量通常为几十G以上，甚至还可能会超过机房的防御能力。但是大流量DDoS攻击的发动也需要一定的成本，因而一般行业也不会受到特别大的流量攻击。

七、总结

古话说：只有千日做贼，哪有千日防贼的，信息安全就是一场弄不结束的矛与盾的战争，这个世界上应该还内有完美的、0漏洞的系统，做好日常的检查、升级、防护、预警和数据备份，才是做重要的。

从系统化思维出发，可以全面防范服务器入侵。由于整个安全防范是非常大的一个范围。每个范围都是很大的技术知识体系。这里只是简要描述。如有疑问可以关注评论。