中小型企業網絡服務器安全加固分析

孫金霞

摘要：本文以windows server2012服務器和Centos7.0服務器在中小型企業中的應用為基礎，分析了如何加固企業服務器，包括域服務的配置及組策略的設置、網站CA認證服務的設置等，目的在保證公司日常的工作，防御外網的不良入侵。

Abstract： Based on the application of Windows server2012 system and Centos7.0 system in small and medium-sized enterprises， this paper analyzes how to reinforce the enterprise network server， including the configuration of domain service， the setting of group policy， the setting of website CA authentication service， etc.， in order to ensure the daily work of the company and prevent the intrusion of external network.

關鍵詞：網絡服務器;windows server2012;Centos7.0

Key words： network server;windows server2012;Centos7.0

中圖分類號：TP368.5 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?文獻標識碼：A ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?文章編號：1006-4311（2019）27-0231-02

1 ?網絡操作系統發展狀況

北京時間2012年4月18日，微軟公布了Windows Server 2012（以下簡稱WS2012）的名字。WS2012系統取代了之前用的windows server 2008，該服務器版本是在Windows 8基礎上開發出來的，增強了網絡服務、存儲、虛擬化、云等技術的易用性，管理員能更容易地操作管理服務器。本文重點研究使用了WS2012版本中的Active Directory（以下簡稱AD DS）域服務及相應的組策略。運行AD DS的服務器稱為域控制器。它對Windows域類型網絡中的所有用戶和計算機進行身份驗證和授權;為所有計算機分配和實施安全策略并安裝或更新軟件。例如，當用戶登錄到屬于Windows域的計算機時，Active Directory會檢查提交的密碼并確定用戶是系統管理員還是普通用戶。此外，它還允許管理和存儲信息，提供身份驗證和授權機制，并建立一個框架來部署其他相關服務：證書服務，聯合服務，輕量級目錄服務和權限管理服務。

CentOS，也稱作社區企業操作系統，是Red Hat Enterprise Linux的再編譯版本，是開源和免費的版本。CentOS7.0于2014年7月7號正式發布，這是一個企業級的Linux發行版本，是中小型公司部署網絡服務器的首選。

2 ?中小型企業網絡服務器架構分析

中小型企業在選擇網絡服務器的時候，可以從以下幾方面進行考慮：

①網絡的可擴展性，便于以后公司的發展和網絡的擴展，選擇易于擴容的架構。

②網絡的安全性，便于以后公司的網絡安全，選擇易于維護和管理的架構。

③服務器的成本問題，選擇開源和免費的服務器版本來組織公司網絡。

基于以上的分析，結合目前中小型企業的共同需求，我們做了如下的網絡服務器架構，如圖1。

我們選擇WS2012作為主域控服務器，在上面部署域服務，采用Centos7.0作為第二臺服務器，在上面部署主要的服務：DNS服務器、DHCP服務器、WEB服務器、FTP服務器、CA認證服務及相關的數據庫服務器。每臺服務器上IP地址都設置內網和外網IP地址。內網IP地址負責內網通信，使用DNS服務器上內網視圖。外網IP地址負責外網間通信，使用DNS服務器上外網視圖。

3 ?中小型企業網絡服務器安全加固分析

網絡服務器的安全包括對內和對外兩方面。下面從不同的方面對服務器進行加固。

3.1 域服務的使用及組策略的配置

中小型企業對內使用域服務器進行域用戶的管理，在域內建立不同的組織單位，對域或者域內不同的組織單位設置相應的組策略，避免因使用統一的訪問服務器權限而帶來的安全隱患，同時對用戶行為進行強制規范。

如圖2，設置域名為sjx.com，在該域中設置公司名稱“蘇州科技”組織單位，在內部設置人力資源部、技術部等相關部門的組織單位。在各組織單位內部設置普通用戶和經理等相關用戶名，公司內部用戶登錄時輸入各自分配的用戶名和密碼才能使用公司內部資源。

針對不同的組織單位建立不同的組策略。首先需要建立組策略對象，之后對組策略對象進行編輯，如圖2，對技術部對象進行組策略編輯，包括該組織單位內計算機的配置和用戶配置。

常用的組策略配置如下：

①要求設置安全策略，使密碼必須滿足復雜性。

②要求用戶每隔一個月修改一次密碼。