修改Win2000系統資料庫以加強系統安全

來源：MS

1)設定生存時間

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

　　DefaultTTL REG_DWORD 0-0xff(0-255 十進制,預設值128)

　　說明:指定傳出IP資料包中設定的預設生存時間(TTL)值.TTL決定了IP資料包在到達目标前在網絡中生存的最大時間.它實際上限定了IP資料包在丢棄前允許通過的路由器數量.有時利用此數值來探測遠端主機作業系統.

　　2)防止ICMP重定向封包的攻擊　　　　

　　EnableICMPRedirects REG_DWORD 0x0(預設值為0x1)

　　說明:該參數控制Windows 2000是否會改變其路由表以響應網絡裝置(如路由器)發送給它的ICMP重定向消息,有時會被利用來幹壞事.Win2000中預設值為1,表示響應ICMP重定向封包.

　　3)禁止響應ICMP路由通告封包

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface

　　PerFORMRouterDiscovery REG_DWORD 0x0(預設值為0x2)

　　說明:“ICMP路由公告”功能可造成他人計算機的網絡連接配接異常,資料被竊聽,計算機被用于流量攻擊等嚴重後果.此問題曾導緻校園網某些區域網路大面積,長時間的網絡異常.是以建議關閉響應ICMP路由通告封包.Win2000中預設值為2,表示當DHCP發送路由器發現選項時啟用.

　　4)防止SYN洪水攻擊

　　SynAttackProtect REG_DWORD 0x2(預設值為0x0)

　　說明:SYN攻擊保護包括減少SYN-ACK重新傳輸次數,以減少配置設定資源所保留的時間.路由緩存項資源配置設定延遲,直到建立連接配接為止.如果synattackprotect=2,則AFD的連接配接訓示一直延遲到三路握手完成為止.注意,僅在TcpMaxHalfOpen和TcpMaxHalfOpenRetried設定超出範圍時,保護機制才會采取措施。

5) 禁止C$、D$一類的預設共享

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters

　　AutoShareServer、REG_DWORD、0x0

　　6) 禁止ADMIN$預設共享

　　AutoShareWks、REG_DWORD、0x0

　　7) 限制IPC$預設共享

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

　　restrictanonymous REG_DWORD 0x0 預設0x1 匿名使用者無法列舉本機使用者清單0x2 匿名使用者無法連接配接本機IPC$共享說明:不建議使用2，否則可能會造成你的一些服務無法啟動，如SQL Server

　　8)不支援IGMP協定

　　IGMPLevel REG_DWORD 0x0(預設值為0x2)

　　說明:記得Win9x下有個bug,就是用可以用IGMP使别人藍屏,修改系統資料庫可以修正這個bug.Win2000雖然沒這個bug了,但IGMP并不是必要的,是以照樣可以去掉.改成0後用route print将看不到那個讨厭的224.0.0.0項了.

　　9)設定arp緩存老化時間設定

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services:\Tcpip\Parameters

　　ArpCacheLife REG_DWORD 0-0xFFFFFFFF(秒數,預設值為120秒)ArpCacheMinReferencedLife REG_DWORD 0-0xFFFFFFFF(秒數,預設值為600)

　　說明:如果ArpCacheLife大于或等于ArpCacheMinReferencedLife,則引用或未引用的ARP緩存項在ArpCacheLife秒後到期.如果ArpCacheLife小于ArpCacheMinReferencedLife,未引用項在ArpCacheLife秒後到期,而引用項在ArpCacheMinReferencedLife秒後到期.每次将出站資料包發送到項的IP位址時,就會引用ARP緩存中的項。

10)禁止死網關監測技術

　　EnableDeadGWDetect REG_DWORD 0x0(預設值為ox1)

　　說明:如果你設定了多個網關,那麼你的機器在處理多個連接配接有困難時,就會自動改用備份網關.有時候這并不是一項好主意,建議禁止死網關監測.

　　11)不支援路由功能

　　IPEnableRouter REG_DWORD 0x0(預設值為0x0)

　　說明:把值設定為0x1可以使Win2000具備路由功能,由此帶來不必要的問題.

　　12)做NAT時放大轉換的對外端口最大值

　　MaxUserPort REG_DWORD 5000-65534(十進制)(預設值0x1388--十進制為5000)

　　說明:當應用程式從系統請求可用的使用者端口數時,該參數控制所使用的最大端口數.正常情況下,短期端口的配置設定數量為1024-5000.将該參數設定到有效範圍以外時,就會使用最接近的有效數值(5000或65534).使用NAT時建議把值放大點.

　　13)修改MAC位址

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\

　　找到右視窗的說明為"網卡"的目錄,比如說是{4D36E972-E325-11CE-BFC1-08002BE10318}

　　展開之,在其下的0000,0001,0002...的分支中找到"DriverDesc"的鍵值為你網卡的說明,比如說"DriverDesc"的值為"Intel(R) 82559 Fast Ethernet LAN on Motherboard"然後在右視窗建立一字元串值,名字為"Networkaddress",内容為你想要的MAC值，比如說是"004040404040"然後重起計算機，ipconfig /all看看。

本文轉自loveme2351CTO部落格，原文連結： http://blog.51cto.com/loveme23/8379，如需轉載請自行聯系原作者