2003服务器安全配置教程
WIN2003服务器安全和配置完整教程
WIN2003服务器安全和配置完整教程一、硬盘分区与操作系统的安装∙硬盘分区总的来讲在硬盘分区上面没什么值得深入剖析的地方，无非就是一个在分区前做好规划知道要去放些什么东西，如果实在不知道。
那就只一个硬盘只分一个区，分区要一次性完成，不要先分成FAT32再转成NTFS。
一次性分成NTFS格式，以我个人习惯，系统盘一般给12G。
建议使用光盘启动完成分区过程，不要加载硬盘软件。
∙系统安装以下内容均以2003为例安装过程也没什么多讲的，安装系统是一个以个人性格为参数的活动，我建议在安装路径上保持默认路径，好多文章上写什么安装路径要改成什么呀什么的，这是没必要的。
路径保存在注册表里，怎么改都没用。
在安装过程中就要选定你需要的服务，如一些DN S、DHCP没特别需要也就不要装了。
在安装过程中网卡属性中可以只保留TCP/IP 这一项，同时禁用NETBOIS。
安装完成后如果带宽条件允许可用系统自带在线升级。
二、系统权限与安全配置前面讲的都是屁话，润润笔而已。
（俺也文人一次）话锋一转就到了系统权限设置与安全配置的实际操作阶段系统设置网上有一句话是"最小的权限+最少的服务=最大的安全"。
此句基本上是个人都看过，但我好像没有看到过一篇讲的比较详细稍具全面的文章，下面就以我个人经验作一次教学尝试！2.1 最小的权限如何实现？NTFS系统权限设置在使用之前将每个硬盘根加上Administrators 用户为全部权限(可选加入SYSTEM用户) 删除其它用户，进入系统盘:权限如下∙C:\WINDOWS Administrators SYSTEM用户全部权限Users 用户默认权限不作修改∙其它目录删除Everyone用户，切记C:\Documents and Settings下All Users\Def ault User目录及其子目录如C:\Documents and Settings\All Users\Application Data 目录默认配置保留了Every one用户权限C:\WINDOWS 目录下面的权限也得注意,如C:\WINDOWS\PCHealth、C:\windows\Inst aller也是保留了Everyone权限.∙删除C:\WINDOWS\Web\printers目录，此目录的存在会造成IIS里加入一个.print ers的扩展名，可溢出攻击∙默认IIS错误页面已基本上没多少人使用了。
Windows2003服务器安全设置手册
Windows2003服务器安全设置一、系统的安装编辑本段回目录１、按照Windows2003安装光盘的提示安装，默认情况下2003没有把IIS6.0安装在系统里面。
２、IIS6.0的安装开始菜单—>控制面板—>添加或删除程序—>添加/删除Windows组件应用程序———（可选）|——启用网络 COM+ 访问（必选）|——Internet 信息服务(IIS)———Internet 信息服务管理器（必选）Internet 信息服务管理器（必选）|——公用文件（必选）|——万维网服务———Active Server pages（必选）|——Internet 数据连接器（可选）|——WebDAV 发布（可选）|——万维网服务（必选）|——在服务器端的包含文件（可选）然后点击确定—>下一步安装。
（具体见本文附件1）３、系统补丁的更新点击开始菜单—>所有程序—>Windows Update按照提示进行补丁的安装。
４、备份系统用GHOST备份系统。
５、安装常用的软件例如：杀毒软件、解压缩软件等；安装完毕后,配置杀毒软件,扫描系统漏洞,安装之后用GHOST再次备份系统。
6、先关闭不需要的端口开启防火墙导入IPSEC策略在“网络连接”里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP），由于要控制带宽流量服务，额外安装了Qos数据包计划程序。
在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS（S）"。
在高级选项里，使用"Internet连接防火墙"，这是windows 2003 自带的防火墙，在2000系统里没有的功能，虽然没什么功能，但可以屏蔽端口，这样已经基本达到了一个 IPSec的功能。
修改3389远程连接端口修改注册表.开始--运行--regedit依次展开 HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/TERMINAL SERVER/WDS/RDPWD/TDS/TCP右边键值中 PortNumber 改为你想用的端口号.注意使用十进制(例 10000 )HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/TERMINAL SERVER/ WINSTATIONS/RDP-TCP/右边键值中 PortNumber 改为你想用的端口号.注意使用十进制(例 10000 )注意：别忘了在WINDOWS2003自带的防火墙给+上10000端口修改完毕.重新启动服务器.设置生效.二、用户安全设置编辑本段回目录1、禁用Guest账号在计算机管理的用户里面把Guest账号禁用。
Windows_Server_2003_安全设置手册
Windows Server 2003安全设置一、用户账户安全1.Administrator账户的安全性a)重命名adminstrator，并将其禁用b)创建一个用户账户并将其加入管理员组，日常管理工作使用这个账户完成2.启用账户锁定策略开始——程序——管理工具——本地安全策略——账户策略——账户锁定策略——设置“账户锁定阈值为3”3.创建一个日常登录账户通过Runas或者鼠标右键“运行方式”切换管理员权限4.修改本地策略限制用户权限开始——程序——管理工具——本地安全策略——本地策略——用户权限分配——设置“拒绝从网络访问这台计算机”，限制从网络访问该服务器的账户二、服务器性能优化，稳定性优化1.“我的电脑”右键属性——高级——性能——设置——设置为“性能最佳”2.“我的电脑”右键属性——高级——性能——设置——高级页面为如图设置3.停止暂时未用到的服务a)在开始运行中输入:services.mscb)停止并禁用以下服务puter Browser2.Distributed Link Tracking Client3.Print Spooler（如果没有打印需求可以停止该服务）4.Remote Registry5.Remote Registry（如果没有无线设备可以停止该服务）6.TCP/IP NetBIOS Helper三、系统安全及网络安全设置1.开启自动更新我的电脑右键属性——自动更新Windows Server 2003会自动下载更新，无须人为打补丁。
2.关闭端口，减少受攻击面（此处以仅提供HTTP协议为例）a)开始运行中输入cmd，运行命令提示符b)在命令提示符中输入netstat -an命令察看当前打开端口图片中开放了TCP 135,139,445,1026四个端口，可以通过禁用TCP/IP 上的NetBIOS和禁用SMB来关闭它们。
c)禁用TCP/IP 上的NetBIOS1.从“开始”菜单，右键单击“我的电脑”，然后单击“属性”。
Win2003网站服务器的安全配置全攻略
Win2003网站服务器的安全配置全攻略安装篇2003默认安装不带IIS的，要安装，请点击开始->管理工具->配置您的服务器向导然后一步步的下一步。
到了列表选择项目的时候。
从列表中选择应用服务器（IIS,）然后确定，下一步frontpage server extension和如果要支持.Net，都打勾，前者vs用到。
然后一路下一步。
成功后最后mmc管理去。
设置篇：1：支持Asp：控制面板 -> 管理工具 ->IIS(Internet 服务器)- Web服务扩展 -> Active Server Pages -> 允许控制面板 -> 管理工具 ->IIS(Internet 服务器)- Web服务扩展 -> 在服务端的包含文件 -> 允许2：上传200K限制：先在服务里关闭iis admin service服务找到windows\system32\inesrv\下的metabase.xml,打开，找到ASPMaxRequestEntityAllowed 把他修改为需要的值，然后iisreset3：启用父路径：IIS-网站－主目录－配置－选项－启用父路关键词：Win2003 服务器配置网站安全阅读提示：息网络对于服务器的安全要求是十分重要的，为防止服务器发生意外或受到意外攻击，而导致大量重要的数据丢失，下面就介绍Win2003服务器安全热点技术。
本配置仅适合Win2003，部分内容也适合于Win2000。
很多人觉得3389不安全，其实只要设置好，密码够长，攻破3389也不是件容易的事情，我觉得别的远程软件都很慢，还是使用了3389连接。
经测试，本配置在Win2003 + IIS6.0 + Serv-U + SQL Server 的单服务器多网站中一切正常。
以下配置中打勾的为推荐进行配置，打叉的为可选配置。
一、系统权限的设置1、磁盘权限系统盘只给 Administrators 组和 SYSTEM 的完全控制权限其他磁盘只给 Administrators 组完全控制权限系统盘\Documents and Settings 目录只给 Administrators 组和 SYSTEM 的完全控制权限系统盘\Documents and Settings\All Users 目录只给 Administrators 组和 SYSTEM 的完全控制权限系统盘\windows\system32\config\ 禁止guests组系统盘\Documents and Settings\All Users\「开始」菜单\程序\ 禁止guests组系统盘\windowns\system32\inetsrv\data\ 禁止guests组系统盘\Windows\System32\ at.exe、attrib.exe、cacls.exe、net.exe、net1.exe、netstat.exe、regedit.exe 文件只给 Administrators 组和 SYSTEM 的完全控制权限系统盘\Windows\System32\ cmd.exe、 仅 Administrators 组完全控制权限把所有（Windows\system32和Windows\ServicePackFiles\i386） 更名为format_2、本地安全策略设置开始菜单->管理工具->本地安全策略A、本地策略-->审核策略审核策略更改 成功 失败审核登录事件 成功 失败审核对象访问失败审核过程跟踪 无审核审核目录服务访问失败审核特权使用失败审核系统事件 成功 失败审核账户登录事件 成功 失败审核账户管理 成功 失败B、本地策略-->用户权限分配关闭系统：只有Administrators组、其它全部删除。
Windows 2003服务器安全配置技巧
Windows 2003服务器安全配置技巧引:下面我用的例子，将是一台标准的虚拟主机。
实践篇下面我用的例子，将是一台标准的虚拟主机。
系统：Windows2003服务：[IIS] [SERV-U] [IMAIL] [SQL SERVER 2000] [PHP] [MYSQL]描述：为了演示，绑定了最多的服务，大家可以根据实际情况做筛减1. WINDOWS本地安全策略端口限制A. 对于我们的例子来说，需要开通以下端口外->本地 80外->本地 20外->本地 21外->本地 PASV所用到的一些端口外->本地 25外->本地 110外->本地 3389然后按照具体情况，打开SQL SERVER和MYSQL的端口外->本地 1433外->本地 3306B. 接着是开放从内部往外需要开放的端口按照实际情况，如果无需邮件服务，则不要打开以下两条规则本地->外 53 TCP，UDP本地->外 25按照具体情况，如果无需在服务器上访问网页，尽量不要开以下端口本地->外 80C. 除了明确允许的一律阻止，这个是安全规则的关键外->本地所有协议阻止2. 用户帐号A. 将administrator改名，例子中改为rootB. 取消所有除管理员root外所有用户属性中的远程控制->启用远程控制以及终端服务配置文件->允许登陆到终端服务器C. 将guest改名为administrator并且修改密码D. 除了管理员root、IUSER以及IWAM以及ASPNET用户外，禁用其他一切用户，包括SQL DEBUG以及TERMINAL USER等等3. 目录权限将所有盘符的权限，全部改为只有administrators组全部权限ystem 全部权限将C盘的所有子目录和子文件继承C盘的administrator(组或用户)和SYSTEM 所有权限的两个权限然后做如下修改C:\Program Files\Common Files 开放Everyone默认的读取及运行列出文件目录读取三个权限C:\WINDOWS\ 开放Everyone默认的读取及运行列出文件目录读取三个权限C:\WINDOWS\Temp 开放Everyone 修改、读取及运行、列出文件目录、读取、写入权限现在WebShell就无法在系统目录内写入文件了。
windows_2003服务器安全配置教程
Windows2003安全配置教程1：安装windows2003时，必须所有的磁盘分区都为NTFS2：安装后，建议不要插入U盘，不要打开其它盘（如D/E/F）这些磁盘3：立即安装杀毒软件（更新到最新病毒库）马上进行查杀（建议安装NOD32版不带防火墙的那个版本）4：使用WINDOWS 2003自动更新，马上到官网下载更新补丁5：安装所有补丁之后，全盘扫描病毒6：IIS那些杀完病毒和打完补丁再进行安装和配置7：没确定所有磁盘被扫描完之前，都不要打开其它的盘（如D/E/F）8：关闭磁盘所有的默认共享9：administrator 密码必须复杂10：建议先开启WINDOWS 自带的防火墙（开启之前，必须开放3389端口）11：修改3389的端口，建议改成数字“越大越好”以上12：马上关闭445端口■．关闭所有不需要的服务* Alerter (disable)* ClipBook Server (disable)* Computer Browser (disable)* DHCP Client (disable)* Directory Replicator (disable)* FTP publishing service (disable)* License Logging Service (disable)* Messenger (disable)* Netlogon (disable)* Network DDE (disable)* Network DDE DSDM (disable)* Network Monitor (disable)* Plug and Play (disable after all hardware configuration)* Remote Access Server (disable)* Remote Procedure Call (RPC) locater (disable)* Schedule (disable)* Server (disable)* Simple Services (disable)* Spooler (disable)* TCP/IP Netbios Helper (disable)* Telephone Service (disable)■. 帐号和密码策略1）保证禁止guest帐号2）将administrator改名为比较难猜的帐号3）密码唯一性：记录上次的6 个密码4）最短密码期限：25）密码最长期限：426）最短密码长度：87）密码复杂化(passfilt.dll)：启用8）用户必须登录方能更改密码：启用9）帐号失败登录锁定的门限：610）锁定后重新启用的时间间隔：720分钟■．保护文件和目录将C:\winnt, C:\winnt\config, C:\winnt\system32, C:\winnt\system等目录的访问权限做限制，限制everyone的写权限，限制users组的读写权限■．注册表一些条目的修改1）去除logon对话框中的shutdown按钮将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current Version\Winlogon\中ShutdownWithoutLogon REG_SZ 值设为02）去除logon信息的cashing功能将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current Version\Winlogon\中CachedLogonsCount REG_SZ 值设为04）限制LSA匿名访问将HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA中RestricAnonymous REG_DWORD 值设为15）去除所有网络共享将HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\中AutoShareServer REG_DWORD 值设为0IIS主要：假如你的电脑中还装了IIS ，你最好重新设置一下端口过滤。
Windows2003Server安全配置完整篇（3）服务器教程-电脑资料
Windows2003Server安全配置完整篇（3）服务器教程-电脑资料四、磁盘权限设置C盘只给administrators和system权限，其他的权限不给，其他的盘也可以这样设置，这里给的system权限也不一定需要给，只是由于某些第三方应用程序是以服务形式启动的，需要加上这个用户，否则造成启动不了，。
Windows目录要加上给users的默认权限，否则ASP和ASPX等应用程序就无法运行。
以前有朋友单独设置Instsrv和temp等目录权限，其实没有这个必要的。
另外在c:/Documents and Settings/这里相当重要，后面的目录里的权限根本不会继承从前的设置，如果仅仅只是设置了C盘给administrators权限，而在All Users/Application Data目录下会出现everyone用户有完全控制权限，这样入侵这可以跳转到这个目录，写入脚本或只文件，再结合其他漏洞来提升权限；譬如利用serv-u的本地溢出提升权限，或系统遗漏有补丁，数据库的弱点，甚至社会工程学等等N多方法，从前不是有牛人发飑说："只要给我一个webshell，我就能拿到system"，这也的确是有可能的。
在用做web/ftp服务器的系统里，建议是将这些目录都设置的锁死。
其他每个盘的目录都按照这样设置，每个盘都只给adinistrators权限。
另外，还将：net.exe NET命令cmd.exetftp.exenetstat.exeregedit.exeat.exeattrib.execacls.exe ACL用户组权限设置，此命令可以在NTFS下设置任何文件夹的任何权限！format.exe大家都知道ASP木马吧，有个CMD运行这个的，这些如果都可以在CMD下运行..55，，估计别的没啥，format下估计就哭料~~~（：这些文件都设置只允许administrator访问。
Win2003操作系统服务器安全配置步骤
Win2003操作系统服务器安全配置步骤如是老系统重做系统，做好以下工作：1、IIS资料备份如安装有RmHost被控端，运行备份/恢复工具，备份IIS数据；如没有，打开Internet信息服务管理器，在“网站”或“应用程序池”上点右键，将配置保存到一个文件；2、Serv-U资料备份将Serv-U所在目录下ServUDaemon.ini文件复制到备份文件夹；3、IMail资料备份如服务器安装了IMail，运行regedit.exe，在注册表中找到IMail所在路径，右键导出备份到备份文件夹；如Imail 安装在C盘，则需同时转移Imail下所有文件；4、MySQL资料备份以root用户进入PHPMyAdmin或MySQL命令行，备份mysql数据库内的user和db表，导出为sql脚本；5、MsSQL资料备份在安全性-登录中导出帐号列表；如MsSQL数据在C盘下，需要将SQLData下所有文件备份到其他盘6、PHP备份可根据情况备份C:\Windows\PHP.ini文件如是新服务器初次安装，做好以下工作：1、组建磁盘阵列如果磁盘支持Raid5，并决定配置磁盘阵列，则应该首先在CMOS中设置好阵列模式，并在启动后进入Raid配置界面配置Raid5模式；安装Win2003时，按F6加载Raid驱动程序；2、配置NCQ支持如果不打算配置Raid5或不支持磁盘阵列，但支持NCQ，同样需要首先在CMOS中设置好AHCI模式，并在安装Win2003时，按F6加载AHCI驱动程序；3、划分磁盘分区●双硬盘通常按照下列模式划分：第一硬盘：C:\ System 10G 安装系统文件D:\ Webroot 视磁盘大小存放站点文件、数据库等在D:\建立Webroot、PHP、PHP\Tmp、MySQL、FTPRoot、Temp等文件夹；F:\ Log 10G 存放站点日志、FTP日志、临时文件和系统缓存在E:\建立IISLog、FTPLog、Temp等文件夹；第二硬盘：E:\ Data 总容量15%以上存放MsSQL数据库在E:\建立SQLData文件夹G:\ BAK 视磁盘大小存放各种备份文件在F:\建立MySQLBAK、MsSQLBAK、WebBAK、SysBAK等目录H:\ Soft 6G 存放各类常用软件及系统备份、驱动在G:\建立I386、Drivers、Soft、常用组件、常用工具等目录●单硬盘通常按照下列模式划分：C:\ System 10G 安装系统文件D:\ Webroot 总容量50%以上存放站点文件、数据库等在D:\建立Webroot、PHP、PHP\Tmp、MySQL、FTPRoot、SQLData、Temp等文件夹；E:\ Log 10G 存放站点日志、FTP日志、临时文件和系统缓存在E:\建立IISLog、FTPLog、Temp等文件夹；F:\ BAK 视磁盘大小存放各种备份文件在F:\建立MySQLBAK、MsSQLBAK、WebBAK、SysBAK等目录G:\ Soft 6G 存放各类常用软件及系统备份、驱动在G:\建立I386、Drivers、Soft、常用组件、常用工具等目录一、系统安装工作1、格式化C盘用CD启动，格式化C盘。
Windows 2003 Server安全配置技术技巧
Windows 2003 Server安全配置技术技巧(1)一、先关闭不需要的端口我比较小心，先关了端口。
只开了3389、21、80、1433，有些人一直说什么默认的3389不安全，对此我不否认，但是利用的途径也只能一个一个的穷举爆破，你把帐号改了密码设置为十五六位，我估计他要破上好几年，哈哈！办法：本地连接--属性--Internet协议（TCP/IP）--高级--选项--TCP/IP筛选--属性--把勾打上，然后添加你需要的端口即可。
PS一句：设置完端口需要重新启动！当然大家也可以更改远程连接端口方法：WindowsRegistryEditorVersion5.00[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Co ntrol\TerminalServer\WinStations\RDP-Tcp]"PortNumber"=dword:00002683保存为.REG文件双击即可！更改为9859，当然大家也可以换别的端口，直接打开以上注册表的地址，把值改为十进制的输入你想要的端口即可！重启生效！还有一点，在2003系统里，用TCP/IP筛选里的端口过滤功能，使用FTP服务器的时候，只开放21端口，在进行FTP传输的时候，FTP特有的Port模式和Passive模式，在进行数据传输的时候，需要动态的打开高端口，所以在使用TCP/IP过滤的情况下，经常会出现连接上后无法列出目录和数据传输的问题。
所以在2003系统上增加的Windows连接防火墙能很好的解决这个问题，不推荐使用网卡的TCP/IP过滤功能。
做FTP下载的用户看仔细，如果要关闭不必要的端口，在\system32\drivers\etc\services中有列表，记事本就可以打开的。
如果懒的话，最简单的方法是启用WIN2003的自身带的网络防火墙，并进行端口的改变。
功能还可以！Internet连接防火墙可以有效地拦截对Windows2003服务器的非法入侵，防止非法远程主机对服务器的扫描，提高Windows2003服务器的安全性。
2003服务器安全配置
IIS的相关设置：删除默认建立的站点的虚拟目录，停止默认web站点，删除对应的文件目录c:inetpub，配置所有站点的公共设置，设置好相关的连接数限制，带宽设置以及性能设置等其他设置。
配置应用程序映射，删除所有不必要的应用程序扩展，只保留asp，php，cgi，pl，aspx应用程序扩展。
对于php和cgi，推荐使用isapi方式解析，用exe解析对安全和性能有所影响。
用户程序调试设置发送文本错误信息给户。
对于数据库，尽量采用mdb后缀，不需要更改为asp，可在IIS中设置一个mdb的扩展映射，将这个映射使用一个无关的dll文件如C:WINNTsystem32inetsrvssinc.dll来防止数据库被下载。
设置IIS的日志保存目录，调整日志记录信息。
设置为发送文本错误信息。
修改403错误页面，将其转向到其他页，可防止一些扫描器的探测。
另外为隐藏系统信息，防止telnet到80端口所泄露的系统版本信息可修改IIS的banner信息，可以使用winhex手工修改或者使用相关软件如banneredit修改。
对于用户站点所在的目录，在此说明一下，用户的FTP根目录下对应三个文件佳，wwwroot，database，logfiles，分别存放站点文件，数据库备份和该站点的日志。
如果一旦发生入侵事件可对该用户站点所在目录设置具体的权限，图片所在的目录只给予列目录的权限，程序所在目录如果不需要生成文件（如生成html的程序）不给予写入权限。
因为是虚拟主机平常对脚本安全没办法做到细致入微的地步，更多的只能在方法用户从脚本提升权限：ASP的安全设置：设置过权限和服务之后，防范asp木马还需要做以下工作，在cmd窗口运行以下命令：regsvr32/u C:\WINNT\System32\wshom.ocxdel C:\WINNT\System32\wshom.ocxregsvr32/u C:\WINNT\system32\shell32.dlldel C:\WINNT\system32\shell32.dll即可将WScript.Shell, Shell.application,work组件卸载，可有效防止asp木马通过wscript或shell.application执行命令以及使用木马查看一些系统敏感信息。
Windows2003Server安全配置指南
暴露于Internet中的服务器安全配置步骤目录1.配置Windows 2000 Server (3)2.配置防火墙 (3)2.1天网防火墙个人版（自定义IP 规则） ...... 错误！未定义书签。
3.修改本地用户 (3)4.设置本地安全策略 (4)4.1账户锁定策略 (4)4.2审核策略 (5)4.3用户权利指派 (6)4.4安全选项 (7)5.配置路由和远程访问 (7)6.配置VPN (12)7.日常例行检查 (13)请在任何时候都记住：再好的安全措施、防火墙，也无法抵御来自内部的攻击，特别是具有管理员权限内部人员的恶意攻击。
1.配置Windows 2000 Server必须安装直到目前的所有补丁：sp1、sp2、sp3。
经常使用“开始”---“Windows Updata”功能进行安全更新。
2.配置应用程序如果系统中的应用程序有补丁，必须全部打上补丁，特别是SQL SERVER2000,必须依次打到SP3以上。
3.IIS的处理在一般情况下，请去掉IIS服务。
请将C:\INTEPUB这个文件夹改名。
4.配置防火墙我们一般建议使用诺顿网络特警2003（请见《诺顿网络特警2003操作手册》）5.修改本地用户打开“开始－程序－管理工具－计算机管理”，展开“计算机管理（本地）－系统工具－本地用户和组”。
●设置所有属于“administrator”组的用户密码必须在18位以上。
●双击“组”，建立组VPN。
●双击“用户”⏹新建“sql”帐号，专用于SQL SERVER2000服务启动使用。
并加入administrator 组。
密码至少18 位长并且必须包含字母和数字，并修改其拨入属性为“拒绝访问”。
“终端服务配置文件”—“允许登录到终端服务”的选项必须去掉。
⏹设置administrator 密码至少18 位长并且必须包含字母和数字，并修改其拨入属性为“拒绝访问”。
⏹禁用guest 账户。
并修改其拨入属性为“拒绝访问”。
Windows server2003服务器的安全配置
Wind ows server2003服务器的安全配置以下是我服务器的安全配置情况,写得没好,请没要介意.也没要拿砖头砸我一.磁盘权限的设置c:\Administrators 完全控制System 完全控制Users 读取读取运行列出文件夹目录(为了让防盗链能正常运行)Guest 拒绝所有权限.并只应用到“只有该文件夹”C:\Documents and SettingsAdministrators 完全控制System 完全控制C:\Documents and Settings\All UsersAdministrators 完全控制System 完全控制C:\php读取读取运行列出文件夹目录C:\Program FilesAdministrators 完全控制System 完全控制C:\Program Files\Common Files\System把Everyone权限加上去，赋予读取读取运行列出文件夹目录权限C:\WINDOWSAdministrators 完全控制System 完全控制IIS_WPG 读取读取运行列出文件夹目录,并应用到“只有子文件夹及文件”Users 读取读取运行列出文件夹目录,并应用到“只有该文件夹”C:\WINDOWS\system32Administrators 完全控制System 完全控制Everyone 读取读取运行列出文件夹目录,并应用到“只有子文件夹及文件”搜索cmd.exe net.exe net1.exe cacls.exe tftp.exe ftp.exe赋予Administrators完全控制权限.并将C:\WINDOWS\ServicePackFiles\i386目录下面多余的删掉！D盘看不到，不用管E:\Administrators 完全控制E:\webAdministrators 完全控制e:\web下面是网站目录，每个站点使用独立的匿名用户，这个不用多说了.F:\Administrators 完全控制f:\webadministrators 完全控制f:\web下面也是用户目录。
终级Win2003服务器安全配置篇
终级Win2003服务器安全配置篇今天演示一下服务器权限的设置，实现目标是系统盘任何一个目录asp网马不可以浏览,事件查看器完全无错,所有程序正常运行.这个不同于之前做的两个演示，此演示基本上保留系统默认的那些权限组不变，保留原味,以免取消不当造成莫名其妙的错误.看过这个演示，之前的超详细web服务器权限设置,精确到每个文件夹和超详细web服务器权限设置,事件查看器完全无报错就不用再看了.这个比原来做的有所改进.操作系统用的是雨林木风的ghost镜像,补丁是打上截止11.2号最新的Power Users组是否取消无所谓具体操作看演示windows下根目录的权限设置：C:\WINDOWS\Application Compatibility Scripts 不用做任何修改，包括其下所有子目录C:\WINDOWS\AppPatch AcWebSvc.dll已经有users组权限,其它文件加上users组权限C:\WINDOWS\Connection Wizard 取消users组权限C:\WINDOWS\Debug users组的默认不改C:\WINDOWS\Debug\UserMode默认不修改有写入文件的权限,取消users组权限,给特别的权限，看演示C:\WINDOWS\Debug\WPD不取消Authenticated Users组权限可以写入文件，创建目录.C:\WINDOWS\Driver Cache取消users组权限,给i386文件夹下所有文件加上users组权限C:\WINDOWS\Help取消users组权限C:\WINDOWS\Help\iisHelp\common取消users组权限C:\WINDOWS\IIS Temporary Compressed Files默认不修改C:\WINDOWS\ime不用做任何修改，包括其下所有子目录C:\WINDOWS\inf不用做任何修改，包括其下所有子目录C:\WINDOWS\Installer 删除everyone组权限，给目录下的文件加上everyone组读取和运行的权限C:\WINDOWS\java 取消users组权限,给子目录下的所有文件加上users组权限C:\WINDOWS\MAGICSET 默认不变C:\WINDOWS\Media 默认不变C:\WINDOWS\不用做任何修改，包括其下所有子目录C:\WINDOWS\msagent 取消users组权限，给子目录下的所有文件加上users组权限C:\WINDOWS\msapps 不用做任何修改，包括其下所有子目录C:\WINDOWS\mui取消users组权限C:\WINDOWS\PCHEALTH 默认不改C:\WINDOWS\PCHEALTH\ERRORREP\QHEADLES 取消everyone组的权限C:\WINDOWS\PCHEALTH\ERRORREP\QSIGNOFF 取消everyone组的权限C:\WINDOWS\PCHealth\UploadLB 删除everyone组的权限，其它下级目录不用管，没有user组和everyone组权限C:\WINDOWS\PCHealth\HelpCtr 删除everyone组的权限，其它下级目录不用管，没有user组和everyone组权限(这个不用按照演示中的搜索那些文件了，不须添加users组权限就行)C:\WINDOWS\PIF 默认不改C:\WINDOWS\PolicyBackup默认不改,给子目录下的所有文件加上users组权限C:\WINDOWS\Prefetch 默认不改C:\WINDOWS\provisioning 默认不改,给子目录下的所有文件加上users组权限C:\WINDOWS\pss默认不改,给子目录下的所有文件加上users组权限C:\WINDOWS\RegisteredPackages默认不改,给子目录下的所有文件加上users组权限C:\WINDOWS\Registration\CRMLog默认不改会有写入的权限，取消users组的权限C:\WINDOWS\Registration取消everyone组权限.加NETWORK SERVICE 给子目录下的文件加everyone可读取的权限,C:\WINDOWS\repair取消users组权限C:\WINDOWS\Resources取消users组权限C:\WINDOWS\security users组的默认不改，其下Database和logs目录默认不改.取消templates目录users 组权限,给文件加上users组C:\WINDOWS\ServicePackFiles 不用做任何修改，包括其下所有子目录C:\WINDOWS\SoftwareDistribution不用做任何修改，包括其下所有子目录C:\WINDOWS\srchasst 不用做任何修改，包括其下所有子目录C:\WINDOWS\system 保持默认C:\WINDOWS\TAPI取消users组权限，其下那个tsec.ini 权限不要改C:\WINDOWS\twain_32取消users组权限，给目录下的文件加users组权限C:\WINDOWS\vnDrvBas 不用做任何修改，包括其下所有子目录C:\WINDOWS\Web取消users组权限给其下的所有文件加上users组权限C:\WINDOWS\WinSxS 取消users组权限，搜索*.tlb，*.policy，*.cat，*.manifest,*.dll，给这些文件加上everyone组和users权限给目录加NETWORK SERVICE完全控制的权限C:\WINDOWS\system32\wbem 这个目录有重要作用。
用WindowsServer2003搭建安全服务器服务器教程-电脑资料
用WindowsServer2003搭建安全服务器服务器教程-电脑资料启用并配置文件服务Windows Server 2003的管理工具中有一项功能叫做“管理您的服务器”，启动该工具之后，可以看到当前服务器上启用的所有服务，并可对这些服务进行管理，。
点击该界面上的“添加或删除角色”链接，将启动一个配置服务器的向导。
点击“下一步”进入到“服务器角色”步骤，在Windows Server 2003支持的角色列表中选择文件服务器并点击“下一步”，开始启用和配置文件服务的过程。
根据系统提示进行配额设置，磁盘配额功能可以限制用户对磁盘空间的使用，方便进行磁盘空间管理。
将磁盘空间限制设置为300MB，将警告设置为260MB，并勾选“拒绝将磁盘空间给超过配额限制的用户”这一选项，电脑资料《用Windows Server 2003搭建安全服务器服务器教程》(https://www.)。
这种情况下用户将无法使用超过300MB以上的硬盘空间，并且当用户使用的空间达到设置的260MB的警戒线时记录一个系统事件。
完成配额设置后点击“下一步”进入索引服务设置界面，默认的选项是不启用索引服务。
虽然索引服务可以加快文件检索的速度，但是由于它要消耗不少的服务器资源，所以如果不需要很频繁检索文件的话，建议保留默认的设置。
在确认以上设置之后，安装向导会弹出一个用于建立共享文件夹的向导。
首先需要选择共享文件夹的路径，例如C:/Inetpub/home。
之后进入维护共享名和关于该共享描述的界面，通常情况下维持默认设置即可。
点击下一步开始为共享设置权限，基本的权限包括了完全访问和读写权限。
选择“使用自定义共享和文件夹权限”，点击自定义按钮之后弹出自定义权限设置界面。
在这里可以根据需要对不同用户设置不同的权限，例如可以对Administrators用户组设置完全控制以赋予所有管理员对该共享文件夹的全部管理权限，为Guest用户设置读取权限，使匿名用户可以下载该文件夹中的文件，同时删除原有的Everyone这项，屏蔽所有其他用户权限。
WindowsServer2003Web服务器安全设置
WindowsServer2003Web服务器安全设置Windows Server 2003是微软公司推出的一款非常受欢迎的Web服务器操作系统。
在使用Windows Server 2003 Web服务器时，正确的安全设置是至关重要的。
本文将介绍一些Windows Server 2003 Web服务器的安全设置，以帮助您更好地保护您的服务器和网站。
1. 使用安全的管理员密码作为服务器管理员，您应该始终为管理员账户设置一个强密码。
强密码应包含大小写字母、数字和特殊字符，并且长度至少为8个字符。
您还可以定期更改密码，以增加服务器的安全性。
2. 更新操作系统和应用程序及时更新操作系统和安装的应用程序可以修复已知的漏洞，从而提高服务器的安全性。
请确保定期检查和下载最新的安全补丁，并对服务器进行更新。
3. 禁用不必要的服务Windows Server 2003默认启用了许多不必要的服务，这些服务可能存在安全隐患。
您应该审查并禁用不需要的服务，只保留必要的服务运行。
这样可以减少攻击面，提高服务器的安全性。
4. 配置防火墙防火墙是保护服务器安全的重要工具。
您可以配置Windows Server 2003自带的防火墙，并根据需要设置规则和策略。
通过限制对服务器的访问，防火墙可以有效防止未经授权的访问和恶意攻击。
5. 安装和配置安全软件除了操作系统自带的防火墙外，您还可以考虑安装额外的安全软件来提供更高级的保护。
例如，您可以安装杀毒软件、恶意软件检测工具和入侵检测系统等。
确保这些软件得到及时更新，并运行扫描以确保服务器没有恶意软件。
6. 限制远程访问远程访问是实现服务器管理和维护的便捷方式，但也是潜在的安全风险。
为了保护服务器的安全，您可以限制远程访问的IP地址范围，并使用安全的远程协议，如SSH。
另外，您也可以考虑实现双因素身份验证来增加远程访问的安全性。
7. 日志监控和审计监控服务器的日志并进行审计是发现潜在威胁和异常活动的重要手段。
Windows2003Server安全配置完整篇（4）服务器教程-电脑资料
Windows2003Server安全配置完整篇（4）服务器教程-电脑资料3、隐藏重要文件/目录可以修改注册表实现完全隐藏：“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ Current-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL”，鼠标右击“CheckedValue”，选择修改，把数值由1改为0，。
4、启动系统自带的Internet连接防火墙，在设置服务选项中勾选Web服务器。
5、防止SYN洪水攻击。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Service s\Tcpip\Parameters新建DWORD值，名为SynAttackProtect，值为26. 禁止响应ICMP路由通告报文HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet\ Services\T cpip\Parameters\Interfaces\interface新建DWORD值，名为PerformRouterDiscovery 值为0，电脑资料《Windows 2003 Server安全配置完整篇（4）服务器教程》(https://www.)。
7. 防止ICMP重定向报文的攻击HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Service s\Tcpip\Parameters将EnableICMPRedirects 值设为08. 不支持IGMP协议HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Service s\Tcpip\Parameters新建DWORD值，名为IGMPLevel 值为0。
9、禁用DCOM：运行中输入Dcomcnfg.exe。
回车，单击“控制台根节点”下的“组件服务”。
windows2003服务器详解设置大全
Windows 2003 服务器详解设置大全Windows Server 2003 是微软推出的一款服务器操作系统，它基于 Windows NT 的架构，具有非常好的稳定性、可靠性和安全性，适用于企业实施各种应用解决方案。
本文将详细介绍 Windows Server 2003 的设置方法和相关技巧。
安装 Windows 2003 服务器安装 Windows Server 2003 服务器需要以下步骤：1.选择安装语言和安装选项，例如安装 Windows Server 2003 标准版或企业版等。
2.选择安装位置，可以选择已有分区上进行安装，也可以新建分区。
3.设置管理员密码，以保证服务器的管理安全。
4.完成安装后，系统会自动重启，启动时将进入 Windows Server 2003配置向导。
配置 Windows 2003 服务器这里讲解 Windows Server 2003 服务器配置的方式和相关技术：配置网络1.左键单击“开始” ->“控制面板” -> “网络连接” -> “本地连接” -> 右键单击“属性”。
2.双击“Internet 协议(TCP/IP)”选项卡，进入“属性”对话框。
3.选择“自动获取 IP 地址”或“手动配置 IP 地址”进行网络配置。
配置域名和 DNS1.在“控制面板”中选择“管理工具”，然后单击“DNS”。
2.可以在“后缀”下输入本地 DNS 服务器的完全限定域名，也可以直接在“区域”下输入域名。
3.单击“新建区域”，输入相应的域名和 IP 地址。
可以在“区域域名”下找到设置的域名。
配置 FTP 高级服务1.在计算机上运行 Microsoft IIS (Internet 信息服务)，并选择“FTP站点”。
2.选择“FTP 站点”，点击“属性”按钮。
3.在“FTP 站点属性”对话框中，单击“高级”选项卡，随后将 FTP 主目录配置为指定目录。
配置防火墙1.在“控制面板”中找到“安全中心”，单击“Windows 防火墙”进行防火墙的配置。
Windows_2003_Web服务器安全设置指南
一、安装补丁安装好Windows 2003操作系统之后，在托管之前一定要完成补丁的安装，配置好网络后，最好安装上SP1，然后点击开始选择Windows Update，安装所有的关键更新。
二、安装杀毒软件目前的杀毒软件种类很多，其中瑞星、诺顿、卡巴斯基等都是很不错的选择。
不过，也不要指望杀毒软件能够杀掉所有的木马，因为ASP木马的特征是可以通过一定手段来避开杀毒软件的查杀。
三、设置端口保护和防火墙Windows 2003的端口屏蔽可以通过自身防火墙来解决，这样比较好，比筛选更有灵活性，桌面—>网上邻居—>属性—>本地连接—>属性—>高级—>Internet连接防火墙—>设置，把服务器上面要用到的服务端口选中，例如：一台WEB服务器，要提供WEB（80）、FTP （21）服务及远程桌面管理（3389），在“FTP 服务器”、“WEB服务器（HTTP）”、“远程桌面”前面打上对号，如果你要提供服务的端口不在里面，你也可以点击“添加”铵钮来添加，具体参数可以参照系统里面原有的参数。
然后点击确定。
注意：如果是远程管理这台服务器，请先确定远程管理的端口是否选中或添加。
1、权限设置的原理1）WINDOWS用户，在WINNT系统中大多数时候把权限按用户（組）来划分。
在开始→程序→管理工具→计算机管理→本地用户和组，管理系统用户和用户组。
2）NTFS权限设置，请记住分区的时候把所有的硬盘都分为NTFS分区，然后我们可以确定每个分区对每个用户开放的权限。
文件（夹）上右键→属性→安全，在这里管理NTFS 文件（夹）权限。
3）IIS匿名用户，每个IIS站点或者虚拟目录，都可以设置一个匿名访问用户（现在暂且把它叫“IIS匿名用户”），当用户访问你的网站的.ASP文件的时候，这个.ASP文件所具有的权限，就是这个“IIS匿名用户”所具有的权限。
2、权限设置——磁盘权限系统盘及所有磁盘只给Administrators组和SYSTEM的完全控制权限系统盘\Documents and Settings目录只给Administrators组和SYSTEM的完全控制权限系统盘\Documents and Settings\All Users目录只给Administrators组和SYSTEM的完全控制权限系统盘\Inetpub目录及下面所有目录、文件只给Administrators组和SYSTEM的完全控制权限系统盘\Windows\System32\cacls.exe、cmd.exe、net.exe、net1.exe文件只给Administrators 组和SYSTEM的完全控制权限四、禁用不必要的服务开始菜单—>管理工具—>服务Print SpoolerRemote RegistryTCP/IP NetBIOS HelperServer以上是在Windows Server 2003系统上面默认启动的服务中禁用的，默认禁用的服务如没特别需要的话不要启动。
2003服务器系统安全配置-中级安全配置
2003服务器系统安全配置-中级安全配置！做好此教程的设置可防御一般入侵，需要高级服务器安全维护，请联系我。
我们一起交流一下！做为一个网管，应该在处理WEB服务器或者其他服务器的时候配合程序本身或者代码本身去防止其他入侵，例如跨站等等！前提，系统包括软件服务等的密码一定要强壮！服务器安全设置1.系统盘和站点放置盘必须设置为NTFS格式,方便设置权限.2.系统盘和站点放置盘除administrators 和system的用户权限全部去除.3.启用windows自带防火墙,只保留有用的端口,比如远程和Web,Ftp(3389,80,21)等等,有邮件服务器的还要打开25和130端口.4.安装好SQL后进入目录搜索 xplog70 然后将找到的三个文件改名或者删除.5.更改sa密码为你都不知道的超长密码,在任何情况下都不要用sa这个帐户.6.改名系统默认帐户名并新建一个Administrator帐户作为陷阱帐户,设置超长密码,并去掉所有用户组.(就是在用户组那里设置为空即可.让这个帐号不属于任何用户组)同样改名禁用掉Guest用户.7.配置帐户锁定策略(在运行中输入gpedit.msc回车，打开组策略编辑器，选择计算机配置-Windows设置-安全设置-账户策略-账户锁定策略，将账户设为“三次登陆无效”，“锁定时间30分钟”，“复位锁定计数设为30分钟”。
)8.在安全设置里本地策略-安全选项将网络访问:可匿名访问的共享 ;网络访问:可匿名访问的命名管道 ;网络访问:可远程访问的注册表路径 ;网络访问:可远程访问的注册表路径和子路径 ;以上四项清空.9.在安全设置里本地策略-安全选项通过终端服务拒绝登陆加入ASPNETGuestIUSR_*****IWAM_*****NETWORK SERVICESQLDebugger(****表示你的机器名,具体查找可以点击添加用户或组选高级选立即查找在底下列出的用户列表里选择. 注意不要添加进user组和administrators 组添加进去以后就没有办法远程登陆了.)10.去掉默认共享,将以下文件存为reg后缀,然后执行导入即可.Windows Registry Editor Version 5.00[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\param eters]"AutoShareServer"=dword:00000000"AutoSharewks"=dword:0000000011. 禁用不需要的和危险的服务,以下列出服务都需要禁用.Alerter 发送管理警报和通知Computer Browser:维护网络计算机更新Distributed File System: 局域网管理共享文件Distributed linktracking client 用于局域网更新连接信息Error reporting service 发送错误报告Remote Procedure Call (RPC) Locator RpcNs*远程过程调用 (RPC) Remote Registry 远程修改注册表Removable storage 管理可移动媒体、驱动程序和库Remote Desktop Help Session Manager 远程协助Routing and Remote Access 在局域网以及广域网环境中为企业提供路由服务Messenger 消息文件传输服务Net Logon 域控制器通道管理NTLMSecuritysupportprovide telnet服务和Microsoft Serch用的PrintSpooler 打印服务telnet telnet服务Workstation 泄漏系统用户名列表12.更改本地安全策略的审核策略账户管理成功失败登录事件成功失败对象访问失败策略更改成功失败特权使用失败系统事件成功失败目录服务访问失败账户登录事件成功失败13.更改有可能会被提权利用的文件运行权限,找到以下文件,将其安全设置里除administrators用户组全部删除,重要的是连system也不要留.net.exenet1.execmd.exetftp.exenetstat.exeregedit.exeat.exeattrib.execacls.exec.exe 特殊文件有可能在你的计算机上找不到此文件.在搜索框里输入"net.exe","net1.exe","cmd.exe","tftp.exe","netstat.exe","regedit.exe","a t.exe","attrib.exe","cacls.exe","","c.exe" 点击搜索然后全选右键属性安全以上这点是最最重要的一点了,也是最最方便减少被提权和被破坏的可能的防御方法了.14.后备工作,将当前服务器的进程抓图或记录下来，将其保存，方便以后对照查看是否有不明的程序。
2003服务器安全设置说明_1.0
win2003 服务器安全设置说明目录系统权限的设置 (2)对注册表的修改 (6)本地安全策略的配置 (7)系统服务的关闭和开启 (8)FTP的安全设置 (10)网站安全维护 (14)Windows自带的防火墙 (18)数据库安全设置 (19)远程登录账户密码的要求 (21)系统权限的设置1、先介绍一下权限设置的方案：a)被授予权限的对象分为用户和用户组两类。
b)批量的设置分为两大方案，当设置某个目录的权限时，进入高级。
i.可设置是否继承父级权限设置(第一个勾)。
ii.可设置是否替换子目录及文件的权限设置(第二个勾)。
2、系统使用之前将每个硬盘根加上Administrators用户为全部权限(可选加system用户)，同时删除掉其他所有的用户。
操作步骤：i.在硬盘盘符上，鼠标右击，选择属性。
ii.选择“安全”选项卡，看到安全设置，其中“组或用户名称”中是对当前磁盘有操作权限的所有的用户组或用户。
下面则是对这个用户组或用户进行的权限设置。
iii.点击“高级”按钮，进入“高级安全设置”，如果想把此应用同时应用到子目录中是，则可以选择下面的单选框。
3、对系统盘我们特殊处理。
先具体文件夹的权限如下：i.C盘：只授予 System 和 Administrators 完全控制权限，删除其他用户或组，不替换子目录。
ii.C:\Documents and Settings:仅继承父级，并替换子目录。
iii.C:\Inetpub : 删除之，不要使用该目录作为网站发布的目录、iv.C:\Program Files: 仅继承父级，并替换子目录。
v.C:\Program Files\Common Files\Microsoft Shared：删除继承并保设置（在“高级”中取消第一个勾，再在弹出的对话中选“复制”）添加 Users 组，只授予读取权限，将该目录的设置替换它的子目录（勾中第二个勾）。
vi.C:\Windows：删除继承并保留设置，添加 Users 组，只授予读取权限，将该目录的设置替换它的子目录（具体做法和上面 /Microsoft Shared目录设置一样）。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
WEB+FTP+Email服务器安全配置手册作者：阿里西西2006-8-11目录第一章：硬件环境第二章：软件环境第三章：系统端口安全配置第四章：系统帐户及安全策略配置第五章：IIS和WEB站点文件夹权限配置第六章：FTP服务器安全权限配置第七章：Email服务器安全权限配置第八章：远程管理软件配置第九章：其它安全配置建议第十章：篇后语一、硬件环境服务器采用1U规格的机架式托管主机，大概配置为Nocona2.8G/1G DDR2/160G*2SATA 硬盘/双网卡/光驱软驱/3*USB2.0。
二、软件环境操作系统：Windows Server 2003 Enterprise Edition sp1WEB系统：Win操作系统自带IIS6，支持.NET邮件系统：MDaemon 8.02英文版FTP服务器系统：Serv-U 6.0.2汉化版防火墙: BlackICE Server Protection，中文名：黑冰杀毒软件：NOD32 2.5远程管理控件：Symantec pcAnywhere11.5+Win系统自带的MSTSC数据库：MSSQL2000企业版相关支持组件：JMail 4.4专业版，带POP3接口；ASPJPEG图片组件相关软件：X-SCAN安全检测扫描软件；ACCESS；EditPlus[相关说明]*考虑服务器数据安全，把160G*2硬盘做成了阵列，实际可用容易也就只有一百多G了。
*硬盘分区均为NTFS分区；NTFS比FAT分区多了安全控制功能，可以对不同的文件夹设置不同的访问权限，安全性增强。
操作系统安装完后，第一时间安装NOD32杀毒软件，装完后在线更新病毒库，接着在线Update操作系统安全补丁。
*安装完系统更新后，运行X-SCAN进行安全扫描，扫描完后查看安全报告，根据安全报告做出相应的安全策略调整即可。
*出于安全考虑把MSTSC远程桌面的默认端口进行更改。
三、系统端口安全配置下面先是介绍关于端口的一些基础知识，主要是便于我们下一步的安全配置打下基础，如果你对端口方面已经有较深了解可以略过这一步。
端口是计算机和外部网络相连的逻辑接口，也是计算机的第一道屏障，端口配置正确与否直接影响到主机的安全，一般来说，仅打开你需要使用的端口会比较安全，配置的方法是在网卡属性-TCP/IP-高级-选项-TCP/IP筛选中启用TCP/IP筛选。
下面先介绍一下端口的基础知识。
在网络技术中，端口（Port）大致有两种意思：一是物理意义上的端口，比如，ADSL Modem、集线器、交换机、路由器用于连接其他网络设备的接口，如RJ-45端口、SC端口等等。
二是逻辑意义上的端口，一般是指TCP/IP协议中的端口，端口号的范围从0到65535，比如用于浏览网页服务的80端口，用于FTP服务的21端口等等。
（一）按端口号分布划分：（1）知名端口（Well-Known Ports）知名端口即众所周知的端口号，范围从0到1023，这些端口号一般固定分配给一些服务。
比如21端口分配给FTP服务，25端口分配给SMTP（简单邮件传输协议）服务，80端口分配给HTTP服务，135端口分配给RPC（远程过程调用）服务等等。
（2）动态端口（Dynamic Ports）动态端口的范围从1024到65535，这些端口号一般不固定分配给某个服务，也就是说许多服务都可以使用这些端口。
只要运行的程序向系统提出访问网络的申请，那么系统就可以从这些端口号中分配一个供该程序使用。
比如1024端口就是分配给第一个向系统发出申请的程序。
在关闭程序进程后，就会释放所占用的端口号。
不过，动态端口也常常被病毒木马程序所利用，如冰河默认连接端口是7626、WAY 2.4是8011、Netspy 3.0是7306、YAI病毒是1024等等。
（二）按协议类型划分：可以分为TCP、UDP、IP和ICMP（Internet控制消息协议）等端口。
下面主要介绍TCP和UDP端口。
（1）TCP端口TCP端口，即传输控制协议端口，需要在客户端和服务器之间建立连接，这样可以提供可靠的数据传输。
常见的包括FTP服务的21端口，Telnet服务的23端口，SMTP服务的25端口，以及HTTP服务的80端口等等。
（2）UDP端口UDP端口，即用户数据包协议端口，无需在客户端和服务器之间建立连接，安全性得不到保障。
常见的有DNS服务的53端口，SNMP（简单网络管理协议）服务的161端口，QQ使用的8000和4000端口等等。
介绍完了有关端口的基础知识，下面我们就开始进行服务器的端口安全配置。
在一般的WEB+Email服务器上，推荐同时使用PcanyWhere和终端服务进行远程控制管理，基于安全考虑把终端服务3389端口修改成6868端口，方法如下：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\TerminalServer\Wds\Repwd\Tds\Tcp, 找到PortNumber项，双击选择十进制，输入你要改成的端口即可，这里我们输入6868。
再找到键值：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\Win Stations，在右侧窗口找到PortNumber并按上面的方法输入6868，设置成新的端口就可以了。
这样，在用MSTSC访问远程桌面时，IP或网址后加上：6868即端口号就可以了。
如图(1)：图(1):远程桌面连接端口接着根据要开放的服务，去设置TCP/IP筛选。
要查看端口使用状况，可以使用Netstat在命令行状态下查看，依次点击“开始→运行”，键入“cmd”并回车，打开命令提示符窗口。
在命令提示符状态下键入“netstat -a -n”，按下回车键后就可以看到以数字形式显示的TCP和UDP连接的端口号及状态。
我们根据服务器上端口的使用情况在TCP/IP筛选设置我们需要开放的端口，右击网上邻居属性-->右击本地连接属性-->(双击TCP/IP) -->高级-->选项-->属性启用TCP/IP筛选，如图(2)：图(２):本地连接属性１图(3):本地连接属性２图(４):本地连接属性３在TCP端口筛选只允许21，25，110，80，1433，3000，5631，6868，8735，10001，10002，10003，10004，10005等相关必须使用的端口（请根据你的实际情况进行设定）；TCP/IP端口里面的都是几个常有的知名端口，10001-10005是设置Serv-U的PASV模式使用的端口，3000是MDaemon默认的WEB登陆端口，6868 图(５): TCP端口筛选是自定义修改的MSTSC远程桌面端口，当然也可以使用别的。
IP协议和UDP端口根据您的需要做出相应配置，本人未仔细研究过，请根据你的实际应用进行筛选。
接着，我们要在本地连接属性里面，卸载所有的其他协议，只留下Internet协议（TCP/IP），把默认的共享和打印机卸载掉。
如图(6)：图(６): 删除共享和打印机共享然后，再双击Internet协议（TCP/IP）进入高级选项窗口，选择WINS选项卡，选中禁止TCP/IP上的NetBIOS项，可有效防止他人从网络NetBIOS协议获取计算机相关信息。
如图(7)：图(７):禁用NetBIOS四、系统帐户及安全策略配置右击桌面我的电脑--->管理--->本地用户与组，进行系统用户帐户管理，如图(8)：图(8): 本地用户与组把administrator帐号改成较为复杂点的名称，例如AliStudioAdministrator，并赋予强类型组合密码（数字+字母+符号组合）如Pass1R3&6gG，口令必须定期更改（建议至少两周该一次），且最好记在心里，除此以外不要在任何地方做记录；取消所有除管理员root外所有用户属性中的远程控制->启用远程控制以及终端服务配置文件->允许登陆到终端服务器。
另外，经常检查管理工具的事件查看器，如果在日志审核中发现某个帐号被连续尝试，则必须立刻更改此帐号和口令；接着禁用或更名Guest用户帐号，并将它从Guest组删掉。
同时可以新建一个没有任何权限的Administrator用户并赋予长串密码，用以迷惑试图穷举破解管理员密码的菜鸟黑客：）。
除过Administrator外，有必要再增加一个属于管理员组的帐号；最好再新增一个管理员组的帐号，一方面防止忘记其中一个帐号口令，还能有个备用帐号；同时，如果一旦黑客攻破其一个管理帐号并更改口令，我们还有机会重新在短期内取得控制权做出相应处理。
接着配置相关的安全策略，打开管理工具中的本地安全策略设置的安全选项，设置登陆时不显示上次登陆帐号，如图(9):图(9): 本地安全策略在帐户锁定策略中将锁定阈值设置为三次无效登陆即锁定，锁定时长为30分钟。
如图(10)：图(10): 帐户锁定策略锁定时长为３０分钟，如图(11):图(11): 锁定时长打开本地安全策略->审核策略中打开相应的审核，推荐的审核是：账户管理成功失败；登录事件成功失败；对象访问失败；策略更改成功失败；特权使用失败；系统事件成功失败；目录服务访问失败；账户登录事件成功失败。
如图(12)：图(12): 审核策略接着，删除系统默认的共享，修改注册表的方法：运行Regedit，然后修改注册表在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Para meters下增加一个键：Name: AutoShareServer ; Type: REG_DWORD ;value: 0重新启动后默认的磁盘分区共享将会去掉，但IPC共享仍存在，需每次重启后手工删除。
接着再通过修改注册表，禁止IPC空连接。
黑客通常可以利用net use命令建立空连接入侵服务器，还有net view，nbtstat这些都是基于空连接的，禁止空连接就能较好的杜绝这一类安全隐患发生。
我们打开注册表，找到以下项：Local_Machine/System/CurrentControlSet/Control/LSA-RestrictAnonymous 把这个值改成”1”即可。
最后，我们还要禁用不必要的系统服务，提高安全性和系统效率。
打开系统管理工具的[服务]，如图(13)：图(13): 系统服务可停用的服务列表如下（本操作可能会影响你的计算中相关应用程序的正常使用，请检查没有与下列服务相依赖的应用程序。
）：Computer Browser 维护网络上计算机的最新列表以及提供这个列表Task scheduler 允许程序在指定时间运行Routing and Remote Access 在局域网以及广域网环境中为企业提供路由服务Removable storage 管理可移动媒体、驱动程序和库Remote Registry Service 允许远程注册表操作Print Spooler 将文件加载到内存中以便以后打印。