windows 2003 安全设置解决方案

z7369

　　1. 修改3389远程连接端口
　　修改注册表
　　　　第一处   运行RegEdit，打开注册表编辑器。找到[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]，看到右边的 PortNumber 了吗？在十进制状态下改成你想要的端口号吧，比如 7126 之类的，只要不与其它冲突即可。
　　　　第二处   运行RegEdit，打开注册表编辑器。找到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp，方法同上，记得改的端口号和上面改的一样就行了。   
　　注意：别忘了在WINDOWS2003自带的防火墙给+上7126端口,也就是你所修改的那个端口号
　　设置这两个注册表的权限, 添加“IUSR”的完全拒绝 禁止显示端口号
　　修改完毕.重新启动服务器.设置生效.
　　　　详细参考见：http://hi.baidu.com/cunriqian/item/d799e35fa0612e9f8c12ed92
　　
　　2．用户安全设置
　　2.1. 禁用Guest账号
　　在计算机管理的用户里面把Guest账号禁用。为了保险起见，最好给Guest加一个复杂的密码。你可以打开记事本，在里面输入一串包含特殊字符、数字、字母的长字符串，然后把它作为Guest用户的密码拷进去。
　　2.12. 限制不必要的用户
　　去掉所有的Duplicate User用户、测试用户、共享用户等等。用户组策略设置相应权限，并且经常检查系统的用户，删除已经不再使用的用户。这些用户很多时候都是黑客们入侵系统的突破口。
　　2.3. 把系统Administrator账号改名
　　大家都知道，Windows 2003 的Administrator用户是不能被停用的，这意味着别人可以一遍又一遍地尝试这个用户的密码。尽量把它伪装成普通用户，比如改成Guesycludx。
　　2.4. 创建一个陷阱用户
　　什么是陷阱用户?即创建一个名为“Administrator”的本地用户，把它的权限设置成最低，什么事也干不了的那种，并且加上一个超过10位的超级复杂密码。这样可以让那些 Hacker们忙上一段时间，借此发现它们的入侵企图。
　　2.5. 把共享文件的权限从Everyone组改成授权用户
　　2.6. 开启用户策略
　　使用用户策略，分别设置复位用户锁定计数器时间为20分钟，用户锁定时间为20分钟，用户锁定阈值为3次。 （该项为可选）
　　3. 本地安全策略设置
　　开始菜单—>管理工具—>本地安全策略
　　　3.1. 本地策略——>审核策略
　　　　审核策略更改　　　成功　失败　　
　　　　审核登录事件　　　成功　失败
　　　　审核对象访问　　　　　　失败
　　　　审核过程跟踪　　　无审核
　　　　审核目录服务访问　　　　失败
　　　　审核特权使用　　　　　　失败
　　　　审核系统事件　　　成功　失败
　　　　审核账户登录事件　成功　失败
　　　　审核账户管理　　　成功　失败
　　3.2. 本地策略——>用户权限分配
　　　　关闭系统：只有Administrators组、其它全部删除。
　　　　通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除
　　3.3. 本地策略——>安全选项
　　　　交互式登陆：不显示上次的用户名　　　　　　　启用
　　　　网络访问：不允许SAM帐户的匿名枚举 启用
　　网络访问：不允许SAM帐户和共享的匿名枚举　 启用
　　网络访问.限制匿名访问命名管道和共享,更改为"已启用" ;
　　网络访问.不允许存储网络身份验证的凭据或 .NET Passports 启用" ;
　　　　网络访问：可匿名访问的共享　　　　　　　　　 将后面的值全部删除
　　　　网络访问：可匿名访问的命名管道　　　　　　　将后面的值全部删除
　　　　网络访问：可远程访问的注册表路径　　　　　　 将后面的值全部删除
　　　　网络访问：可远程访问的注册表路径和子路径　　 将后面的值全部删除
　　　　帐户：重命名来宾帐户　　　　　　　　　　　　重命名一个帐户
　　　　帐户：重命名系统管理员帐户　　　　　　　　　重命名一个帐户
　　帐户.重命名来宾帐户guest
　　帐户.重命名系统管理员帐户
　　4. 禁止建立空连接
　　　　IPC$(Internet Process Connection) 是共享 " 命名管道 " 的资源，它是为了让进程间通信而开放的命名管道，通过提供可信任的用户名和口令，连接双方可以建立安全的通道并以此通道进行加密数据的交换，从而实现对远程计算机的访问。
　　　　使用命令 net use url=file://\\IP\ipc$\\IP\ipc$ "" /user:"" 就可以简单地和目标建立一个空连接（需要目标开放ipc$）。
　　　　Windows 2000及以上系统的默认安装允许任何用户可通过空连接连上服务器，枚举账号并猜测密码。空连接用的端口是139，通过空连接，可以复制文件到远端服务器，计划执行一个任务，这就是一个漏洞。可以通过以下方法禁止建立空连接：
　　　　修改注册表中Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous 的值为1。
　　　　完整参考参见百度经验：http://jingyan.baidu.com/article/d8072ac43a984fec95cefdff.html
　　22. 磁盘权限设置
　　　　系统盘及所有磁盘只给 Administrators 组和 SYSTEM 的完全控制权限
　　
　　　　系统盘\Documents and Settings 目录只给 Administrators 组和 SYSTEM 的完全控制权限
　　
　　　　系统盘\Documents and Settings\All Users 目录只给 Administrators 组和 SYSTEM 的完全控制权限
　　
　　　　系统盘\Windows\System32\cacls.exe、cmd.exe、net.exe、net1.exe、ftp.exe、tftp.exe、telnet.exe 、 netstat.exe、regedit.exe、at.exe、attrib.exe、format.com、del文件只给 Administrators 组和SYSTEM 的完全 控制权限
　　
　　另将\System32\cmd.exe、format.com、ftp.exe转移到其他目录或更名
　　
　　　　Documents and Settings下所有些目录都设置只给adinistrators权限。并且要一个一个目录查看，包括下面的所有子目录。
　　
　　删除c:\inetpub目录