Win2003 安全設定大全

就“最小的許可權+最少的服務=最大的安全”呢？其實不然，任何事物都是相對的依我個人而見，以上設定也只是最基本的一些東西而已 NTFS系統許可權設定 在使用之前將每個硬碟根加上 Administrators 使用者為全部許可權(可選加入SYSTEM使用者)
刪除其它使用者，進入系統盤:許可權如下
C:\WINDOWS Administrators SYSTEM使用者全部許可權 Users 使用者預設許可權不作修改
其它目錄刪除Everyone使用者，切記C:\Documents and Settings下All Users\Default User目錄及其子目錄
如C:\Documents and Settings\All Users\Application Data 目錄預設配置保留了Everyone使用者許可權
C:\WINDOWS 目錄下面的許可權也得注意,如 C:\WINDOWS\PCHealth、C:\windows\Installer也是保留了Everyone許可權.
刪除C:\WINDOWS\Web\printers目錄，此目錄的存在會造成IIS里加入一個.printers的副檔名，可溢位攻擊
預設IIS錯誤頁面已基本上沒多少人使用了。建議刪除C:\WINDOWS\Help\iisHelp目錄
刪除C:\WINDOWS\system32\inetsrv\iisadmpwd，嬰兒起名此目錄為管理IIS密碼之用，如一些因密碼不同步造成500
錯誤的時候使用 OWA 或 Iisadmpwd 修改同步密碼，但在這裡可以刪掉，下面講到的設定將會杜絕因系統
設定造成的密碼不同步問題。
開啟C:\Windows 搜尋
net.exe;cmd.exe;tftp.exe;netstat.exe;regedit.exe;at.exe;attrib.exe;cacls.exe;format.com;
regsvr32.exe;xcopy.exe;wscript.exe;cscript.exe;ftp.exe;telnet.exe;arp.exe;edlin.exe;
ping.exe;route.exe;finger.exe;posix.exe;rsh.exe;atsvc.exe;qbasic.exe;runonce.exe;syskey.exe
修改許可權，刪除所有的使用者只儲存Administrators 和SYSTEM為所有許可權
關閉445埠
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\netBT\Parameters
新建 “DWORD值”值名為 “SMBDeviceEnabled” 資料為預設值“0”
禁止建立空連線
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
新建 “DWORD值”值名為 “RestrictAnonymous” 資料值為“1” [2003預設為1]
禁止系統自動啟動伺服器共享
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
新建 “DWORD值”值名為 “AutoShareServer” 資料值為“0”
禁止系統自動啟動管理共享
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
新建 “DWORD值”值名為 “AutoShareWks” 資料值為“0”
透過修改登錄檔防止小規模DDOS攻擊
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建 “DWORD值”值名為 “SynAttackProtect” 資料值為“1”
禁止dump file的產生
dump檔案在系統崩潰和藍色畫面的時候是一份很有用的查詢問題的資料。然而，它也能夠給駭客提供一些敏感
資訊比如一些應用程式的密碼等。控制皮膚>系統屬性>高階>啟動和故障恢復把 寫入除錯資訊 改成無。
關閉華醫生Dr.Watson
在開始-執行中輸入“drwtsn32”，或者開始-程式-附件-系統工具-系統資訊-工具-Dr Watson，調出系統
裡的華醫生Dr.Watson ，只保留“轉儲全部執行緒上下文”選項，否則一旦程式出錯，硬碟會讀很久，並佔
用大量空間。如果以前有此情況，請查詢user.dmp檔案，刪除後可節省幾十MB空間。
本地安全策略配置
開始 > 程式 > 管理工具 > 本地安全策略
賬戶策略 > 密碼策略 > 密碼最短使用期限 改成0天[即密碼不過期，上面我講到不會造成IIS密碼不同步]
賬戶策略 > 賬戶鎖定策略 > 賬戶鎖定閾值 5 次 賬戶鎖定時間 10分鐘 [個人推薦配置]