一定要設置最小的權(quán)限！

一下幾點必須做到：

1.  NTFS系統(tǒng)權(quán)限設置 在使用之前將每個硬盤根加上 Administrators 用戶為全部權(quán)限(可選加入SYSTEM用戶)刪除其它用戶.

2. 進入系統(tǒng)盤:權(quán)限如下

C:\WINDOWS Administrators SYSTEM用戶全部權(quán)限 Users 用戶默認權(quán)限不作修改.

其它目錄刪除Everyone用戶，注意以下文件夾保留Everyone用戶,C:\Documents and Settings下All Users\Default User目錄及其子目錄如C:\Documents and Settings\All Users\Application Data 目錄默認配置保留了Everyone用戶權(quán)限,C:\WINDOWS\PCHealth、C:\windows\Installer也是保留了Everyone權(quán)限.

刪除C:\WINDOWS\Web\printers目錄，此目錄的存在會造成IIS里加入一個.printers的擴展名，可溢出攻擊.

默認IIS錯誤頁面已基本上沒多少人使用了。建議刪除C:\WINDOWS\Help\iisHelp目錄.

刪除C:\WINDOWS\system32\inetsrv\iisadmpwd，此目錄為管理IIS密碼之用，如一些因密碼不同步造成500,這里可以刪掉,下面設置將會杜絕因系統(tǒng)問題.

3, 打開C:\Windows 搜索(此項可以不做)

net.exe

cmd.exe

tftp.exe

netstat.exe

regedit.exe

at.exe

attrib.exe

cacls.exe

format.com

regsvr32.exe

xcopy.exe

wscript.exe

cscript.exe

ftp.exe

telnet.exe

arp.exe

edlin.exe

ping.exe

route.exe

finger.exe

posix.exe

rsh.exe

atsvc.exe

qbasic.exe

runonce.exe

syskey.exe

修改權(quán)限，刪除所有的用戶只保存Administrators 和SYSTEM為所有權(quán)限

4. 關閉445端口

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\netBT\Parameters

新建 “DWORD值”值名為 “SMBDeviceEnabled” 數(shù)據(jù)為默認值“0”

禁止建立空連接

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

新建 “DWORD值”值名為 “RestrictAnonymous” 數(shù)據(jù)值為“1” [2003默認為1]

禁止系統(tǒng)自動啟動服務器共享

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

新建 “DWORD值”值名為 “AutoShareServer” 數(shù)據(jù)值為“0”

禁止系統(tǒng)自動啟動管理共享

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

新建 “DWORD值”值名為 “AutoShareWks” 數(shù)據(jù)值為“0”

禁止dump file的產(chǎn)生

dump文件在系統(tǒng)崩潰和藍屏的時候是一份很有用的查找問題的資料。然而，它也能夠給黑客提供一些敏感信息比如一些應用程序的密碼等。

控制面板>系統(tǒng)屬性>高級>啟動和故障恢復把 寫入調(diào)試信息 改成無。

5. 本地安全策略配置

開始 > 程序 > 管理工具 > 本地安全策略

賬戶策略 > 密碼策略 > 密碼最短使用期限 改成0天[即密碼不過期，上面我講到不會造成IIS密碼不同步]

賬戶策略 > 賬戶鎖定策略 > 賬戶鎖定閾值 5 次 賬戶鎖定時間 10分鐘 [個人推薦配置]

本地策略 > 審核策略 >

賬戶管理 成功 失敗

登錄事件 成功 失敗

對象訪問 失敗

策略更改 成功 失敗

特權(quán)使用 失敗

系統(tǒng)事件 成功 失敗

目錄服務訪問 失敗

賬戶登錄事件 成功 失敗

本地策略 > 安全選項 > 清除虛擬內(nèi)存頁面文件 更改為"已啟用"

> 不顯示上次的用戶名 更改為"已啟用"

> 不需要按CTRL+ALT+DEL 更改為"已啟用"

> 不允許 SAM 賬戶的匿名枚舉 更改為"已啟用"

> 不允許 SAM 賬戶和共享的匿名枚舉 更改為"已啟用"

> 重命名來賓賬戶 更改成一個復雜的賬戶名

> 重命名系統(tǒng)管理員賬號 更改一個自己用的賬號 [同時可建立一個無用戶組的Administrat賬戶]

組策略編輯器

運行 gpedit.msc 計算機配置 > 管理模板 > 系統(tǒng) 顯示“關閉事件跟蹤程序” 更改為已禁用

刪除不安全組件

WScript.Shell 、Shell.application 這兩個組件一般一些ASP木馬或一些惡意程序都會使用到。

方案一：

regsvr32 /u wshom.ocx 卸載WScript.Shell 組件

regsvr32 /u shell32.dll 卸載Shell.application 組件

如果按照上面講到的設置，可不必刪除這兩個文件

方案二：

刪除注冊表 HKEY_CLASSES_ROOT\CLSID\{72C24DD5-D70A-438B-8A42-98424B88AFB8} 對應 WScript.Shell

刪除注冊表 HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540000} 對應 Shell.application

6. 用戶管理

建立另一個備用管理員賬號，防止特殊情況發(fā)生。

安裝有終端服務與SQL服務的服務器停用TsInternetUser, SQLDebugger這兩個賬號

7.用戶組說明

在將來要使用到的IIS中，IIS用戶一般使用Guests組，也可以再重新建立一個獨立的專供IIS使用的組，但要將這個組賦予C:\Windows 目錄為讀取權(quán)限。

8.以下服務改為自動

Alerter

Application Experience Lookup Service

Application Layer Gateway Service

Application Management

Background Intelligent Transfer Service

ClipBook

COM+ Event System