1、开始菜单—>管理工具—>本地安全策略
A、本地策略——>审核策略
审核策略更改　成功　失败
审核登录事件　成功　失败
审核对象访问失败
审核过程跟踪　无审核
审核目录服务访问失败
审核特权使用失败
审核系统事件　成功　失败
审核账户登录事件　成功　失败
审核账户管理　成功　失败
B、本地策略——>用户权限分配
关闭系统：只有Administrators组、其它全部删除。
通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除
C、本地策略——>安全选项
交互式登陆：不显示上次的用户名　启用
网络访问：不允许SAM帐户和共享的匿名枚举　 启用
网络访问：不允许为网络身份验证储存凭证　启用
网络访问：可匿名访问的共享　全部删除
网络访问：可匿名访问的命全部删除
网络访问：可远程访问的注册表路径全部删除
网络访问：可远程访问的注册表路径和子路径全部删除
帐户：重命名来宾帐户重命名一个帐户
帐户：重命名系统管理员帐户　重命名一个帐户
2、IIS站点设置：
2.1、将IIS目录＆数据与系统磁盘分开，保存在专用磁盘空间内。
2.2、启用父级路径
2.3、在IIS管理器中删除必须之外的任何没有用到的映射（保留asp, aspx html htm 等必要映射即可）
2.4、在IIS中将HTTP404 Object Not Found出错页面通过URL重定向到一个定制HTM文件
2.5、Web站点权限设定（建议）
读 允许
写 不允许
脚本源访问 不允许
目录浏览 建议关闭
日志访问 建议关闭
索引资源 建议关闭
执行 推荐选择 “纯脚本”
2.6、建议使用W3C扩充日志文件格式，每天记录客户IP地址，用户名，服务器端口，方法，URI字根，HTTP状态，用户代理，而且每天均要审查日志。（最好不要使用缺省的目录，建议更换一个记日志的路径，同时设置日志的访问权限，只允许管理员和system为Full Control）。
2.7、程序安全:
1) 涉及用户名与口令的程序最好封装在服务器端，尽量少的在ASP文件里出现，涉及到与数据库连接地用户名与口令应给予最小的权限;
2) 需要经过验证的ASP页面，可跟踪上一个页面的文件名，只有从上一页面转进来的会话才能读取这个页面。
3) 防止ASP主页.inc文件泄露问题;
4) 防止UE等编辑器生成some.asp.bak文件泄露问题。
5)如果数据库是access,要防止mdb格式的数据库被下载,也不要命名asp为扩展做为数据库.
6、IIS权限设置的思路
·要为每个独立的要保护的个体（比如一个网站或者一个虚拟目录）创建一个系统用户，让这个站点在系统中具有惟一的可以设置权限的身份。
·在IIS的【站点属性或者虚拟目录属性→目录安全性→匿名访问和验证控制→编辑→匿名访问→编辑】填写刚刚创建的那个用户名。
·设置所有的分区禁止这个用户访问，而刚才这个站点的主目录对应的那个文件夹设置允许这个用户访问（要去掉继承父权限，并且要加上超管组和SYSTEM组）。
 
Windows Server2003系统安全设置
NET.EXE,NET1.EXE,CMD.EXE,FTP.EXE,ATTRIB.EXE,CACLS.EXE,AT.EXE,FORMAT.COM,
TELNET.EXE,COMMAND.COM,NETSTAT.EXE,REGEDIT.EXE,ARP.EXE,NBTSTAT.EXE tftp.exe
把以上命令文件通通只给Administrators 和SYSTEM为完全控制权限
附更改3389端口(dword:00000d3d为十六进制)
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]
"PortNumber"=dword:00000d3d
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]
"PortNumber"=dword:00000d3d