2003本地安全策略

1、开始菜单—>管理工具—>本地安全策略

A、本地策略——>审核策略

审核策略更改　成功　失败

审核登录事件　成功　失败

审核对象访问失败

审核过程跟踪　无审核

审核目录服务访问失败

审核特权使用失败

审核系统事件　成功　失败

审核账户登录事件　成功　失败

审核账户管理　成功　失败

B、本地策略——>用户权限分配

关闭系统：只有Administrators组、其它全部删除。

通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除

C、本地策略——>安全选项

交互式登陆：不显示上次的用户名　启用

网络访问：不允许SAM帐户和共享的匿名枚举　 启用

网络访问：不允许为网络身份验证储存凭证　启用

网络访问：可匿名访问的共享　全部删除

网络访问：可匿名访问的命全部删除

网络访问：可远程访问的注册表路径全部删除

网络访问：可远程访问的注册表路径和子路径全部删除

帐户：重命名来宾帐户重命名一个帐户

帐户：重命名系统管理员帐户　重命名一个帐户

2、IIS站点设置：

2.1、将IIS目录＆数据与系统磁盘分开，保存在专用磁盘空间内。

2.2、启用父级路径

2.3、在IIS管理器中删除必须之外的任何没有用到的映射（保留asp, aspx html htm 等必要映射即可）

2.4、在IIS中将HTTP404 Object Not Found出错页面通过URL重定向到一个定制HTM文件

2.5、Web站点权限设定（建议）

读 允许

写 不允许

脚本源访问 不允许

目录浏览 建议关闭

日志访问 建议关闭

索引资源 建议关闭

执行 推荐选择 “纯脚本”

2.6、建议使用W3C扩充日志文件格式，每天记录客户IP地址，用户名，服务器端口，方法，URI字根，HTTP状态，用户代理，而且每天均要审查日志。（最好不要使用缺省的目录，建议更换一个记日志的路径，同时设置日志的访问权限，只允许管理员和system为Full Control）。

2.7、程序安全:

1) 涉及用户名与口令的程序最好封装在服务器端，尽量少的在ASP文件里出现，涉及到与数据库连接地用户名与口令应给予最小的权限;

2) 需要经过验证的ASP页面，可跟踪上一个页面的文件名，只有从上一页面转进来的会话才能读取这个页面。

3) 防止ASP主页.inc文件泄露问题;

4) 防止UE等编辑器生成some.asp.bak文件泄露问题。

5)如果数据库是access,要防止mdb格式的数据库被下载,也不要命名asp为扩展做为数据库.

6、IIS权限设置的思路

·要为每个独立的要保护的个体（比如一个网站或者一个虚拟目录）创建一个系统用户，让这个站点在系统中具有惟一的可以设置权限的身份。

·在IIS的【站点属性或者虚拟目录属性→目录安全性→匿名访问和验证控制→编辑→匿名访问→编辑】填写刚刚创建的那个用户名。

·设置所有的分区禁止这个用户访问，而刚才这个站点的主目录对应的那个文件夹设置允许这个用户访问（要去掉继承父权限，并且要加上超管组和SYSTEM组）。

 

Windows Server2003系统安全设置

NET.EXE,NET1.EXE,CMD.EXE,FTP.EXE,ATTRIB.EXE,CACLS.EXE,AT.EXE,FORMAT.COM,
TELNET.EXE,COMMAND.COM,NETSTAT.EXE,REGEDIT.EXE,ARP.EXE,NBTSTAT.EXE tftp.exe
把以上命令文件通通只给Administrators 和SYSTEM为完全控制权限

附更改3389端口(dword:00000d3d为十六进制)

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]
"PortNumber"=dword:00000d3d
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]
"PortNumber"=dword:00000d3d