Windows2003 安全配置

Windows2003 安全配置

1.停掉Guest 帐号
在计算机管理的用户里面把guest帐号停用掉，任何时候都不允许guest帐号登陆系统。为了保险起见，最好给guest 加一个复杂的密码，你可以打开记事本，在里面输入一串包含特殊字符,数字，字母的长字符串，然后把它作为guest帐号的密码拷进去。

2. 把系统administrator帐号改名并创建一个陷阱账号
   创建一个名为“Administrator”的本地帐户，把它的权限设置成最低，什么事也干不了的那种，并且加上一个超过10位的超级复杂密码。这样可以 让那些 Scripts s忙上一段时间了，并且可以借此发现它们的入侵企图。或者在它的login scripts上面做点手脚。

3. 清除默认共享隐患
   首先编写如下内容的批处理文件：
　　@echo off
　　net share C$ /del
　　net share D$ /del
　　net share E$ /del
　　net share F$ /del
　　net share admin$ /del
　 　以上文件的内容用户可以根据自己需要进行修改。保存为delshare.bat，存放到系统所在文件夹下的system32\GroupPolicy \User\Scripts\Logon目录下。然后在开始菜单→运行中输入gpedit.msc。回车即可打开组策略编辑器。点击用户配置 →Windows设置→脚本(登录/注销)→登录在出现的“登录属性”窗口中单击“添加”，会出现“添加脚本”对话框，在该窗口的“脚本名”栏中输入 delshare.bat，然后单击“确定”按钮即可

4.禁用IPC$共享
IPC$(Internet Process Connection)是共享“命名管道”的资源，它是为了让进程间通信而开放的命名管道，通过提供可信任的用户名和口令，连接双方计算机即可以建立安全 的通道并以此通道进行加密数据的交换，从而实现对远程计算机的访问。它是Windows NT/2000/XP/2003特有的功能，但它有一个特点，即在同一时间内，两个IP之间只允许建立一个连接。NT/2000/XP/2003在提供了 ipc$功能的同时，在初次安装系统时还打开了默认共享，即所有的逻辑共享(c$,d$,e$……)和系统目录winnt或 windows(admin$)共享。所有的这些，微软的初衷都是为了方便管理员的管理，但也为简称为IPC入侵者有意或无意的提供了方便条件，导致了系 统安全性能的降低。在建立IPC的连接中不需要任何黑客工具，在命令行里键入相应的命令就可以了，不过有个前提条件，那就是你需要知道远程主机的用户名和 密码。打开CMD后输入如下命令即可进行连接：net use\\ip\ipc$ "password" /user:"usernqme"。我们可以通过修改注册表来禁用IPC连接。打开注册表编辑器。找到如下组建 KEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa中的 restrictanonymous子键，将其值改为1即可禁用IPC连接

5. 清空远程可访问的注册表路径
打开组策略编辑器，依次展开“计算机配置→Windows 设置→安全设置→本地策略→安全选项”，在右侧窗口中找到“网络访问：可远程访问的注册表路径”，然后在打开的窗口中，将可远程访问的注册表路径和子路径内容全部设置为空即可

6. 磁盘权限设置
C盘只给administrators和system权限，其他的权限不给，其他的盘也可以这样设置，这里给的 system权限也不一定需要给，只是由于某些第三方应用程序是以服务形式启动的，需要加上这个用户，否则造成启动不了。Windows目录要加上给 users的默认权限，否则ASP和ASPX等应用程序就无法运行。以前有朋友单独设置Instsrv和temp等目录权限，其实没有这个必要的。另外在 c:/Documents and Settings/这里相当重要，后面的目录里的权限根本不会继承从前的设置，如果仅仅只是设置了C盘给administrators权限，而在All Users/Application Data目录下会 出现everyone用户有完全控制权限，这样入侵这可以跳转到这个目录，写入脚本或只文件，再结合其他漏洞来提升权限；譬如利用serv-u的本地溢出 提升权限，或系统遗漏有补丁，数据库的弱点，甚至社会工程学等等N多方法。在用做web/ftp服务器的系统里，建议是将这些目录都设置的锁死。其他每个 盘的目录都按照这样设置，每个盘都只给adinistrators权限。另外，还 将：net.exe，cmd.exe，tftp.exe，netstat.exe，regedit.exe，at.exe，attrib.exe，cacls.exe，format.exe…… 这些文件都设置只允许administrator访问。

待续...