Windows 2003 服务器安全设置图文教程

建议设置

极限测试

在”网络连接”里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP），由于要控制带宽流量服务，额外安装了Qos数据包计划程序。

在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS（S）"。

【管理工具－本地安全设置 secpol.msc】
　　帐户策略→帐户锁定策略
　　用户锁定阈值 3次无效登录
　　置复位帐户锁定计数器  30分钟之后
　　帐户锁定时间 30分钟

 

　　本地策略→审核策略
　　审核策略更改　　　成功　失败　　
　　审核登录事件　　　成功　失败
　　审核对象访问　　　　　　失败
　　审核过程跟踪　　　无审核
　　审核目录服务访问　　　　失败
　　审核特权使用　　　　　　失败
　　审核系统事件　　　成功　失败
　　审核账户登录事件　成功　失败
　　审核账户管理　　　成功　失败

　　本地策略→用户权限分配
　　关闭系统：只有Administrators组、其它全部删除。 
　　通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除

　　本地策略→安全选项
　　交互式登陆：不显示上次的用户名　　　　　　　启用
　　网络访问：不允许SAM帐户和共享的匿名枚举　　启用
　　网络访问：不允许为网络身份验证储存凭证　　　启用
　　网络访问：可匿名访问的共享　　　　　　　　　全部删除
　　网络访问：可匿名访问的命　　　　　　　　　　全部删除
　　网络访问：可远程访问的注册表路径　　　　　　全部删除 
　　网络访问：可远程访问的注册表路径和子路径　　全部删除 
　　帐户：重命名来宾帐户　　　　　　　　　　　　重命名一个帐户 
　　帐户：重命名系统管理员帐户　　　　　　　　　重命名一个帐户

【禁用不必要的服务 开始-运行-services.msc】
　　Computer Browser　：维护网络上计算机的最新列表以及提供这个列表 
　　Distributed File System　：局域网管理共享文件，不需要可禁用 
　　Distributed Link Tracking Client　：用于局域网更新连接信息，不需要可禁用 
　　Error Reporting Service　：禁止发送错误报告 
　　Messenger　：传输客户端和服务器之间的 NET SEND 和 警报器服务消息 
　　Microsoft Serch　：提供快速的单词搜索，不需要可禁用 
　　NT LM Security Support Provider　：telnet服务和Microsoft Serch用的，不需要可禁用 
　　Print Spooler　：如果没有打印机可禁用 
　　Remote Desktop Help Session Manager　：禁止远程协助
　　Remote Registry：禁止远程修改注册表 
　　Server　：支持此计算机通过网络的文件、打印、和命名管道共享
　　Task scheduler　：允许程序在指定时间运行 
　　TCP/IPNetBIOS Helper　：提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享文
　　Workstation　：关闭的话远程NET命令列不出用户组
　　以上是在Windows Server 2003 系统上面默认启动的服务中禁用的，默认禁用的服务如没特别需要的话不要启动。

【卸载最不安全的组件】
　　最简单的办法是直接卸载后删除相应的程序文件。
　　将下面的代码保存为一个.BAT文件，( 以下以win2003为例系统文件夹应该是 C:WINDOWS )
　　regsvr32 /u C:WINDOWSsystem32wshom.ocx
　　regsvr32 /u C:windowssystem32wshext.dll
　　regsvr32 /u C:WINDOWSsystem32shell32.dll
　　如果有可能删除这些组件
　　del C:WINDOWSsystem32shell32.dll
　　del C:WINDOWSsystem32wshom.ocx
　　del C:windowssystem32wshext.dll
　　然后运行一下，WScript.Shell, Shell.application, WScript.Network就会被卸载了。
　　去http://www.ajiang.net/products/aspcheck/下载阿江的探针查看相关安全设置情况。
　　可能会提示无法删除文件，不用管它，重启一下服务器，你会发现这三个都提示“×安全”了。
　　恢复的话，去掉/u就行了

FSO的添加
 1、首先在系统盘中查找scrrun.dll，如果存在这个文件，请跳到第三步，如果没有，请执行第二步。
 2、在安装文件目录i386中找到scrrun.dl_，用winrar解压缩后scrrun.dll复制到系统盘:windowssystem32目录。
 3、运行regsvr32 scrrun.dll即可。

 FSO删除
 regsvr32 /u scrrun.dll
 建议保留

 卸载stream对象
 在cmd下运行：
 regsvr32 /s /u "C:Program FilesCommon FilesSystemadomsado15.dll"
 恢复的话，去掉/u就行了，建议保留

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWdsrdpwdTdstcp]
"PortNumber"=dword:00002692

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp]
"PortNumber"=dword:00002692

杀毒
这里介绍MCAFEE 8i 中文企业版
因为这个版本对于国内的许多恶意代码和木马都能够及时的更新.
比如已经能够检测到海阳顶端2006
而且能够杀除IMAIL等SMTP软件使用的队列中MIME编码的病毒文件
而很多人喜欢安装诺顿企业版.而诺顿企业版,对于WEBSHELL.基本都是没有反应的.
而且无法对于MIME编码的文件进行杀毒.
在MCAFEE中.
我们还能够加入规则.阻止在windows目录建立和修改EXE.DLL文件等
我们在软件中加入对WEB目录的杀毒计划.
每天执行一次
并且打开实时监控.
注意：安装一些杀毒软件会影响ASP地执行，是因为禁用了jscript.dll和vbscript.dll组件
在dos方式下运行 regsvr32 jscript.dll, regsvr32 vbscript.dll解除限制即可
比如出现 请求的资源在使用中

regsvr32 %windir%system32jscript.dll
regsvr32 %windir%system32vbscript.dll