文章內容

Windows 2003安全設置

發布時間: 2012/9/5 19:15:21

因為安全方面請教機房的人，他們手把手教我一點竅門，整理如下：

1、重命名管理員administrator；停用Guests帳號；設置強密碼

2、在運行這里，輸入gpedit.msc，打開windows設置。windows設置-》安全設置-》賬戶策略-賬戶鎖定策略：時間鎖定5分鐘，次數為5次，復位計數器未3分鐘，防止暴力破解。然后打開賬戶策略-》密碼策略，設置強制要求用戶設置密碼，可以防止其他用戶安全意識不夠而設置了簡單密碼，遺留一下漏洞。

3、升級到SP2。因為sp1以及以下版本遠程信息不是加密的。

4、打開我的電腦-c盤-右鍵屬性：打開安全選項，查看everyone是否可以讀取/寫，是的話去掉勾選。

5、運行，輸入cmd，運行net share，查看是否有默認共享，有的話，如果沒必要請禁用。這個是一個風險，入侵者可以使用默認共享存儲/獲取文件

如需開啟共享，請手動開啟文件共享，不要整個盤共享。管理的方法是，在計算機管理里面，計算機管理-系統工具-共享文件夾

6、在計算機里面查找 cmd.exe這個文件，請為有需要用到的用戶才勾選權限，最好就是只可以system和管理員有權限，這個是非法控制的一個關鍵點

7、如有可能，禁用以下服務
alerter

clipbook

computer browser

messenger

remote registry service

routing and remote acess

print spooler （打印機服務，一般服務器都不會接打印機的，如果網路上偽造一個打印機地址這樣就可以連接到我們的服務器，然后通過警告、錯誤等提示獲取服務器的一些信息，判斷這些信息是否可被利用）

automatic updates 最好不要啟用自動更新，因為自動更新會造成不可預見的風險，最好是手動更新

8、指定可遠程登錄的ip地址。在本地連接-屬性-tcp/ip協議屬性》高級》選項>tcp/ip篩選輸入您指定的可以遠程登錄的ip地址。

9、修改遠程桌面端口。

數據庫端口1433要修改，眾所周知，其實遠程桌面的默認端口3389也應該修改。

“修改服務器端的端口設置，注冊表有2個地方需要修改。 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp] PortNumber值，默認是3389，修改成所希望的端口，就如你所說該成6222。第二個地方： [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp] PortNumber值，默認是3389，修改成所希望的端口，該成6222，重起一下就OK了。這樣就可以了　　

要注意的是：當你的計算機修改完端口號后要想繼續使用遠程桌面，并且計算機有啟用防火墻，則必須在防火墻例外中添加所修改的端口號。否則用3389與修改后的端口號都將連不上遠程桌面。”

修改端口之前，應該看一下新端口是否已經被使用了。命令：

netstat -aon|findstr "3389"
如果沒有被使用，應該沒有什么返回。

遠程桌面帶端口的服務器，格式是這樣子滴：IP:PortNumber