解析Windows 2003安全加固方案

　　我们通过以下几个方面对您的系统进行安全加固：

　　1. 系统的安全加固：我们通过配置目录权限，系统安全策略，协议栈加强，系统服务和访问控制加固您的系统，整体提高服务器的安全性。

　　2. IIS手工加固：手工加固iis可以有效的提高iweb站点的安全性，合理分配用户权限，配置相应的安全策略，有效的防止iis用户溢出提权。

　　3. 系统应用程序加固，提供应用程序的安全性，例如sql的安全配置以及服务器应用软件的安全加固。

　　系统的安全加固：

　　1.目录权限的配置：

　　1.1 除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权，之后再对其下的子目录作单独的目录权限，如果WEB站点目录，你要为其目录权限分配一个与之对应的匿名访问帐号并赋予它有修改权限，如果想使网站更加坚固，可以分配只读权限并对特殊的目录作可写权限。

　　1.2 系统所在分区下的根目录都要设置为不继承父权限，之后为该分区只赋予Administrators和SYSTEM有完全控制权。

　　1.3 因为服务器只有管理员有本地登录权限，所在要配置Documents and Settings这个目录权限只保留Administrators和SYSTEM有完全控制权，其下的子目录同样。另外还有一个隐藏目录也需要同样操作。因为如果你安装有PCAnyWhere那么他的的配置信息都保存在其下，使用webshell或FSO可以轻松的调取这个配置文件。

　　1.4 配置Program files目录，为Common Files目录之外的所有目录赋予Administrators和SYSTEM有完全控制权。

　　1.5 配置Windows目录，其实这一块主要是根据自身的情况如果使用默认的安全设置也是可行的，不过还是应该进入SYSTEM32目录下，将 cmd.exe、ftp.exe、net.exe、scrrun.dll、shell.dll这些杀手锏程序赋予匿名帐号拒绝访问。

　　1.6审核MetBase.bin，C:/WINNT/system32/inetsrv目录只有administrator只允许Administrator用户读写。

　　2.组策略配置:

　　在用户权利指派下，从通过网络访问此计算机中删除Power Users和Backup Operators;

　　启用不允许匿名访问SAM帐号和共享;

　　启用不允许为网络验证存储凭据或Passport;

　　从文件共享中删除允许匿名登录的DFS$和COMCFG;

　　启用交互登录：不显示上次的用户名;

　　启用在下一次密码变更时不存储LANMAN哈希值;

　　禁止IIS匿名用户在本地登录;

服务器租用/服务器托管中国五强！虚拟主机域名注册顶级提供商！15年品质保障！--亿恩科技[ENKJ.COM]