Windows 2000 Server 安全设置

安全设置应该在所有应用程序安装完成并运行正常后与接入网络（局域网和Internet）之前进行。

操作系统安全设置包括磁盘目录和系统文件的权限设置、系统运行的服务设置、本地安全策略配置等三项内容。

禁用下列服务：

Alerter 通知所选用户和计算机有关系统管理级警报。
Application Management 提供软件安装服务，诸如分派，发行以及删除。
Automatic Updates 从 Windows Update 启用重要的 Windows 更新的下载和安装。如果禁用该服务，操作系统可以在 Windows Update Web 网站手动更新。
Background Intelligent Transfer Service 用闲置网络带宽在后台传输文件。如果此服务被禁用，那么任何依赖于 BITS 的功能，例如 Windows Update 或 MSN Explorer，都将不能自动下载程序和其它信息。
ClipBook 支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页面。
Distributed Link Tracking Server 保存文件在域中卷之间移动的信息。
Fax Service 帮助您发送和接收传真
File Replication 在多个服务器间维护文件目录内容的文件同步。
Indexing Service
Internet Connection Sharing 为通过拨号网络连接的家庭网络中所有计算机提供网络地址转换、定址以及名称解析服务。
Intersite Messaging 允许在 Windows Advanced Server 站点间发送和接收消息。
Kerberos Key Distribution Center 产生会话密钥以及授予用于交互式客户/服务器验证的服务凭据(ticket)。
Logical Disk Manager Administrative Service 磁盘管理请求的系统管理服务
Messenger 发送和接收系统管理员或者“警报器”服务传递的消息。
Net Logon 支持网络上计算机 pass-through 帐户登录身份验证事件。
NetMeeting Remote Desktop Sharing 允许有权限的用户使用 NetMeeting 远程访问 Windows 桌面。
Network DDE 提供动态数据交换 (DDE) 的网络传输和安全特性。
Network DDE DSDM 管理网络 DDE 的共享动态数据交换
Performance Logs and Alerts 配置性能日志和警报。
Print Spooler 将文件加载到内存中以便迟后打印。
QoS RSVP 为依赖质量服务(QoS)的程序和控制应用程序提供网络信号和本地通信控制安装功能。
Remote Access Auto Connection Manager 无论什么时候当某个程序引用一个远程 DNS 或 NetBIOS 名或者地址就创建一个到远程网络的连接。
Remote Procedure Call (RPC) Locator 管理 RPC 名称服务数据库。
Remote Registry Service 允许远程注册表操作。
Routing and Remote Access 在局域网以及广域网环境中为企业提供路由服务。
Smart Card 对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。
Smart Card Helper 提供对连接到计算机上旧式智能卡的支持。
Telnet 允许远程用户登录到系统并且使用命令行运行控制台程序。
Terminal Services 提供多会话环境允许客户端设备访问虚拟的 Windows 2000 Professional 桌面会话以及运行在服务器上的基于 Windows 的程序。
Uninterruptible Power Supply 管理连接到计算机的不间断电源(UPS)。
Utility Manager 从一个窗口中启动和配置辅助工具
Windows Management Instrumentation Driver Extensions 与驱动程序间交换系统管理信息。
Windows Time 设置计算机时钟。
Wireless Configuration 使用 IEEE 802.1x 为有线和无线以太网络提供身份验证的网络访问控制。

拨号连接需要启动的服务：

Remote Access Connection Manager 创建网络连接。
Telephony 提供 TAPI 的支持，以便程序控制本地计算机，服务器以及 LAN 上的电话设备和基于 IP 的语音连接。

本地完全策略

账户策略之密码策略：

密码必须符合复杂性要求 已启用
密码长度最小值 6个字符
密码最长存留期 42天
密码最短存留期 0天
强制密码历史 0个记住的密码
为域中所有用户使用可还原的加密来存储密码 已启用

账户策略之账户锁定策略：

复位账户锁定计数器 30分钟之后
账户锁定时间 30分钟
账户锁定阈值 3次无效登录

本地策略之审核策略

审核策略更改 无审核
审核登录事件 成功，失败
审核对象访问 无审核
审核过程追踪 无审核
审核目录服务访问 无审核
审核特权使用 无审核
审核系统事件 无审核
审核账户登录事件 成功，失败
审核账户管理 成功，失败

本地策略之安全选项

登录屏幕上不要显示上次登录的用户名 已启用
对匿名连接的额外限制 不允许枚举SAM帐号和共享

目录和文件的权限设置

Documents and Settings、Program Files 文件夹权限中删除Everyone
cmd.exe ftp.exe net.exe net.exe telnet.exe 文件权限中删除Everyone

取消默认的目录共享和管理共享

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmans erver\parameters
添加键：AutoShareServer 类型REG_DWORD 值0x0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmans erver\parameters
添加键：AutoShareWks 类型REG_DWORD 值0x0

账户设置

禁用Guest帐号，设置一个复杂的密码，将Guest从Guests用户组中删除。

修改默认的Administrator账户名称、全名、描述等，设置强密码。

IIS 安全设置

更改默认Web站点的主目录，删除不必要的文件映射，删除Inetpub目录。删除系统默认创建的虚拟站点、目录和文件。

SQL SERVER 2000 安全配置

为SA设置强密码

服务器网络实用工具 -> TCP/IP -> 属性：修改默认端口的值并选择隐藏服务器。

删除存在隐患的系统存储过程：

use master

sp_dropextendedproc 'xp_cmdshell'

不推荐的操作：删除注册表访问的存储过程

sp_dropextendedproc 'Xp_regaddmultistring'
sp_dropextendedproc 'Xp_regdeletekey'
sp_dropextendedproc 'Xp_regdeletevalue'
sp_dropextendedproc 'Xp_regenumvalues'
sp_dropextendedproc 'Xp_regread'
sp_dropextendedproc 'Xp_regremovemultistring'
sp_dropextendedproc 'Xp_regwrite'