話鋒一轉就到了系統權限設置與安全配置的實際操作階段

系統設置網上有一句話是“最小的權限 最少的服務=最大的安全”。 此句基本上是個人都看過， 但我好像

沒有看到過一篇講的比較詳細稍具全面的文章， 下面就以我個人經驗作一次教學嘗試！

最小的權限如何實現？

NTFS系統權限設置 在使用之前將每個硬盤根加上 Administrators 用戶為全部權限(可選加入SYSTEM用戶)

刪除其它用戶， 進入系統盤:權限如下

C:\WINDOWS Administrators SYSTEM用戶全部權限 Users 用戶默認權限不作修改

其它目錄刪除Everyone用戶， 切記C:\Documents and Settings下All Users\Default User目錄及其子目錄

如C:\Documents and Settings\All Users\Application Data 目錄默認配置保留了Everyone用戶權限

C:\WINDOWS 目錄下面的權限也得注意,如 C:\WINDOWS\PCHealth、C:\windows\Installer也是保留了Everyone權限.

刪除C:\WINDOWS\Web\printers目錄， 此目錄的存在會造成IIS里加入一個.printers的擴展名， 可溢出攻擊

默認IIS錯誤頁面已基本上沒多少人使用了。 建議刪除C:\WINDOWS\Help\iisHelp目錄

刪除C:\WINDOWS\system32\inetsrv\iisadmpwd， 此目錄為管理IIS密碼之用， 如一些因密碼不同步造成500

錯誤的時候使用 OWA 或 Iisadmpwd 修改同步密碼， 但在這里可以刪掉， 下面講到的設置將會杜絕因系統

設置造成的密碼不同步問題。

打開C:\Windows 搜索

net.exe;cmd.exe;tftp.exe;netstat.exe;regedit.exe;at.exe;attrib.exe;cacls.exe;format.com;

regsvr32.exe;xcopy.exe;wscript.exe;cscript.exe;ftp.exe;telnet.exe;arp.exe;edlin.exe;

ping.exe;route.exe;finger.exe;posix.exe;rsh.exe;atsvc.exe;qbasic.exe;runonce.exe;syskey.exe

修改權限， 刪除所有的用戶只保存Administrators 和SYSTEM為所有權限

關閉445端口

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\netBT\Parameters

新建 “DWORD值”值名為 “SMBDeviceEnabled” 數據為默認值“0”

禁止建立空連接

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

新建 “DWORD值”值名為 “RestrictAnonymous” 數據值為“1” [2003默認為1]

禁止系統自動啟動服務器共享

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

新建 “DWORD值”值名為 “AutoShareServer” 數據值為“0”

禁止系統自動啟動管理共享

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

新建 “DWORD值”值名為 “AutoShareWks” 數據值為“0”

通過修改注冊表防止小規模DDOS攻擊

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

新建 “DWORD值”值名為 “SynAttackProtect” 數據值為“1”

禁止dump file的產生

dump文件在系統崩潰和藍屏的時候是一份很有用的查找問題的資料。 然而， 它也能夠給黑客提供一些敏感

信息比如一些應用程序的密碼等。 控制面板>系統屬性>高級>啟動和故障恢復把 寫入調試信息 改成無。

關閉華醫生Dr.Watson

在開始-運行中輸入“drwtsn32”， 或者開始-程序-附件-系統工具-系統信息-工具-Dr Watson， 調出系統

里的華醫生Dr.Watson ， 只保留“轉儲全部線程上下文”選項， 否則一旦程序出錯， 硬盤會讀很久， 并占

用大量空間。 如果以前有此情況， 請查找user.dmp文件， 刪除后可節省幾十MB空間。

本地安全策略配置

開始 > 程序 > 管理工具 > 本地安全策略

賬戶策略 > 密碼策略 > 密碼最短使用期限 改成0天[即密碼不過期， 上面我講到不會造成IIS密碼不同步]

賬戶策略 > 賬戶鎖定策略 > 賬戶鎖定閾值 5 次 賬戶鎖定時間 10分鐘 [個人推薦配置]

本地策略 > 審核策略 >

賬戶管理 成功 失敗

登錄事件 成功 失敗

對象訪問 失敗

策略更改 成功 失敗

特權使用 失敗

系統事件 成功 失敗

目錄服務訪問 失敗

賬戶登錄事件 成功 失敗

本地策略 > 安全選項 > 清除虛擬內存頁面文件 更改為"已啟用"

> 不顯示上次的用戶名 更改為"已啟用"

> 不需要按CTRL ALT DEL 更改為"已啟用"

> 不允許 SAM 賬戶的匿名枚舉 更改為"已啟用"

> 不允許 SAM 賬戶和共享的匿名枚舉 更改為"已啟用"

> 重命名來賓賬戶 更改成一個復雜的賬戶名

> 重命名系統管理員賬號 更改一個自己用的賬號 [同時可建立一個無用戶組的Administrat賬戶]

組策略編輯器

運行 gpedit.msc 計算機配置 > 管理模板 > 系統 顯示“關閉事件跟蹤程序” 更改為已禁用

刪除不安全組件

WScript.Shell 、Shell.application 這兩個組件一般一些ASP木馬或一些惡意程序都會使用到。

方案一：

regsvr32 /u wshom.ocx 卸載WScript.Shell 組件

regsvr32 /u shell32.dll 卸載Shell.application 組件

如果按照上面講到的設置， 可不必刪除這兩個文件

方案二：

刪除注冊表 HKEY_CLASSES_ROOT\CLSID\{72C24DD5-D70A-438B-8A42-98424B88AFB8} 對應 WScript.Shell

刪除注冊表 HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540000} 對應 Shell.application

用戶管理

建立另一個備用管理員賬號， 防止特殊情況發生。

安裝有終端服務與SQL服務的服務器停用TsInternetUser, SQLDebugger這兩個賬號

用戶組說明

在將來要使用到的IIS中， IIS用戶一般使用Guests組， 也可以再重新建立一個獨立的專供IIS使用的組， 但

要將這個組賦予C:\Windows 目錄為讀取權限[單一讀取] 個人不建議使用單獨目錄， 太小家子氣。

最少的服務如果實現

黑色為自動 綠色為手動 紅色為禁用

Alerter

Application Experience Lookup Service

Application Layer Gateway Service

Application Management

Automatic Updates [Windows自動更新,可選項]

Background Intelligent Transfer Service

ClipBook

COM Event System

COM System Application

Computer Browser

Cryptographic Services

DCOM Server Process Launcher

DHCP Client

Distributed File System

Distributed Link Tracking Client

Distributed Link Tracking Server

Distributed Transaction Coordinator

DNS Client

Error Reporting Service

Event Log

File Replication

Help and Support

HTTP SSL

Human Interface Device Access

IIS Admin Service

IMAPI CD-Burning COM Service

Indexing Service

Intersite Messaging

IPSEC Services [如果使用了IP安全策略則自動， 如無則禁用， 可選操作]

Kerberos Key Distribution Center

License Logging

Logical Disk Manager [可選， 多硬盤建議自動]

Logical Disk Manager Administrative Service

Messenger

Microsoft Search

Microsoft Software Shadow Copy Provider

MSSQLSERVER

MSSQLServerADHelper

Net Logon

NetMeeting Remote Desktop Sharing

Network Connections

Network DDE

Network DDE DSDM

Network Location Awareness (NLA)

Network Provisioning Service

NT LM Security Support Provider

Performance Logs and Alerts

Plug and Play

Portable Media Serial Number Service [微軟反盜版工具， 目前只針對多媒體類]

Print Spooler

Protected Storage

Remote Access Auto Connection Manager

Remote Access Connection Manager

Remote Desktop Help Session Manager

Remote Procedure Call (RPC)

Remote Procedure Call (RPC) Locator

Remote Registry

Removable Storage

Resultant Set of Policy Provider

Routing and Remote Access

Secondary Logon

Security Accounts Manager

Server

Shell Hardware Detection

Smart Card

Special Administration Console Helper

SQLSERVERAGENT

System Event Notification

Task Scheduler

TCP/IP NetBIOS Helper

Telephony

Telnet

Terminal Services

Terminal Services Session Directory

Themes

Uninterruptible Power Supply

Upload Manager

Virtual Disk Service

Volume Shadow Copy

WebClient

Windows Audio [服務器沒必要使用聲音]

Windows Firewall/Internet Connection Sharing (ICS)

Windows Image Acquisition (WIA)

Windows Installer

Windows Management Instrumentation

Windows Management Instrumentation Driver Extensions

Windows Time

Windows User Mode Driver Framework

WinHTTP Web Proxy Auto-Discovery Service

Wireless Configuration

WMI Performance Adapter

Workstation

World Wide Web Publishing Service

以上操作完成以后是否就“最小的權限 最少的服務=最大的安全”呢？其實不然， 任何事物都是相對的

依我個人而見， 以上設置也只是最基本的一些東西而已， 如有遺漏， 稍后補上！