1)基本系统安全设置
1.安装说明：用NTFS格式化系统，重装系统(使用原来的win2003)，安装杀毒软件(Mcafee)，更新杀毒软件，安装sp2补丁，安装IIS(只安装必要的组件)，安装SQL2000。
安装。net2.0并打开防火墙。并在服务器上安装最新的补丁。
2)关闭不必要的服务。
电脑浏览器：维护网络电脑更新，禁用。
分布式文件系统：局域网管理共享文件，不需要禁用。
分布式linktracking客户端：用于更新局域网的连接信息，不需要禁用。
错误报告服务：禁止发送错误报告。
Microsoft Serch:提供快速单词搜索，不需要禁用。
NTLMSecuritySupportProvide: used for Telnet service and Microsoft search, and does not need to be disabled.
如果没有要禁用的打印机。
远程注册表：禁止远程修改注册表。
远程桌面帮助会话管理器：禁止远程协助其他服务，等待验证。
3)建立和管理账户
1.禁用来宾帐户，更改名称和描述，然后输入复杂的密码。
2.最好少建系统管理员账号，改默认管理员账号名称(Administrator)和描述。密码最好使用数字和小写字母加数字的组合，长度最好不小于10位。
3.创建一个名为Administrator的新陷阱帐户，为其设置最低权限，然后随机输入至少20位数字的组合密码。
4.计算机配置-Windows设置-安全设置-帐户策略-帐户锁定策略。将帐户设置为“三次登录的无效时间为30分钟。
5.在安全设置-本地策略-安全选项中将“不显示最后一个用户名”设置为启用。
6.在安全设置-本地策略-用户权限分配中，只有Internet来宾帐户、IIS进程启动帐户和Aspnet帐户将被保留在“从网络访问此计算机”中。
7.创建一个用户帐户并运行系统。如果要运行特权命令，请使用Runas命令。
4)、打开相应的审计策略。
审计策略更改：成功
审核登录事件：成功、失败
审计对象访问：失败
审计对象跟踪：成功、失败
审核目录服务访问：失败。
审计权限使用：失败
审计系统事件：成功、失败
审计帐户登录事件：成功，失败
审计帐户管理：成功，失败
5)其他安全相关设置
1.禁止C$、D$和ADMIN$的默认共享。
HKEY _ Local _ Machine System Current Control Settings Service slanmanserverparameters, create a new Dword value in the window on the right,
名称设置为AutoShareServer，值设置为0。
2.解除NetBios与TCP/IP协议的绑定。
右键单击网上邻居-属性-右键单击本地连接-属性-双击Internet协议-高级-Wins-禁用TCP/IP上的NETBIOS。
3.隐藏重要文件/目录
可以修改注册表实现完全隐藏：“HKEY _本地_机器软件Microsoft windows当前版本xploreradvancedfol derHi-ddenSHOWALL "，
4.防止SYN flood攻击
HKEY _ Local _ Machine System Current Control Settings Service sTcpipParameters creates a new DWORD value named SynAttackProtect with a value of 2.
5.禁止响应ICMP路由通知消息。
HKEY _ Local _ Machine System Current Control Settings Service stcpipparametersintinterfaces creates a new DWORD value,
名为PerformRouterDiscovery值为0
6.防止ICMP重定向消息的攻击。
HKEY _ Local _ Machine System Current Control Settings Service sTcpipParameters sets the EnableICMPRedirects value to 0.
7.不支持IGMP协议。
HKEY _ Local _ Machine System Current Control Settings Service sTcpipParameters creates a new DWORD named IGMPLevel with a value of 0.
8.运行时输入Dcomcnfg.exe，禁用DCOM。输入并单击控制台根节点下的组件服务。打开计算机子文件夹。
对于本地计算机，右键单击我的电脑，然后选择归属。选择默认属性选项卡。清除“在这台计算机上启用分布式COM”复选框。
9.终端服务的默认端口是3389，可以修改为另一个端口。
修改方法是：服务器端：打开注册表，
在“HKLM\SYSTEM\Current ControlSet\Control\Terminal Server\Win Stations” 处找到类似RDP-TCP的子键，
修改PortNumber值。 客户端：按正常步骤建一个客户端连接，选中这个连接，在“文件”菜单中选择导出，在指定位置会生成一个后缀为.cns的文件。打开该文件，
修改“Server Port”值为与服务器端的PortNumber对应的值。然后再导入该文件（方法：菜单文件导入），这样客户端就修改了端口。
6）、配置IIS 服务
1、不使用默认的Web站点，如果使用也要将将IIS目录与系统磁盘分开。
2、删除IIS默认创建的Inetpub目录（在安装系统的盘上）。
3、删除系统盘下的虚拟目录，如：_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、 MSADC。
4、删除不必要的IIS扩展名映射。右键单击“默认Web站点属性主目录配置”，打开应用程序窗口，去掉不必要的应用程序映射。主要为.shtml,shtm,stm
5、更改IIS日志的路径 右键单击“默认Web站点属性-网站-在启用日志记录下点击属性
6、如果使用的是2000可以使用iislockdown来保护IIS，在2003运行的IE6.0的版本不需要。
7、使用UrlScan
UrlScan是一个ISAPI筛选器，它对传入的HTTP数据包进行分析并可以拒绝任何可疑的通信量。 目前最新的版本是2.5，如果是2000Server需要先安装1.0或2.0的版本。
如果没有特殊的要求采用UrlScan默认配置就可以了。但如果你在服务器运行ASP.NET程序，并要进行调试你需打开要%WINDIR%System32InetsrvURLscan，
文件夹中的URLScan.ini 文件，然后在UserAllowVerbs节添加debug谓词，注意此节是区分大小写的。
如果你的网页是.asp网页你需要在DenyExtensions删除.asp相关的内容。如果你的网页使用了非ASCII代码，
你需要在Option节中将AllowHighBitCharacters的值设为1 在对URLScan.ini 文件做了更改后，你需要重启IIS服务才能生效，
快速方法运行中输入iisreset 如果你在配置后出现什么问题，你可以通过添加/删除程序删除UrlScan。
8、利用WIS (Web Injection Scanner)工具对整个网站进行SQL Injection 脆弱性扫描.
7）、配置Sql服务器
1、System Administrators 角色最好不要超过两个
3、不要使用Sa账户，为其配置一个超级复杂的密码
4、删除以下的扩展存储过程格式为：
use master sp_dropextendedproc '扩展存储过程名'
xp_cmdshell：是进入操作系统的最佳捷径，删除访问注册表的存储过程，
删除
Xp_regaddmultistringXp_regdeletekeyXp_regdeletevalueXp_regenumvalues Xp_regread Xp_regwrite Xp_regremovemultistring
OLE自动存储过程，不需要删除
Sp_OACreate Sp_OADestroySp_OAGetErrorInfoSp_OAGetProperty Sp_OAMethodSp_OASetPropertySp_OAStop
5、隐藏SQL Server、更改默认的1433端口
右击实例选属性-常规-网络配置中选择TCP/IP协议的属性，选择隐藏SQL Server 实例，并改原默认的1433端口。
8）、修改系统日志保存地址默认位置为应用程序日志、安全日志、系统日志、DNS日志默认位置：%systemroot%\system32\config，默认文件大小512KB，
管理员都会改变这个默认大小。
安全日志文件：%systemroot%\system32\config\SecEvent.EVT 系统日志文件：%systemroot%\system32\config\SysEvent.EVT 应用程序日志文件：%systemroot%\system32\config\AppEvent.EVT Internet信息服务FTP日志默认位置：%systemroot%\system32\logfiles\msftpsvc1\，
禁止管理共享admin$,c$,d$之类默认共享[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA] 'restrictanonymous'=dword:00000001 //0x1 匿名用户无法列举本机用户列表//0x2 匿名用户无法连接本机IPC$共享(可能sql server不能够启动
9）、本地安全策略
1只开放服务需要的端口与协议。 具体方法为：按顺序打开“网上邻居属性本地连接属性Internet 协议属性高级选项 TCP/IP筛选属性”，
添加需要的TCP、UDP端口以及IP协议即可。根据服务开设口，常用的TCP 口有：80口用于Web服务；21
