本文由含笑原创并首发于个人BLOG 聚友，如需引用或者转载此文，请注明作者：含笑，出处：http://www.juyo.org

　　本安装及设置教程适用于使用Windows2003为操作系统的服务器，目的是让服务器支持常见网络编程语言包括ASP、PHP、.Net1.1、.Net2.0，支持常见数据库包括Access、MySQL、MSSQL，支持FTP，支持常见组件包括Aspjpeg、Jmail、LyfUpload、动易、ISAPI_ReWrite。

Windows2003服务器安装及设置教程——安全策略篇（如需引用或者转载此文，请注明作者：聚友，出处：http://www.juyo.org）

1. 安全策略自动更新命令：GPUpdate /force（应用组策略自动生效不需要重新启动）
2. 禁用GUEST用户
3. 本地安全策略-->审核策略
   审核策略更改　　　成功　失败
   审核登陆事件　　　成功　失败
   审核对象访问　　　　　　失败
   审核过程跟踪　　　无审核
   审核目录服务访问　　　　失败
   审核特权使用　　　　　　失败
   审核系统事件　　　成功　失败
   审核帐户登陆事件　成功　失败
   审核帐户管理　　　成功　失败
4. 本地策略-->用户权限分配
   关闭系统：只有Administrators组、其它全部删除。
    通过终端服务拒绝登陆：加入Guests组（网上很多教程说要加入Users组，实践证明加入Users组后远程桌面就无法运行）
    通过终端服务允许登陆：只加入Administrators组，其他全部删除
5. 本地策略-->安全选项
   交互式登陆：不显示上次的用户名　　　　　　　启用
   网络访问：不允许SAM帐户和共享的匿名枚举　　启用
   网络访问：不允许为网络身份验证储存凭证　　　启用
   网络访问：可匿名访问的共享　　　　　　　　　全部删除
   网络访问：可匿名访问的命　　　　　　　　　　全部删除
   网络访问：可远程访问的注册表路径　　　　　　全部删除 
   网络访问：可远程访问的注册表路径和子路径　　全部删除 
   帐户：重命名来宾帐户　　　　　　　　　　　　重命名一个帐户 
   帐户：重命名系统管理员帐户　　　　　　　　　重命名一个帐户
6. 帐户策略-->帐户锁定策略
   复位用户锁定计数器时间为20分钟
   用户锁定时间为20分钟
   用户锁定阈值为3次
7. 帐户策略-->密码策略
   密码必须符合复杂性要求　　启用
   密码长度最小值　　　　　　6位
   强制密码历史　　　　　　　5次
   密码最长使用期限　　　　　42天
    
8. IP安全策略
   

   协议	IP协议端口	源地址	目标地址	描述	方式
   ICMP	--	--	--	ICMP	阻止
   UDP	135	任何IP地址	我的IP地址	135-UDP	阻止
   UDP	136	任何IP地址	我的IP地址	136-UDP	阻止
   UDP	137	任何IP地址	我的IP地址	137-UDP	阻止
   UDP	138	任何IP地址	我的IP地址	138-UDP	阻止
   UDP	139	任何IP地址	我的IP地址	139-UDP	阻止
   TCP	445	任何IP地址-从任意端口	我的IP地址-445	445-TCP	阻止
   UDP	445	任何IP地址-从任意端口	我的IP地址-445	445-UDP	阻止
   UDP	69	任何IP地址-从任意端口	我的IP地址-69	69-入	阻止
   UDP	69	我的IP地址-69	任何IP地址-任意端口	69-出	阻止
   TCP	4444	任何IP地址-从任意端口	我的IP地址-4444	4444-TCP	阻止
   TCP	1026	我的IP地址-1026	任何IP地址-任意端口	灰鸽子-1026	阻止
   TCP	1027	我的IP地址-1027	任何IP地址-任意端口	灰鸽子-1027	阻止
   TCP	1028	我的IP地址-1028	任何IP地址-任意端口	灰鸽子-1028	阻止
   UDP	1026	我的IP地址-1026	任何IP地址-任意端口	灰鸽子-1026	阻止
   UDP	1027	我的IP地址-1027	任何IP地址-任意端口	灰鸽子-1027	阻止
   UDP	1028	我的IP地址-1028	任何IP地址-任意端口	灰鸽子-1028	阻止
   TCP	21	我的IP地址-从任意端口	任何IP地址-到21端口	阻止tftp出站	阻止
   TCP	99	我的IP地址-99	任何IP地址-任意端口	阻止99shell	阻止
   TCP	4899	任何IP地址-4899	我的IP地址	影子Radmin默认端口	阻止
   UDP	4899	任何IP地址-4899	我的IP地址	影子Radmin默认端口	阻止
   UDP	123	任何IP地址-123	我的IP地址	容易被提权工具利用	阻止
   TCP	1720	任何IP地址-1720	我的IP地址	NetMeeting	阻止
   TCP	636	任何IP地址-636	我的IP地址	安全轻型目录访问协议（SSL 上的 LDAP）通信	阻止
   TCP	593	任何IP地址-593	我的IP地址	DCOM	阻止

本系列文章第一篇：Windows2003操作系统安装图解
本系列文章第二篇：Windows2003服务器安装及设置教程——系统安装篇
本系列文章第三篇：Windows2003服务器安装及设置教程——软件安装与设置篇——ASPJPEG安装图解
本系列文章第四篇：Windows2003服务器安装及设置教程——软件安装与设置篇——Jmail安装图解
本系列文章第五篇：Windows2003服务器安装及设置教程——软件安装与设置篇——LyfUpload注册图解
本系列文章第六篇：Windows2003服务器安装及设置教程——软件安装与设置篇——动易组件注册图解
本系列文章第七篇：Windows2003服务器安装及设置教程——软件安装与设置篇——ISAPI_Rewrite设置图解
本系列文章第八篇：Windows2003服务器安装及设置教程——软件安装与设置篇——MS SQL SERVER2000安装图解
本系列文章第九篇：Windows2003服务器安装及设置教程——软件安装与设置篇——MySQL5安装图解
本系列文章第十篇：Windows2003服务器安装及设置教程——软件安装与设置篇——PHP5安装图解
本系列文章第十一篇：Windows2003服务器安装及设置教程——软件安装与设置篇——Zend Optimizer安装图解
本系列文章第十二篇：Windows2003服务器安装及设置教程——文件及文件夹权限篇——给系统文件设置权限
本系列文章第十三篇：Windows2003服务器安装及设置教程——文件及文件夹权限篇——给文件夹设置权限一
本系列文章第十四篇：Windows2003服务器安装及设置教程——文件及文件夹权限篇——给文件夹设置权限二
本系列文章第十五篇：Windows2003服务器安装及设置教程——文件及文件夹权限篇——给文件夹设置权限三
本系列文章第十六篇：Windows2003服务器安装及设置教程——文件及文件夹权限篇——给文件夹设置权限四
本系列文章第十七篇：Windows2003服务器安装及设置教程——系统服务篇一
本系列文章第十八篇：Windows2003服务器安装及设置教程——系统服务篇二
本系列文章第十九篇：Windows2003服务器安装及设置教程——系统服务篇三
本系列文章第二十篇：Windows2003服务器安装及设置教程——系统服务篇四
本系列文章第二十篇：Windows2003服务器安装及设置教程——本地安全策略篇

Windows2003服务器安装及设置教程——安全策略篇（如需引用或者转载此文，请注明作者：聚友，出处：）http://www.juyo.org

本文地址：http://www.juyo.org/juyo/server/windows2003-security/

本文位置：聚友-服务器技术-Windows2003服务器安装及设置教程——安全策略篇