windows 2003 安全设置解决方案
1. 修改3389远程连接端口
修改注册表
第一处 运行RegEdit，打开注册表编辑器。找到[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]，看到右边的 PortNumber 了吗？在十进制状态下改成你想要的端口号吧，比如 7126 之类的，只要不与其它冲突即可。
第二处 运行RegEdit，打开注册表编辑器。找到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp，方法同上，记得改的端口号和上面改的一样就行了。
注意：别忘了在WINDOWS2003自带的防火墙给+上7126端口,也就是你所修改的那个端口号
设置这两个注册表的权限, 添加“IUSR”的完全拒绝 禁止显示端口号
修改完毕.重新启动服务器.设置生效.
详细参考见：http://hi.baidu.com/cunriqian/item/d799e35fa0612e9f8c12ed92
2．用户安全设置
2.1. 禁用Guest账号
在计算机管理的用户里面把Guest账号禁用。为了保险起见，最好给Guest加一个复杂的密码。你可以打开记事本，在里面输入一串包含特殊字符、数字、字母的长字符串，然后把它作为Guest用户的密码拷进去。
2.12. 限制不必要的用户
去掉所有的Duplicate User用户、测试用户、共享用户等等。用户组策略设置相应权限，并且经常检查系统的用户，删除已经不再使用的用户。这些用户很多时候都是黑客们入侵系统的突破口。
2.3. 把系统Administrator账号改名
大家都知道，Windows 2003 的Administrator用户是不能被停用的，这意味着别人可以一遍又一遍地尝试这个用户的密码。尽量把它伪装成普通用户，比如改成Guesycludx。
2.4. 创建一个陷阱用户
什么是陷阱用户?即创建一个名为“Administrator”的本地用户，把它的权限设置成最低，什么事也干不了的那种，并且加上一个超过10位的超级复杂密码。这样可以让那些 Hacker们忙上一段时间，借此发现它们的入侵企图。
2.5. 把共享文件的权限从Everyone组改成授权用户
2.6. 开启用户策略
使用用户策略，分别设置复位用户锁定计数器时间为20分钟，用户锁定时间为20分钟，用户锁定阈值为3次。 （该项为可选）
3. 本地安全策略设置
开始菜单—>管理工具—>本地安全策略
3.1. 本地策略——>审核策略
审核策略更改 成功 失败
审核登录事件 成功 失败
审核对象访问 失败
审核过程跟踪 无审核
审核目录服务访问 失败
审核特权使用 失败
审核系统事件 成功 失败
审核账户登录事件 成功 失败
审核账户管理 成功 失败
3.2. 本地策略——>用户权限分配
关闭系统：只有Administrators组、其它全部删除。
通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除
3.3. 本地策略——>安全选项
交互式登陆：不显示上次的用户名 启用
网络访问：不允许SAM帐户的匿名枚举 启用
网络访问：不允许SAM帐户和共享的匿名枚举 启用
网络访问.限制匿名访问命名管道和共享,更改为"已启用" ;
网络访问.不允许存储网络身份验证的凭据或 .NET Passports 启用" ;
网络访问：可匿名访问的共享 将后面的值全部删除
网络访问：可匿名访问的命名管道 将后面的值全部删除
网络访问：可远程访问的注册表路径 将后面的值全部删除
网络访问：可远程访问的注册表路径和子路径 将后面的值全部删除
帐户：重命名来宾帐户 重命名一个帐户
帐户：重命名系统管理员帐户 重命名一个帐户
帐户.重命名来宾帐户guest
帐户.重命名系统管理员帐户
4. 禁止建立空连接
IPC$(Internet Process Connection) 是共享 " 命名管道 " 的资源，它是为了让进程间通信而开放的命名管道，通过提供可信任的用户名和口令，连接双方可以建立安全的通道并以此通道进行加密数据的交换，从而实现对远程计算机的访问。
使用命令 net use url=file://\\IP\ipc$\\IP\ipc$ "" /user:"" 就可以简单地和目标建立一个空连接（需要目标开放ipc$）。
Windows 2000及以上系统的默认安装允许任何用户可通过空连接连上服务器，枚举账号并猜测密码。空连接用的端口是139，通过空连接，可以复制文件到远端服务器，计划执行一个任务，这就是一个漏洞。可以通过以下方法禁止建立空连接：
修改注册表中Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous 的值为1。
完整参考参见百度经验：http://jingyan.baidu.com/article/d8072ac43a984fec95cefdff.html
22. 磁盘权限设置
系统盘及所有磁盘只给 Administrators 组和 SYSTEM 的完全控制权限
系统盘\Documents and Settings 目录只给 Administrators 组和 SYSTEM 的完全控制权限
系统盘\Documents and Settings\All Users 目录只给 Administrators 组和 SYSTEM 的完全控制权限
系统盘\Windows\System32\cacls.exe、cmd.exe、net.exe、net1.exe、ftp.exe、tftp.exe、telnet.exe 、 netstat.exe、regedit.exe、at.exe、attrib.exe、format.com、del文件只给 Administrators 组和SYSTEM 的完全 控制权限
另将\System32\cmd.exe、format.com、ftp.exe转移到其他目录或更名
Documents and Settings下所有些目录都设置只给adinistrators权限。并且要一个一个目录查看，包括下面的所有子目录。
删除c:\inetpub目录
