强化系统安全的其它设置除了通过防火墙来加强网络安全之外，我们也可以使用一些其它方法来强化系统安全，简介如下。
（1）物理安全物理安全是指服务器应该安放在安装了监视器的隔离房间内，并且监视器要保留15天以上的摄像记录。
另外，机箱、键盘、电脑桌抽屉要上锁，以确保旁人即使进入房间也无法使用电脑，钥匙要放在另外的安全地方。
（2）停用guest账号在【计算机管理】的【用户】里停用guest账号，任何时候都不允许guest账号登录系统。
同时，还要给guest加一个复杂的密码。
（3）限制不必要的用户数量去掉所有的无用账户，如测试用账号、共享账号、普通部门账号等。
这些账号往往是黑客们入侵系统的突破口，系统的账号越多，黑客们得到合法用户权限的可能性也就越大。
（4）把系统Administrator账号改名Windows Server 2003 的Administrator账号是不能被停用的，这意味着别人可以一遍又一遍地尝试这个账号的密码，把Administrator账户改名可以有效地防止这一点。
当然，请不要使用Admin之类的名字，这样改了等于没改，尽量把它伪装成普通用户。
（5）创建一个陷阱账号所谓陷阱账号，是指创建一个名为“Administrator”的本地账户，把它的权限设置成最低，并且加上一个超过10位的很复杂的密码。
这样可以让那些非法用户很难获得管理员权限，并且可以借此发现它们的入侵企图。
（6）把共享文件的权限从“Everyone”组改成“授权用户”“Everyone”在Windows Server 2003中意味着任何有权进入你的网络的用户都能够获得这些共享资料。
任何时候都不要把共享文件的用户设置成“Everyone”组。
（7）使用安全密码一个好的密码对于一个网络是非常重要的，但这也是最容易被忽略的。
一些公司的管理员在创建账号时，往往用公司名、计算机名，或者一些其他很容易被别人猜到的用户名，然后又把这些账户的密码设置得很简单。
这样的账户应该要求用户首次登录时改成复杂的密码，还要注意经常更改密码。
（8）设置屏幕保护密码这一点虽然很简单，但却是很有必要的。
设置屏幕保护密码也是防止内部人员破坏服务器的一个屏障。
注意不要使用OpenGBL和一些复杂的屏幕保护程序，这样浪费系统资源，让它黑屏就可以了。
还有一点，所有系统用户所使用的机器也最好加上屏幕保护密码。
（9）使用NTFS格式分区把服务器的所有分区都改成NTFS格式。
NTFS文件系统要比FAT、FAT32的文件系统安全得多。
（10）运行防毒软件这一点非常重要，一些好的杀毒软件不仅能杀掉一些著名的病毒，还能查杀大量木马和后门程序，使“黑客”们使用的那些有名的木马毫无用武之地。
同时不要忘了经常升级病毒库。
（11）保障备份盘的安全一旦系统资料被破坏，备份盘将是你恢复资料的惟一途径。
备份完资料后，把备份盘放在安全的地方。
千万不要把资料备份在同一台服务器上，那样的话，还不如不备份。
（12）关闭不必要的服务Windows Server 2003的Terminal Services（终端服务），IIS和RAS都可能给你的系统带来安全漏洞。
为了能够远程管理服务器，很多机器的终端服务都是开着的，如果你的也开了，要确认你已经正确地配置了终端服务。
有些恶意的程序也能以服务的方式悄悄地运行。
要留意服务器上开启的所有服务，每天检查它们。
（13）关闭不必要的端口关闭端口意味着减少功能，在安全和功能上应该有所选择。
用端口扫描器扫描系统所开放的端口，确定开放的哪些服务是黑客入侵系统的第一步。
\System32\Drivers\Etc\Services 文件中有知名端口和服务的对照表可供参考。
关闭端口的具体方法为：依次打开【网上邻居】/【属性】/【本地连接】/属性】/【Internet 协议(TCP/IP) 】/【属性】/【高级】/【选项】/【TCP/IP筛选】/【属性】，打开TCP/IP筛选，添加需要的TCP、UDP协议的端口即可。
（14）打开审核策略开启安全审核是Windows Server 2003最基本的入侵检测方法。
当有人尝试对你的系统进行某些方式（如尝试用户密码、改变账户策略、未经许可的文件访问等）入侵的时候，都会被安全审核记录下来。
很多管理员在系统被入侵了几个月还不知道，直到系统遭到破坏。
下面的这些审核是必须开启的，其他的可以根据需要增加。
策略设置审核系统登录事件成功，失败审核账户管理成功，失败审核登录事件成功，失败审核对象访问成功审核策略更改成功，失败审核特权使用成功，失败审核系统事件成功，失败（15）设定安全记录的访问权限安全记录在默认情况下是没有保护的，把它设置成只有Administrator和系统账户才有权访问。
（16）把敏感文件存放在另外的文件服务器中虽然现在服务器的硬盘容量都很大，但是我们还是应该把一些重要的用户数据(文件、数据表、项目文件等)存放在另外一个安全的服务器中，并且经常备份它们。
（17）不让系统显示上次登录的用户名默认情况下，终端服务接入服务器时，登录对话框中会显示上次登录的账户名，本地的登录对话框也是一样。
这使得别人可以很容易地得到系统的一些用户名，进而作密码猜测。
修改注册表可以不让对话框里显示上次登录的用户名，具体方法是修改注册表：HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\DontDisplayLastUserName把REGB_SZ的键值改成1（18）禁止建立空连接默认情况下，任何用户通过空连接连到服务器，进而枚举出账号，猜测密码。
我们可以通过修改注册表来禁止建立空连接，方法把以下键值：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA\RestrictAnonymous的值改成“1”即可。
（19）到微软网站下载最新的补丁程序很多网络管理员没有访问安全站点的习惯，以至于一些漏洞出现很久还不知道。
谁也不敢保证数百万行以上代码的Windows Server 2003不出一点安全漏洞，经常访问微软的一些安全站点，下载最新的Service pack和漏洞补丁，是保障服务器长久安全的重要方法。
（20）关闭默认共享Windows Server 2003安装好以后，系统会创建一些隐藏的共享，我们可以在cmd下打开net share查看他们。
网上有很多关于IPC入侵的文章，相信大家一定对它不陌生。
要禁止这些共享，可以打开【管理工具】/【计算机管理】/【共享文件夹】/【共享】。
在相应的共享文件夹上按右键，单击【停止共享】即可，不过机器重新启动后，这些共享又会重新开启的。
可以通过编写批处理的方法来禁止默认共享，批处理文件的大致内容如下：net share c$ /delnet share d$ /delnet share e$ /delnet share ipc$ /delnet share admin$ /del将以上信息保存为*.bat文件，并拖至开始菜单【启动】处，使系统每次启动时都自动执行此程序，去除系统的默认共享。
禁止系统自动启动服务器共享HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters新建“DWORD值”值名为“AutoShareServer”数据值为“0”禁止系统自动启动管理共享HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters新建“DWORD值”值名为“AutoShareWks”数据值为“0”（21）使用文件加密系统EFSWindows Server 2003强大的加密系统能够给磁盘、文件夹、文件加上一层安全保护。
这样可以防止别人把你的硬盘挂到别的机器上以读出里面的数据。
注意要给文件夹也使用EFS，而不仅仅是单个的文件。
（22）加密Temp文件夹一些应用程序在安装和升级的时候，会把一些东西拷贝到temp文件夹，但是当程序升级完毕或关闭的时候，它们并不会自己清除Temp文件夹的内容。
所以，给temp文件夹加密可以给你的文件多一层保护。
（23）锁住注册表在Windows Server 2003中，只有Administrators和Backup Operators才有从网络上访问注册表的权限。
如果你觉得还不够的话，可以进一步设定注册表访问权限，详细信息请参考：/suppor...s/Q153/1/83.asp（24）禁止从软盘和CD-ROM启动系统一些第三方的工具能通过引导系统绕过原有的安全机制。
如果你的服务器对安全要求非常高，可以考虑使用可移动软盘和光驱。
（25）考虑使用智能卡来代替密码对于密码，总是使安全管理员进退两难，容易受到10phtcrack等工具的攻击。
如果密码太复杂，用户为了记住密码，会把密码到处乱写。
如果条件允许，用智能卡来代替复杂的密码是一个很好的解决方法。
（26）考虑使用ISPec正如其名字的含义，ISPec提供IP数据包的安全性。
ISPec提供身份验证、完整性和可选择的机密性。
发送方计算机在传输之前加密数据，而接收方计算机在收到数据之后解密数据。
利用ISPec可以使得系统的安全性能大大增强。
（27）对系统进行扫描，找出系统不安全因素并及时弥补。
（28）权限设置。
将所有盘符的权限，全部改为只有将C盘的所有子目录和子文件，继承C盘的administrator(组或用户)和SYSTEM所有权限的两个权限，然后做如下修改：现在WebShell就无法在系统目录内写入文件了。
当然也可以使用更严格的权限。
在Windows下分别目录设置权限，可是比较复杂，效果也并不明显。
（29）IIS的安全设置：1、不使用默认的Web站点，如果使用也要将将IIS目录与系统磁盘分开。
2、删除IIS默认创建的Inetpub目录（在安装系统的盘上）。
3、删除系统盘下的虚拟目录，如：_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。
4、删除不必要的IIS扩展名映射。
右键单击“默认Web站点→属性→主目录→配置”，打开应用程序窗口，去掉不必要的应用程序映射。
主要为.shtml, .shtm, .stm5、更改IIS日志的路径右键单击“默认Web站点→属性-网站-在启用日志记录下点击属性6、如果使用的是2000可以使用iislockdown来保护IIS，在2003运行的IE6.0的版本不需要。
（30）修改以下命令的执行权限，或给这此命令改名。
