WINDOWS server 2008 r2,win2012 r2 服务器安全加固实战

请注意：不是专线的网络的IP地址经常变，不适合限定IP。

2.运行regedit 2.[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWds rdpwdTds tcp] 和 [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminalServerWinStationsRDP-TCP]，看见PortNamber值了吗？其默认值是3389，修改成所希望的端口即可，例如13688

3.[HKEY_LOCAL_MACHINESYSTEMCurrentContro1SetControlTenninal ServerWinStations RDPTcp]，将PortNumber的值（默认是3389）修改成端口13688（自定义）。

4.重新启动电脑，以后远程登录的时候使用端口13688就可以了。

文件系统

检查Everyone权限

NTFS权限设置

注意：

1、2008 R2默认的文件夹和文件所有者为TrustedInstaller，这个用户同时拥有所有控制权限。 2、注册表同的项也是这样，所有者为TrustedInstaller。 3、如果要修改文件权限时应该先设置 管理员组 administrators 为所有者，再设置其它权限。 4、如果要删除或改名注册表，同样也需先设置 管理员组 为所有者，同时还要应该到子项，直接删除当前项还是删除不掉时可以先删除子项后再删除此项。

步骤：

C盘只给administrators 和system权限，其他的权限不给，其他的盘也可以这样设置（web目录权限依具体情况而定） 这里给的system权限也不一定需要给，只是由于某些第三方应用程序是以服务形式启动的，需要加上这个用户，否则造成启动不了。 Windows目录要加上给users的默认权限，否则ASP和ASPX等应用程序就无法运行（如果你使用IIS的话，要引用windows下的dll文件）。 c:/user/ 只给administrators 和system权限

日志和授权

增强日志