教你装完系统对Windows XP进行安全设置

倔强de呢喃

Windows XP常用安全设置：
设置选项 设置方法
关闭Windows Update自动更新 鼠标右键点击“我的电脑”——选择“属性”——点开“自动更新”选项卡——选择“关闭自动更新”并点击“应用”按钮生效。
这样做主要是考虑目前国内使用盗版系统的用户较多，如果开启可能会被微软自动安装反盗版补丁更新，造成无法使用操作系统。
关闭自动更新后，为了系统安全，建议使用第三方系统辅助软件修复日常的系统安全漏洞，如360卫士、金山卫士等。
设置系统密码 依次打开：控制面板——用户帐户——选择用户(默认用户为administrator)——创建密码（建议最好是8位以上字母数字符号组合，甚至可以包含特殊字符，一般1个月到两个月定期修改密码。）
账号 依次打开：管理工具——本地安全策略——本地策略——安全选项，
禁用guest帐户，系统默认管理员administrator改名，改成只有自己知道的名字，位数也别太少，日常使用的帐号最好不属于administrators组。
用户权限分配 依次打开：管理工具——本地安全策略——本地策略——用户权限分配，
1、从网络访问此计算机，如果不需要可以把除administrators外全部删除。
2、从远程系统强制关机，全部帐户删除。
3、拒绝从网络访问这台计算机，将SUPPORTxxx这个帐户删除。
用户和组策略 依次打开：管理工具——计算机管理——本地用户和组——用户，删除Support_388945a0和HelpAssistant帐户。
删除共享 查看当前共享可以通过在命令行下输入net share，也可以在控制面板——计算机管理，依次点击“系统工具”——“共享文件夹”——“共享”查看。
net share admin$ /delete
net share c$ /delete，......其它驱动器共享依次删除。
禁止自动打开默认共享 修改注册表[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters]把AutoShareWks或AutoShareServer的键值改为:0。如果不存在则创建该DWORD键值，AutoShareWks对应专业版，AutoShareServer对应SERVER版。
禁止IPC$空连接 在开始——运行，输入regedit，把注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa位置的RestrictAnonymous值由0改为1。需重启机子生效。
但是上面的注册表修改后，重启机子只是禁止建立空连接，IPC$服务还是会启动，如果想完全禁止，可以直接把控制面板——管理工具——服务，将右侧server服务先停止掉，然后禁用即可，不过这样也会影响网络共享等，需要共享时自己可以再启动该服务即可。
关闭139端口 在鼠标右键网上邻居——本地连接，选取“Internet协议(TCP/IP)”，点击属性，点击高级...，选择”“WinS”，下面有一项“禁用TCP/IP的 NETBIOS”，勾上即可。
关闭445端口 在开始——运行，输入regedit，在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters在右侧窗口中新建 键值，名称SMBDeviceEnabled，类型REG_DWORD，键值为0。
关闭3389端口 鼠标右键“我的电脑”，选择属性，点击远程，将里面的远程协助和远程桌面两项取消核选。
禁用服务 控制面板——管理工具——服务，关闭以下服务：
1、Alerter——通知所选用户和计算机有关系统管理级警报（建议关闭）
2、ClipBook——启用“剪贴簿查看器”储存信息并与远程计算机共享（建议关闭，如果使用共享时发现问题，顺便检查这个设置）
3、Distributed Link Tracking Server——用于局域网更新连接信息（个人用户一般不需要，改手动），把Distributed Link Tracking Client改手动
4、Indexing Service——提供本地或远程计算机上文件的索引内容和属性（建议关闭）
5、Messenger——信使服务（建议关闭）
6、NetMeeting Remote Desktop Sharing——允许受权用户通过NetMeeting在网络上互相访问（建议关闭）
7、Network DDE——为在同一台计算机或不同计算机上运行的程序提供动态数据交换（建议关闭）
8、Network DDE DSDM——管理动态数据交换 (DDE) 网络共享]（建议关闭）
9、Performance Logs And Alerts——记录机器运行状况而且定时写入日志或发警告（可选关闭）
10、Remote Desktop Help Session Manager——远程帮助服务（建议关闭）
11、Remote Registry——使远程计算机用户修改本地注册表（建议关闭）
12、Routing and Remote Access——在局域网和广域往提供路由服务（如果不清楚就关闭掉）
13、Server——支持此计算机通过网络的文件、打印、和命名管道共享（如果不需要共享文件打印机，则可关闭）
14、TCP/IPNetBIOS Helper——提供TCP/IP服务上的NetBIOS和网络上客户端的NetBIOS名称解析的支持而使用户能够共享文件、打印和登录到网络（如果你的网络不用Netbios或WINS，建议关闭）
15、Telnet——允许远程用户登录到此计算机并运行程序（建议关闭）
16、Terminal Services——远程登录到本地电脑（建议关闭）
17、Window s Image Acquisition (WIA)——照相服务，应用与数码摄象机（个人用户偶尔还是要使用）
本地策略 依次打开：管理工具——本地安全策略——本地策略——审核策略，
1.审核策略更改（选择成功失败）
2.审核登陆事件（选择成功失败）
3.审核对象访问（选择失败）
4.审核跟踪过程（无审核）
5.审核目录服务访问（选择失败）
6.审核特权使用（选择失败）
7.审核系统事件（选择成功失败）
8.审核帐户登陆时间（选择成功失败）
9.审核帐户管理（选择成功失败）
本地安全策略 依次打开：管理工具——本地安全策略——本地策略——安全选项，
1、交互式登陆:不需要按 Ctrl+Alt+Del（启用）
2、交互式登录: 不显示上次的用户名（禁用）
3、网络访问:不允许SAM帐户的匿名枚举（启用）
4、网络访问:可匿名的共享 （将策略设置里的值删除）
5、网络访问:可匿名的命名管道 （将策略设置里的值删除）
6、网络访问:可远程访问的注册表路径（将策略设置里的值删除）
7、设备: 将 CD-ROM 的访问权限仅限于本地登录的用户（启用）
Windows的TCP/IP过滤设置 控制面板——网络和拨号连接——本地连接——INTERNET协议（TCP/IP）——属性——高级——选项——TCP/IP筛选——属性，添加需要的TCP和UDP端口即可。
补充：
1、查看默认共享：运行CMD输入net share
2、查看本机打开端口：运行CMD输入命令netstat -a
3、日常使用电脑时需要暂时离开的时候，记得锁定计算机。

hushuobadao

不是我说，太牛了，但是，现在公司里全是win7的机器啊，楼主能否再贴一个win7的安全策略，谢谢了