一、硬盘分区和操作系统的安装
硬盘分区
总的来说，硬盘分区上没有什么值得深入分析的，除了分区前的一个规划知道放什么，如果真的不知道的话。
陶。然后只把一个硬盘分成一个区域，分区要一次完成。不要分成FAT32再转换成NTFS。一次性分成NTFS格式，按照我个人习惯，是
一般整体价格12G。建议用光盘启动分区过程，不要加载硬盘软件。
系统安装
以下内容以2003企业版为例。
安装过程就不多说了。安装系统是一项以个人性格为参数的活动。我建议在安装路径上保留默认路径。很多文章应该写什么？
没有必要更改安装路径。路径存储在注册表中，更改它是没有用的。在安装过程中，您应该选择您需要的服务，例如
没有特殊需求不要安装一些DNS和DHCP。在安装过程中，您只能在网卡属性中保留TCP/IP，同时禁用NETBOIS。安装完成后，如
如果带宽条件允许可用系统自带在线升级。
二、系统权限和安全配置
之前说的都是屁话，只是点缀用笔。(我也曾经是学者)
话题一转，就到了系统权限设置和安全配置的实际操作阶段。
系统设置网站上有句话叫‘最少权限最少服务=最大安全’。这句话基本上大家都看过，但是我好像没见过对比。
详细又略全面的文章，这里是基于我个人经验的教学尝试！
2.1如何实现最低权限？
NTFS系统权限设置
在使用之前，将管理员用户添加到每个硬盘根目录以获得所有权限(可以选择添加系统用户)。
删除其他用户，进入系统盘：权限如下
C:\WINDOWS Administrators系统用户完全权限用户用户默认权限不会被修改其他目录删除Everyone用户，切记。
C:\ All users under documents and settings \ Default user directory and its subdirectories
For example, c:\ Documents and Settings \ All Users \ The default configuration of the application data directory retains everyone's user rights.
还要注意C:\WINDOWS目录下的权限，比如C:\WINDOWS\PCHealth和C:\windows\Installer，也保留了Everyone权限。删除。
C:\WINDOWS\Web\printers目录，该目录的存在将导致iis添加扩展名。打印机，这可能会溢出默认的IIS错误页。
世界上没多少人用。建议删除目录C:\WINDOWS\Help\iisHelp。删除用于管理IIS的目录C:\ Windows \ System32 \ inetsrv \ iisadmpwd。
使用密码，比如密码不同步导致500错误时使用OWA或Iisadmpwd修改同步密码，但在这里可以删除。提到了以下设置。
设置会消除系统设置导致的密码同步问题。打开C:\Windows搜索。
net.exe;cmd.exe;tftp.exe;netstat.exe;regedit.exe;at.exe;attrib.exe;cacls.exe;format.com;
regsvr32.exe;xcopy.exe;wscript.exe;cscript.exe;ftp.exe;telnet.exe;arp.exe;edlin.exe;
ping.exe;route.exe;finger.exe;posix.exe;rsh.exe;atsvc.exe;qbasic.exe;runonce.exe;syskey.exe
修改权限，删除所有用户，仅保存管理员和系统为所有权限。
关闭端口445。
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\netBT\Parameters
新的“DWORD值”值命名为“SMBDeviceEnabled ”,数据为默认值“0”
禁止建立空连接
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
新建'DWORD值'值名为'RestrictAnonymous' 数据值为'1' [2003默认为1]
禁止系统自动启动服务器共享
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
新建'DWORD值'值名为'AutoShareServer' 数据值为'0'
禁止系统自动启动管理共享
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
新建'DWORD值'值名为'AutoShareWks' 数据值为'0'
通过修改注册表防止小规模DDOS攻击
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建'DWORD值'值名为'SynAttackProtect' 数据值为'1'
禁止dump file的产生
dump文件在系统崩溃和蓝屏的时候是一份很有用的查找问题的资料。然而，它也能够给黑客提供一些敏感信息比如一些应用程序
的密码等。控制面板系统属性高级启动和故障恢复把写入调试信息改成无。
关闭华医生Dr.Watson
在开始-运行中输入'drwtsn32'，或者开始-程序-附件-系统工具-系统信息-工具-Dr Watson，调出系统里的华医生Dr.Watson ，
只保留'转储全部线程上下文'选项，否则一旦程序出错，硬盘会读很久，并占用大量空间。如果以前有此情况，请查找user.dmp
文件，删除后可节省几十MB空间。
本地安全策略配置
开始 程序 管理工具 本地安全策略
账户策略 密码策略 密码最短使用期限改成0天[即密码不过期，上面我讲到不会造成IIS密码不同步] 账户策略 账户锁
定策略账户锁定阈值5 次账户锁定时间10分钟[个人推荐配置] 本地策略 审核策略 账户管理成功失败登录事件
成功失败对象访问失败策略更改成功失败特权使用失败系统事件成功失败目录服务访问失败账户登录事件成功
失败本地策略 安全选项 清除虚拟内存页面文件更改为'已启用' 不显示上次的用户名更改为'已启用' 不需要按
CTRL+ALT+DEL 更改为'已启用' 不允许SAM 账户的匿名枚举更改为'已启用' 不允许SAM 账户和共享的匿名枚举更改为'
已启用' 重命名来宾账户更改成一个复杂的账户名 重命名系统管理员账号更改一个自己用的账号[同时可建立一个无用
户组的Administrat账户] 组策略编辑器
运行gpedit.msc 计算机配置 管理模板 系统显示'关闭事件跟踪程序' 更改为已禁用
删除不安全组件
WScript.Shell 、Shell.application 这两个组件一般一些ASP木马或一些恶意程序都会使用到。
方案一：
regsvr32 /u wshom.ocx 卸载WScript.Shell 组件
regsvr32 /u shell32.dll 卸载Shell.application 组件
如果按照上面讲到的设置，可不必删除这两个文件
方案二：
删除注册表HKEY_CLASSES_ROOT\CLSID\{72C24DD5-D70A-438B-8A42-98424B88AFB8} 对应WScript.Shell
删除注册表HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540000} 对应Shell.application
用户管理
建立另一个备用管理员账号，防止特殊情况发生。
安装有终端服务与SQL服务的服务器停用TsInternetUser, SQLDebugger这两个账号
用户组说明
在将来要使用到的IIS中，IIS用户一般使用Guests组，也可以再重新建立一个独立的专供IIS使用的组，但要将这个组赋予
C:\Windows 目录为读取权限[单一读取] 个人不建议使用单独目录，太小家子气。
二、系统权限与安全配置
2.2最少的服务如果实现
黑色为自动绿色为手动红色为禁用
Alerter Application Experience Lookup Service Application Layer Gateway Service Application Management Automatic
Updates [Windows自动更新，可选项] Background Intelligent Transfer Service ClipBook COM+ Event System COM+ System
Application Computer Browser Cryptographic Services DCOM Server Process Launcher DHCP Client Distributed File
System Distributed Link Tracking Client Distributed Link Tracking Server Distributed Transaction Coordinator DNS
Client Error Reporting Service Event Log File Replication Help and Support HTTP SSL Human Interface Device
access IIS Admin Service IMAPI CD-Burning COM Service Indexing Service Intersite Messaging IPSEC Services [如果
使用了IP安全策略则自动，如无则禁用，可选操作] Kerberos Key Distribution Center License Logging Logical Disk
Manager [可选，多硬盘建议自动] Logical Disk Manager Administrative Service Messenger /li Microsoft Search
Microsoft Software Shadow Copy Provider MSSQLSERVER MSSQLServerADHelper Net Logon NetMeeting Remote Desktop
Sharing Network Connections Network DDE Network DDE DSDM Network Location Awareness (NLA) Network Provisioning
Service NT LM Security Support Provider Performance Logs and Alerts Plug and Play Portable Media Serial Number
Service [微软反盗版工具，目前只针对多媒体类] Print Spooler Protected Storage Remote Access Auto Connection
Manager Remote Access Connection Manager Remote Desktop Help Session Manager Remote Procedure Call (RPC) Remote
Procedure Call (RPC) Locator Remote Registry Removable Storage Resultant Set of Policy Provider Routing and
Remote Access Secondary Logon Security Accounts Manager Server Shell Hardware Detection Smart Card Special
Administration Console Helper SQLSERVERAGENT System Event Notification Task Scheduler TCP/IP NetBIOS H