nt(2000)建立的网站在所有网站中占有很大比重，但NT的安全问题一直比较突出，这让一些基于NT的网站如履薄冰。但是微软并没有明确坚决的计划，只是刚刚推出了补丁。各种安全文档中对NT的安全描述都是零碎的，让人无所适从。于是，有的网管干脆不采取任何措施，有的忙着下载各种补丁，有的以为装了防火墙就万事大吉了。这种情况直接导致了大量网站的NT安全参差不齐。只有少数NT网站安全性高，大多数网站安全性差。因此，瑞星公司决心收集整理NT的主要漏洞，同时从全局的高度，努力找出一套用NT构建安全网站的解决方案，让用户放心使用NT(2000)构建网站。
解决方案：(注：此解决方案主要针对构建网站的NT和2000服务器的安全性，不适用于局域网内的服务器。)
一.安装：
1.无论是NT还是2000，硬盘分区都是NTFS分区；
描述：
(1)NTFS比FAT分区有更多的安全控制功能，可以针对不同的文件夹设置不同的访问权限，增强安全性。
(2)建议最好一次性全部安装成NTFS分区，而不是先安装成FAT分区再转换成NTFS分区。这样做将导致不成功的转换，甚至系统崩溃时，SP5和SP6安装。
(3)安装NTFS分区有一个潜在的危险，就是目前大部分杀毒软件都不提供软盘启动后对NTFS分区的病毒检测和查杀，这样一旦系统陷入恶性病毒，系统无法正常启动，后果会更严重。所以建议平时做好杀毒工作。
2.只安装一个操作系统；
说明：安装两个以上的操作系统，会给黑客可乘之机，将系统重新启动到另一个没有安全设置的操作系统(或者他熟悉的操作系统)，然后进行破坏。
3.将其安装为独立的域控制器(单机)，选择工作组成员而不是域；
描述：主域控制器(PDC)是管理局域网中队中多台联网机器的一种方式。它用在网站服务器中，存在潜在的安全风险，使得黑客利用域漏洞攻击网站服务器成为可能。
4.将操作系统文件所在的分区与包括其他应用的Web数据所在的分区分开，安装时最好不要使用系统的默认目录，比如将\WINNT改为另一个目录；
说明：黑客可能通过网站的漏洞获得操作系统对操作系统部分程序的执行权，从而造成更大的损害。
5.Windows程序，你必须重新安装一次补丁。2000以下不需要这么做。
描述：
(1)最新补丁是指系统之前有重大漏洞，需要修复。对于局域网内的服务器来说可能不是最新的，但是网站必须安装最新的补丁，否则黑客可能会利用低版本补丁的漏洞对系统造成威胁。这是一些管理员容易忽略的一点；
(2)安装了NT的SP5和SP6有一个潜在的威胁，就是一旦系统崩溃，重新安装NT，系统将无法识别NTFS分区，因为微软在这两个补丁中对NTFS进行了改进。NTFS只能在Windows2000安装过程中识别，会造成很多麻烦。建议同时做好数据备份。
(3)安装ServicePack之前，要在测试机上安装一次，防止机器因异常原因而崩溃，同时做好数据备份。
6.尽量不要安装与网站服务无关的软件；
说明：其他应用软件可能存在黑客已知的安全漏洞。
二、NT设置：
1.帐户策略：
(1)账号尽量少，尽量少用来登录；
注意：一般网站账号只用于系统维护，不需要任何多余的账号，因为多一个账号会增加被攻破的风险。
(2)除管理员外，需要添加另一个属于管理员组的帐号；
说明：两个管理员组的账号，一方面防止管理员一旦忘记一个账号的密码就有备用账号；另一方面，一旦黑客侵入账户，修改密码，我们仍然有机会在短时间内夺回控制权。
(3)所有账户权限都要严格控制，不要轻易给账户特殊权限；
(4)将管理员改名为不容易猜到的名字。其他普通账户也应遵循同样的原则。
说明：这可以为黑客攻击增加另一道屏障。
(5)禁用来宾帐户，重命名为复杂名称，添加密码，并将其从来宾组中删除；
说明：有些黑客工具利用了guest的弱点，可以将账号从一般用户升级到管理员组。
(6)给所有用户账号一个复杂的密码(系统账号出的时候)，密码长度至少8位，同时包含字母、数字和特殊字符。同时，不要使用熟悉的单词(如微软)、熟悉的键盘序列(如qwert)、熟悉的数字(如2000)等。
说明：密码是黑客攻击的重点。密码一旦被破解，就没有系统安全可言，这一点往往被很多网络管理员所忽视。根据我们的测试，只有包含字母和数字的5位密码才会在几分钟内被破解，而推荐的方案要安全得多。
(7)密码一定要定期更换(建议至少两周一次)，最好牢记在心。另外，不要在任何地方做记录；另外，如果在日志审计中发现某个账号被连续尝试，必须立即更改该账号(包括用户名和密码)；
(8)在账户属性中设置锁定次数。例如，如果登录失败次数超过5次，帐户将被锁定并更改。这可以防止一些大规模的登录尝试，同时让管理员对该帐户保持警惕。
2.解除NetBios与TCP/IP协议的绑定
说明：NetBois是局域网中不可或缺的功能，却成为了黑客在网站服务器上扫描工具的首选目标。方法：NT:控制面板3354网络3354绑定——NetBios接口3354禁用2000:控制面板3354网络和拨号连接3354本地网络3354属性3354 TCP/IP 3354属性3354高级——WINS——禁用TCP/IP上的NetBios
3.删除所有网络共享资源。
注意：NT和2000默认共享大量网络资源，这对于局域网中的网络管理和网络通信是有用的，同时也是网站服务器中严重的安全隐患。(卸载“Microsoft网络的文件和打印机共享”。在网络和拨号连接中查看任何连接属性时，都会显示此选项。单击“卸载”删除该组件；清除“Microsoft网络中的文件和打印机共享”复选框将不起作用。)
方法：
(1)NT:管理工具3354服务器管理器3354共享目录3354停止共享；
2000:控制面板3354管理工具3354计算和管理3354共享文件夹3354-停止共享
但是以上两种方法都太麻烦了，每次重启服务器，管理员都要停机。
(2)修改注册表：
运行Regedit，然后修改注册表，在HKEY _本地_机器\系统\当前控制集\服务\ lanmanserver \参数下添加一个键。
名称：AutoShareServer
类型：REG_DWORD
值：0
然后重启你的服务器，磁盘分区共享被删除，但是IPC共享仍然存在，每次重启后需要手动删除。
4.更改NTFS的安全权限；
注意：默认情况下，NTFS中的所有文件对所有人都有完全控制权，这使得黑客可以使用一般用户身份添加、删除和执行文件。建议一般用户只授予读取权限，而管理员和系统只授予完全控制权限。但是，这可能会导致一些正常的脚本程序无法执行或者一些需要编写的操作无法执行。此时，有必要更改这些文件所在的文件夹权限。建议在进行更改之前。
5.系统启动的等待时间设置为0秒，控制面板-系统-启动/关机，然后列表显示的默认值由“30”改为“0”。(或者在boot.ini中将TimeOut的值更改为0)
6.只打开必要的端口，关闭其余的端口。
注意：默认情况下，所有端口都是对外开放的，所以黑客会使用扫描工具扫描哪些端口可用，这是对安全的严重威胁。
下面列出了一些常见的端口：
端口应用程序
21TCPFTP
25TCPSMTP
53TCPDNS
80TCPHTTPSERVER
1433TCPSQLSERVER
5631TCPPCANYWHERE
5632UDPPCANYWHERE
6(非端口)IP协议
8(非端口)IP协议
7.加强日志审计；
描述：日志包括事件查看器中的应用程序、系统、安全日志，iis中的WWW、SMTP、FTP日志，SQLSERVER日志等。从中可以看出一些攻击迹象。所以每天检查日志是保证系统安全必不可少的环节。安全日志默认不记录，账户审计可以从域用户管理器——规则3354审计中选择指标；从资源管理器中选择NTFS中的审核文件。需要注意的一点是，你只需要选择你真正关心的指标。如果全部选中，记录数量会过大，不利于分析。另外，太多也是对系统资源的浪费。
8.加强数据备份；
说明：这很重要。网站的核心是数据。数据一旦被破坏，后果不堪设想，而这往往是黑客真正在意的；不幸的是，许多网络管理人员在这一点上做得不好，要么备份不完整，要么备份不及时。数据备份应仔细规划，应制定一项战略并在实施前进行测试，备份计划应随着网站的更新而不断调整。
9.只保留TCP/IP协议，删除NETBEUI、IPX/SPX协议；
说明：网站唯一要求的通信协议是TCP/IP，而NETBEUI是只能在局域网使用的协议，IPX/SPX是面临淘汰的协议。在网站上没用，反而会被一些黑客工具利用。
10.停止无用的服务，只保留与网站相关的服务和服务器的一些必要服务。
说明：有些服务，比如RAS服务，Spooler服务，会给黑客可乘之机。如果真的没用，建议禁用，同时也可以节省一些系统资源。但是，需要注意的是，有些服务是操作系统所必需的。建议在停止之前查阅帮助文档并在测试服务器上进行测试。
11.隐藏上次登录的用户名并修改注册表Winnt4.0:
在HKEY _本地_机器\软件\微软\ windows nt \当前版本\ winlogon中添加
