系统盘权限设置
C:分区部分：
c:＼
administrators 全部(该文件夹，子文件夹及文件)
CREATOR OWNER 全部(只有子文件来及文件)
system 全部(该文件夹，子文件夹及文件)
IIS_WPG 创建文件/写入数据(只有该文件夹)
IIS_WPG(该文件夹，子文件夹及文件)
遍历文件夹/运行文件
列出文件夹/读取数据
读取属性
创建文件夹/附加数据
读取权限
c:＼Documents and Settings
administrators 全部(该文件夹，子文件夹及文件)
Power Users (该文件夹，子文件夹及文件)
读取和运行
列出文件夹目录
读取
SYSTEM全部(该文件夹，子文件夹及文件)
C:＼Program Files
administrators 全部(该文件夹，子文件夹及文件)
CREATOR OWNER全部(只有子文件来及文件)
IIS_WPG (该文件夹，子文件夹及文件)
读取和运行
列出文件夹目录
读取
Power Users(该文件夹，子文件夹及文件)
修改权限
SYSTEM全部(该文件夹，子文件夹及文件)
TERMINAL SERVER USER (该文件夹，子文件夹及文件)
修改权限
网站及虚拟机权限设置(比如网站在E盘)
说明：我们假设网站全部在E盘wwwsite目录下，并且为每一个虚拟机创建了一个guest用户，用户名为vhost1...vhostn并且创建了一个webuser组，把所有的vhost用户全部加入这个webuser组里面方便管理
E:＼
Administrators全部(该文件夹，子文件夹及文件)
E:＼wwwsite
Administrators全部(该文件夹，子文件夹及文件)
system全部(该文件夹，子文件夹及文件)
service全部(该文件夹，子文件夹及文件)
E:＼wwwsite＼vhost1
Administrators全部(该文件夹，子文件夹及文件)
system全部(该文件夹，子文件夹及文件)
vhost1全部(该文件夹，子文件夹及文件)
3、数据备份盘
数据备份盘最好只指定一个特定的用户对它有完全操作的权限
比如F盘为数据备份盘，我们只指定一个管理员对它有完全操作的权限
4、其它地方的权限设置
请找到c盘的这些文件，把安全性设置只有特定的管理员有完全操作权限
下列这些文件只允许administrators访问
net.exe
net1.exet
cmd.exe
tftp.exe
netstat.exe
regedit.exe
at.exe
attrib.exe
cacls.exe
format.com
5.删除c:＼inetpub目录，删除iis不必要的映射，建立陷阱帐号，更改描述
禁用不必要的服务，提高安全性和系统效率
Computer Browser 维护网络上计算机的最新列表以及提供这个列表
Task scheduler 允许程序在指定时间运行
Routing and Remote Access 在局域网以及广域网环境中为企业提供路由服务
Removable storage 管理可移动媒体、驱动程序和库
Remote Registry Service 允许远程注册表操作
Print Spooler 将文件加载到内存中以便以后打印。要用打印机的朋友不能禁用这项
IPSEC Policy Agent 管理IP安全策略以及启动ISAKMP/OakleyIKE)和IP安全驱动程序
Distributed Link Tracking Client 当文件在网络域的NTFS卷中移动时发送通知
Com+ Event System 提供事件的自动发布到订阅COM组件
Alerter 通知选定的用户和计算机管理警报
Error Reporting Service 收集、存储和向 Microsoft 报告异常应用程序
Messenger 传输客户端和服务器之间的 NET SEND 和 警报器服务消息
Telnet 允许远程用户登录到此计算机并运行程序
修改注册表(进行以下操作前，先备份注册表)
1:防止SYN洪水攻击
HKEY_LOCAL_MACHINE＼SYSTEM＼CurrentControlSet＼Services＼Tcpip＼Parameters
新建DWORD值，名为SynAttackProtect，值为2
EnablePMTUDiscovery REG_DWORD 0
NoNameReleaseOnDemand REG_DWORD 1
EnableDeadGWDetect REG_DWORD 0
KeepAliveTime REG_DWORD 300,000
PerformRouterDiscovery REG_DWORD 0
EnableICMPRedirects REG_DWORD 0
2:禁止响应ICMP路由通告报文
HKEY_LOCAL_MACHINE＼SYSTEM＼CurrentControlSet＼Services＼Tcpip＼Parameters＼Interfaces＼interface
新建DWORD值，名为PerformRouterDiscovery 值为0
3:防止ICMP重定向报文的攻击
HKEY_LOCAL_MACHINE＼SYSTEM＼CurrentControlSet＼Services＼Tcpip＼Parameters
将EnableICMPRedirects 值设为0
4:不支持IGMP协议
HKEY_LOCAL_MACHINE＼SYSTEM＼CurrentControlSet＼Services＼Tcpip＼Parameters
新建DWORD值，名为IGMPLevel 值为0
5:禁止IPC空连接：
cracker可以利用net use命令建立空连接，进而入侵，还有net view，nbtstat这些都是基于空连接的，禁止空连接就好了。打开注册表，找到Local_Machine＼System＼CurrentControlSet＼Control＼LSA-RestrictAnonymous 把这个值改成”1”即可。
注意：以上设置仅建立在不在服务器或者VPS上浏览网站以及不在VPS内安装有安全问题的软件的基础上，系统管理员应经常关注系统内的运行状况，服务器的安全最终依靠的依然是人进行管理。