操作系统安全我的地盘自然是我做主

　　三、正确地设置目录和文件权限（这步可以在以后做）

　　为了控制好服务器上用户的权限，同时也为了预防以后可能的入侵和溢出，还必须非常小心地设置目录和文件的访问权限。Windows 2000/XP Pro的访问权限分为:读取、写入、读取及执行、修改、列目录、完全控制。在默认的情况下，大多数的文件夹对所有用户(Everyone这个组)是完全控制的(Full Control)，您需要根据应用的需要重新设置权限。在进行权限控制时，请记住以下几个原则:

　　㈠权限是累计的，如果一个用户同时属于两个组，那么他就有了这两个组所允许的所有权限。

　　②拒绝的权限要比允许的权限高(拒绝策略会先执行)。如果一个用户属于一个被拒绝访问某个资源的组，那么不管其他的权限设置给他开放了多少权限，他也一定不能访问这个资源。

　　③文件权限比文件夹权限高。

　　④利用用户组来进行权限控制是一个成熟的系统管理员必须具有的优良习惯。

　　⑤只给用户真正需要的权限，权限的最小化原则是安全的重要保障。

　　⑥预防ICMP攻击。ICMP的风暴攻击和碎片攻击是NT主机比较头疼的攻击方法，而Windows 2000/2003应付的方法很简单。Windows 2000/2003自带一个Routing &Remote Access工具，这个工具初具路由器的雏形。在这个工具中，我们可以轻易地定义输入输出包过滤器。如设定输入ICMP代码255丢弃就表示丢弃所有的外来ICMP报文。

　　四、网络服务安全管理

　　1、关闭不需要的服务

　　只留必需的服务，多一些服务可能会给系统带来更多的安全因素。如Windows 2000/2003的Terminal Services(终端服务)、IIS(web服务)、RAS(远程访问服务)等，这些都有产生漏洞的可能。

　　2、关闭不用的端口。

　　3、只开放服务需要的端口与协议。

　　具体方法为:按顺序打开“网上邻居→属性→本地连接→属性→Internet 协议→属性→高级→选项→TCP/IP筛选→属性”，添加需要的TCP、UDP端口以及IP协议即可。根据服务开设口.

　　常用的TCP口有:80口用于Web服务;21用于FTP服务;25口用于SMTP;23口用于Telnet服务;110口用于POP3(邮件服务)。

　　常用的UDP端口有:53口-DNS域名解析服务;161口-snmp简单的网络管理协议。8000、4000用于OICQ，服务器用8000来接收信息，客户端用4000发送信息。如果没有上面这些服务就没有必要打开这些端口。