1. Поставить самый последний Service Pack
2. NT должна быть единственной ОС на компьютере
3. Использовать файловую систему NTFS
4. Установить timeout=0 в файле boot.ini
5. Заблокировать account Guest
6. Установить : UserManager -> Policies ->Account -> Account Lockout
7. Установить : UserManager -> Policies ->Audit -> Logon and Logoff
8. UserManager -> Policies -> User Rights -> Access this computer from network удалить группу Everyone и назначить только необходимые группы.
9. Переименовать account Administrator
10. System policy editor : Local ( Default ) Computer -> Windows NTNetwork -> Sharing снять отметки с Create hidden drive shares
11. Запретить запуск службы Server на машинах, ресурсы которых не выделяются для совместного использования в сети.
12. Хранить свои данные не на системном разделе ( system partition)
13. Password protected screen saver
14. Зашифровать SAM с помощью программы syskey.exe (необходим SP3 )
15. Удалить группу Everyone из списков контроля доступа к папке system_root\repair
16. Права на ключ реестраHKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurePipeServers\winreg определяют права на доступ к реестру по сети.
17. Установить для папки %SYSTEMROOT% и всех вложенных папок и файлов права:
Administrators
Full Control
SYSTEM
Full Control
Users
List
Установить права для группы USERS :
C:\TMP (C:\temp)
Add
папка для временных файлов
RECYCLER
Add
корзина
%SYSTEMROOT% и все вложенные папки
Read
winnt
C:\Users
Read
домашние папки пользователей
%SYSTEMROOT%\System32\Config
List
%SYSTEMROOT%\Config
List
%SYSTEMROOT%\Repair
List
%SYSTEMROOT%\System32\Spool
Change
Установить права для группы CREATOR OWNER :
C:\TMP
Full Control
RECYCLER
Full Control
Для каждого пользователя добавить право Change на его рабочую папку C:\Users\%USERNAME% и на папку с профилем %SYSTEMROOT%\Profiles\%USERNAME%
Эти разрешения являются минимальными, в ряде случаев могут понадобиться большие права, рекомендации даны по книге "Безопасность сетей на основе Windows NT".
18. Разорвать привязку ( binding ) между WINS Client(TCP/IP) и Workstation, Server, Net BIOS Interface, что исключит возможность доступа к расшаренным ресурсам по TCP/IP.
Выполнение этих рекомендаций затруднит злонамеренный доступ к вашему компьютеру.