在 Microsoft Windows? 2000, Windows XP Professional 和 Windows Server 2003 中，您可以作为与当前登录的用户不同的用户运行程序。 在 Windows 2000 中，Run as 服务提供此功能，在 Windows XP 和 Windows Server 2003 中，它称为 Secondary Logon 服务。 Run as 和 Secondary Logon 服务是名称不同的相同服务。
注：另外，您还可以使用组策略对象 (GPO) 设置在多台计算机上重命名默认管理员帐户。 但是，此设置不允许您修改默认说明。 有关详细信息，请参阅 http://support.microsoft.com/default.aspx?scid=kb;en-us;816109 上的知识库文章如何在 Windows Server 2003 中重命名管理员帐户和来宾帐户。
创建虚假管理员帐户
创建虚假管理员帐户将增加一个附加的保护层。 这样可以引诱企图对管理员帐户实施密码攻击的攻击者去攻击没有特权的帐户，因此攻击者很难发现您的已命名的管理员帐户。 另一种好办法是，通过确保此虚假帐户不被锁定，并为此帐户设置强密码，延缓攻击者进行攻击。 在创建虚假帐户之后，您应该确保此帐户不是有特权的安全组成员，然后监视此帐户的使用，查看是否出现登录失败等意外活动。 有关详细信息，请参阅 www.microsoft.com/technet/security/topics/networksecurity/sec_ad_admin_groups.mspx 上的知识库文章 Securing Active Directory Administrative Groups and Accounts。
阻止攻击者使用内置管理员帐户和密码凭据的一种方法是，根据帐户策略，允许管理员帐户在发生特定次数的登录失败之后被锁定在网络之外。 默认情况下，不能锁定内置管理员帐户；但是，您可以使用 passprop.exe（Microsoft Windows 2000 Server Resource Kit 中的命令行程序）为使用管理员帐户的远程登录启用帐户锁定。 在使用 /ADMINLOCKOUT 开关运行 passprop 实用程序时，您应该确保管理员帐户受帐户锁定策略约束。 在 Windows 2000 Server 中，这仅适用于远程登录，因为无法在本地计算机上锁定内置管理员帐户，此程序允许您保护管理员帐户免受网络攻击，但是仍允许交互式访问。
警告：在 Windows Server 2003 中，passprop 允许您通过交互式登录和远程登录来锁定内置管理员帐户。
创建不必写下的强密码的最简单方法是使用密码短语。 实质上，密码短语是容易记的句子，例如“My son Aiden is three years older than my daughter Anna”。 使用此句中每个单词的首字母，您可以创建一个很好的强密码。 例如，“msaityotmda”。 不过，您还可以使用大小写字母、数字和看似字母的特殊字符的组合使此密码更难以破解。 例如，使用同样易于记忆的句子和少许技巧，密码便成了 M$"8ni3y0tmd@。
您应该确保您组织的网络管理员使用强密码。 在 Windows 2000 Server 和 Windows Server 2003 中，您可以使用组策略来强制使用强密码。
有关强密码和安全密码的详细信息，请参阅 www.microsoft.com/smallbusiness/gtm/securityguidance/articles/enforce_strong_passwords.mspx 上的 Enforcing Strong Password Usage Throughout Your Organization 白皮书和 www.microsoft.com/smallbusiness/gtm/securityguidance/articles/select_sec_passwords.mspx 上的 Selecting Secure Passwords 白皮书。
定期更改管理员密码
您应该定期更改您的特权帐户密码。 根据帐户泄密对您的组织的影响，确定每次更改之间的时间间隔。 有关如何确定此影响的指导原则，请参阅 www.microsoft.com/technet/security/guidance/secrisk/default.mspx 上的 The Security Risk Management Guide。
您应该定期更改您的本地管理员帐户的密码。 您可以使用 Microsoft Windows 2000 Server Resource Kit 中包含的 cusrmgr.exe 工具来对服务器和工作站自动进行此操作。 有关如何使用 cusrmgr.exe 的详细信息，请参阅 http://support.microsoft.com/kb/272530 上的知识库文章 How to Use the Cusrmgr.exe Tool to Change Administrator Account Password on Multiple Computers。
另外，您应该定期在域控制器上更改目录服务还原模式 (DSRM) 管理员密码。 Windows 2000 使用 setpwd 实用程序重置 DSRM 密码。 在 Windows Server 2003 中，Ntdsutil 工具提供此功能。 您可以远程使用这两种工具。
当网络服务接受用户请求并假定要启动与另一个网络服务的新连接的用户身份时，进行委派身份验证。 委派身份验证对于在多台计算机上使用单一登录功能的多层应用程序非常有用。 例如，域控制器自动受信任以进行委派。 如果您在文件服务器上启用加密文件系统 (EFS)，必须信任此服务器以进行委派，以便代表用户存储加密文件。 委派身份验证对于 Internet 信息服务 (IIS) 支持在其他计算机上运行的数据库的 Web 接口的程序也非常重要，例如 Microsoft Exchange Server 中或企业证书颁发机构的 Web 注册支持页面（如果单独的 Web 服务器托管这些页）中的 Microsoft Outlook? Web Access (OWA)。
您应该拒绝对不安全的计算机上 Active Directory 中的计算机帐户进行委派身份验证的权限，并拒绝域管理员帐户的权限。 域管理员帐户有权访问敏感资源，一旦敏感资源被泄漏，就会对您的组织带来严重的风险。 有关详细信息，请参阅 www.microsoft.com/resources/documentation/WindowsServ/2003/all/deployguide/en-us/dsscc_aut_vwcs.asp 上 Windows Server 2003 Deployment Kit 中的 Enabling Delegated Authentication 主题。
![让你的无线路由更加安全，设置登陆密码图解。[DLINK设置篇]](/Images/arrow_list.gif){kind=icon}