Terminal User Ip zuweisen und CMD disablen ?!

Hallo,

ein Kunde hat sich einen Windowserver (XP) bestellt und ich sitze gerade an der Sicherheit.
Apache ist schon installiert.
Um den Root allerdings sicherer zu machen, möchte ich dem Remote-User Administrator eine Ip zuweisen (ip.ip.*.*), sodass man NUR von diesem IP-Block auf :3389 (Terminal Service) connecten kann.
Außerdem hat mir ein Freund gesagt, dass die "Hacker" zu gerne Apache bzw. Phpmyadmin "hacken", also die erstellen irgendwie eine shell und haben von dortaus Zugriff auf die CMD. Wie kann ich diesen Zugriff auf die CMD unterbinden? Geht so etwas?

Mich würden die CMD-commands interessieren

Auf dem Server läuft ein FTP auf :21, der Apache auf :80, MSTSC auf :3389 und MySQL (wegen Apache) auf :3306.

Bisher habe ich nur die Windows Firewall an. Was kann ich noch tun um den Hackern den eventuellen hack so schwer wie möglich zu machen? Kann man vllt. unterbinden, dass man neue Remote-User adden kann? Oder verbieten, dass neue TCP-Programme ausgeführt werden? Bitte um Tips / Tricks

Vielen Dank!

mfG