初級安全篇

1. 物理安全：伺服器置於監控隔離機房，保留 15 天以上錄影；機箱、鍵盤、抽屜上鎖，鑰匙另存放。
2. 停用 Guest 帳號：禁用並設定複雜長密碼 (含特殊字元、數字、字母)。
3. 精簡使用者帳號：移除重複、測試、共用、部門帳號；定期稽核刪除停用帳號。帳號越多，弱密碼風險越高。
4. 雙管理員帳號策略：一般權限帳號處理日常事務；Administrators 權限帳號僅於必要時使用，搭配 RunAs 指令提權。
5. 重命名 Administrator：避免暴力破解，偽裝為普通使用者名稱 (如 guestone)，勿用 Admin 等顯而易見名稱。
6. 建立陷阱帳號：建立名為 Administrator 的本地帳號，最低權限 + 超過 10 位複雜密碼，延緩腳本攻擊並偵測入侵意圖。
7. 共享權限收緊：將「Everyone」改為「授權使用者」，含列印共享 (預設為 Everyone)。
8. 強制強密碼：禁止公司名、電腦名、簡單字串 (welcome, iloveyou 等)；定義：安全期內 (如 42 天) 無法破解即為好密碼，配合 42 天強制變更。
9. 螢幕保護程式密碼：啟用簡單黑畫面保護，防內部人員竄改；全體使用者電腦同樣設定。
10. 全分區 NTFS：NTFS 遠較 FAT/FAT32 安全。
11. 防毒軟體：安裝並定期更新病毒碼，查殺病毒、木馬、後門。
12. 備份媒體離場保管：不可備份於同一伺服器，否則失去意義。

中級安全篇

1. 安全設定工具：善用 MMC 安全設定與分析工具 (參考微軟技術文件)。
2. 關閉非必要服務：Terminal Services、IIS、RAS 為高風險服務。C2 級安裝預設服務清單供參考。
3. 關閉非必要連接埠：啟用 TCP/IP 篩選 (網路連線→內容→TCP/IP→進階→選項→TCP/IP 篩選)，僅開放必要協議/埠。參考 \system32\drivers\etc\services 對照表。
4. 啟用稽核原則：必開項目 — 系統登入事件、帳號管理、登入事件、物件存取 (成功)、原則變更、特權使用、系統事件 (均記錄成功/失敗)。
5. 密碼原則：啟用複雜性、最小長度 6、歷史記錄 5 次、最長使用 42 天。
6. 帳號鎖定原則：重設計數器 20 分鐘、鎖定時間 20 分鐘、錯誤門檻 3 次。
7. 保護安全日誌：僅 Administrators 與 System 可存取。
8. 敏感資料異地備份：重要使用者資料存放於獨立安全檔案伺服器並定期備份。
9. 隱藏上次登入使用者：修改 HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\DontDisplayLastUserName = 1。
10. 禁止空連線：修改 HKLM\System\CurrentControlSet\Control\LSA\RestrictAnonymous = 1。
11. 修補程式管理：養成定期造訪微軟與安全網站習慣，下載最新 SP 與 Hotfix。

高級安全篇

1. 停用 DirectDraw：C2 級需求。修改 HKLM\SYSTEM\CurrentControlSet\Control\GraphicsDrivers\DCI\Timeout = 0。不影響一般商務應用。
2. 關閉預設共享：net share 查看隱藏共享 (C$, D$, ADMIN$, IPC$ 等)。透過「電腦管理→共用資料夾→共用」停止共享，但重開機會恢復，需配合登錄或腳本永久禁用。