安裝階段奠基

1. 拒絕網路安裝：安裝過程中輸入 Administrator 密碼後至首次重開機前，ADMIN$ 共享無密碼保護，任何網路用戶可直接連入。物理斷網安裝為鐵律。
2. 全分區 NTFS：至少系統分區必須為 NTFS；應用程式與系統分區分離，防 IIS 漏洞導致系統檔洩漏或遠端提權。
3. 優先選用英文版：核心代碼相同，英文版補丁釋出更早、漏洞較少 (中文版常延遲半個月以上)。

管理階段持續強化

1. 訂閱漏洞資訊、即時修補、部署防火牆：最簡單有效的防禦。推薦國外權威安全網站。補丁永遠滯後於漏洞，不可盲目信任。
2. 禁止空連線：HKLM\SYSTEM\CurrentControlSet\Control\LSA\RestrictAnonymous = 1。
3. 停用管理共享：HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareServer = 0。
4. 強化密碼策略：>8 位、大小寫+數字+特殊符號組合 (如 G1$2aLe^)；禁用純字典詞或字詞+數字。MSSQL sa 密碼絕不可為空 (預設為空且擁有 admin 權限)。
5. 嚴控 Administrators 群組：僅保留單一 Administrator (自己)；每日稽核，發現新增帳號立即刪除或反制。防 Guest 帳號被啟用→改密→加入 Administrators。
6. 精簡服務：關閉所有非必要服務，尤其不明用途服務；無遠端管理需求時關閉所有遠端登入服務；禁用 Task Scheduler、RunAs Service (除非必要)。
7. 管理員純淨使用原則：伺服器不瀏覽網頁、不收發郵件、不安裝非必要軟體，避免 IE/Outlook 漏洞導致木馬感染或隱私洩漏。
8. 主動滲透測試：定期以攻擊者視角掃描自身 (推薦「流光」掃描器)，發現漏洞即時修補；善待善意通報者。
9. 本地安全不容忽視：
   • 套用最新 SP (當時為 SP3)。
   • 共用機器必須啟用「不顯示上次登入使用者名稱」 (本地安全原則 → 安全性選項)。

常見高危漏洞提醒

IDQ.DLL、IDA.DLL、印表機緩衝區溢位等為常見入侵向量，請務必用掃描器驗證修補狀態。