保護 Windows 伺服器安全，首要任務是建立多層次的防禦體系。以下 12 項基礎設定能有效阻擋大多數常見攻擊：
伺服器應置於具監控錄影（保存 15 天以上）的獨立機房，機箱、鍵盤、抽屜皆需上鎖，鑰匙另行妥善保管，確保物理接觸不等於系統存取權。
在「電腦管理」中停用 Guest 帳號，並設定極高複雜度密碼（含特殊字元、數字、大小寫字母），杜絕匿名登入管道。
移除所有重複、測試、共享、部門等非必要帳號，善用群組原則分配權限，定期稽核並刪除停用帳號。統計顯示，帳號超過 10 個的主機極易發現弱口令，甚至出現 197 個帳號中 180 個為弱口令的驚人案例。
一組一般權限帳號處理日常郵件與事務，另一組具 Administrators 權限的布號僅於必要時使用，搭配 RunAs 指令提權，落實最小權限原則。
內建 Administrator 無法停用，是暴力破解首選目標。將其改名為難以猜測的普通用戶名（如 guestone），避免使用 Admin 等顯而易見的名稱。
建立名為「Administrator」的本地帳號，權限設為最低、密碼超過 10 位且極度複雜，配合登入腳本記錄，可延緩攻擊者並偵測入侵意圖。
Windows 2000 中 Everyone 代表所有網絡用戶，務必將所有共享（含列印共享）權限限制為「授權用戶」群組。
定義「安全期內無法破解」為好密碼標準：若密碼文件外洩，需花費 43 天以上才能破解，而密碼更換週期設為 42 天。首次登入強制變更複雜密碼，並定期輪換。
簡單有效的內部防護手段，建議使用黑屏模式以節省資源，並要求所有用戶端電腦同樣設定。
NTFS 提供檔案級權限、加密、磁碟配額等安全特性，遠優於 FAT/FAT32，所有分區必須轉換為 NTFS。
優質防毒軟體不僅查殺病毒，更能偵測木馬與後門程式，讓已知攻擊工具失效。病毒碼庫必須保持最新。
備份資料為災難恢復關鍵，嚴禁存放於同一台伺服器，應離線保管於物理安全地點。
透過 MMC 架構的安全配置工具，可依需求快速套用預設或自訂安全範本。
Terminal Services、IIS、RAS 等服務常含漏洞，僅保留業務必需服務，並每日稽核服務狀態。參考 C2 級安裝預設服務清單進行精簡。
以 TCP/IP 篩選功能僅開放業務所需通訊埠，減少攻擊面。掃描開放埠口是駭客偵察第一步，services 檔案可供對照知名埠口與服務。
必須開啟的稽核項目包括：系統事件、登入事件、帳號管理、物件存取、策略變更、特權使用，皆設為「成功、失敗」雙記錄，確保入侵痕跡可追溯。
啟用複雜度要求、最小長度 6 碼、記住 5 代密碼歷史、最長使用 42 天強制變更。
鎖定閾值 3 次、鎖定時間 20 分鐘、計數器重設 20 分鐘，有效阻擋暴力破解。
預設安全日誌無保護，應限制僅 Administrators 及 System 帳號可讀取。
重要使用者資料、資料庫、專案檔案應存放於獨立受保護的檔案伺服器，並定期備份。
修改登錄 HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\DontDisplayLastUserName 值為 1，防止洩露有效帳號名稱供暴力破解使用。
修改登錄 HKLM\System\CurrentControlSet\Control\LSA\RestrictAnonymous 為 1，或透過本地安全策略設定「不允許 SAM 帳號和共享的匿名列舉」，阻斷匿名列舉帳號管道。
定期造訪微軟與安全廠商網站，下載最新 Service Pack 與安全公告補丁，是長期維護伺服器安全的唯一正途。
符合 C2 安全標準，修改登錄 HKLM\SYSTEM\CurrentControlSet\Control\GraphicsDrivers\DCI\Timeout 為 0，可能影響 DirectX 程式但提升安全性。
C$、D$、ADMIN$、IPC$ 等隱藏共享是 IPC$ 入侵溫床。透過登錄 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters\AutoShareServer 設為 0 永久禁用。
防止系統崩潰時將敏感記憶體資料寫入磁碟被分析。