賬號與認證加固

1. 重命名/移動系統命令：將cmd.exe移出System32或重命名，防駭客獲取Shell後調用。
2. 精簡賬號、強化密碼：刪除冗餘賬號，重命名Administrator（避免Admin等弱名），設置複雜密碼（≥8位，含大小寫/數字/符號）。
3. 拒絕網絡匿名訪問：本地安全策略→拒絕通過網絡訪問：匿名用戶、Guest、內置管理員、服務賬號。

文件系統權限（NTFS）

遵循最小權限原則，文件權限優先於文件夾：

文件類型	建議權限
CGI/可執行(.exe/.dll/.cmd/.pl)	Everyone:執行; Administrators/System:完全控制
腳本(.asp)	Everyone:讀取/執行; Administrators/System:完全控制
包含文件(.inc/.shtm/.shtml)	Everyone:讀取; Administrators/System:完全控制
靜態內容(.txt/.gif/.jpg/.htm/.html)	Everyone:讀取; Administrators/System:完全控制

註冊表與服務加固

4. 禁用默認共享：
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters
AutoShareServer=0 (REG_DWORD) 禁用C$/D$等
   AutoShareWks=0 禁用ADMIN$
   restrictanonymous=1 限制IPC$匿名枚舉（勿設2，否則服務啟動失敗）
5. 審核策略：啟用帳號管理、登錄事件、對象訪問(失敗)、策略變更、特權使用、系統事件、目錄服務訪問、帳號登錄事件的成功/失敗審核。
6. 密碼策略：複雜度啟用、最小長度6、歷史記憶5次、最長存活30天。
7. 賬號鎖定：3次錯誤鎖定20分鐘，重置計數20分鐘。
8. 終端服務審核：僅記錄登錄/注銷事件。

網絡協議與TCP/IP加固

11. 解除NetBIOS over TCP/IP：網絡連接→TCP/IP屬性→高級→WINS→禁用。
12. 啟用TCP/IP篩選：僅開放必要端口（如80, 443, 1433）。
13. 禁用139空連接：RestrictAnonymous=1。
14. 修改TTL值：DefaultTTL=64 (十進制) 干擾OS指紋識別。
15. 防SYN Flood：SynAttackProtect=2。
16. 禁用ICMP重定向/路由發現：EnableICMPRedirects=0, PerformRouterDiscovery=0。
17. 禁用IGMP/路由/死網關檢測：IGMPLevel=0, IPEnableRouter=0, EnableDeadGWDetect=0。
18. 調整ARP緩存：ArpCacheLife=120, ArpCacheMinReferencedLife=600。

實施建議

所有更改先在測試機驗證，尤其文件權限調整可能導致腳本失敗。加固是持續過程，配合補丁管理、日志分析、入侵檢測系統（IDS）構建纵深防禦。