一、系統安裝基礎

1. 至少兩個 NTFS 分區
2. 離線安裝 2003 系統
3. 僅安裝必要 IIS 組件 (WWW 服務、管理器、公用檔案、BITS)；需 FrontPage 再加擴展
4. 安裝 MSSQL 等必要軟體並打補丁
5. 跑 MBSA (Microsoft Baseline Security Analyzer) 掃描缺失補丁與配置

二、帳號管理鐵律

1. 少建管理員、改預設 Administrator 名稱/描述、密碼 ≥14 位混合大小寫數字符號
2. 建陷阱 Administrator 帳號、最小權限、超長密碼
3. 停用 Guest、改名、設複雜密碼 (或用 DelGuest 刪除)
4. 群組原則：帳戶鎖定 3 次/30 分鐘/重置 30 分鐘
5. 安全選項啟用「不顯示上次用戶名」
6. 「從網路存取此電腦」僅保留 IUSR、IIS 啟動帳戶、ASP.NET 帳戶
7. 日常用 User 帳號，提權用 Runas

三、網路服務精簡

1. 註冊表關閉預設共享 AutoShareServer=0
2. 解除 NetBIOS over TCP/IP
3. 關閉非必要服務：Computer Browser、Distributed File System、Error Reporting、Microsoft Search、NTLM SSP、Print Spooler (無印表機)、Remote Registry、Remote Desktop Help 等

四、審核策略

建議審核：登入/登出、帳戶登入、系統事件、策略變更 (成功/失敗)；物件存取、目錄服務存取、特權使用 (僅失敗)。避免過多/過少導致關鍵事件被淹沒或遺漏。

五、其他安全加固

• 註冊表隱藏重要資料夾 (CheckedValue=0)
• 開啟 ICF 並勾選 Web 服務
• 防 SYN Flood：SynAttackProtect=2
• 禁用 ICMP 路由通告/重定向、IGMP
• 禁用 DCOM (dcomcnfg)

六、IIS 精簡配置

1. 不使用預設網站，或將 IIS 目錄與系統盤分離
2. 刪除 Inetpub 及預設虛擬目錄 (_vti_bin、IISSamples、Scripts、IISHelp、MSADC 等)
3. 移除不必要擴展名映射 (.shtml/.shtm/.stm)
4. 遷移 IIS 日誌路徑
5. 部署 UrlScan 2.5 (ASP.NET 需加 DEBUG 謂詞、.asp 需移除拒絕清單、非 ASCII 需 AllowHighBitCharacters=1)
6. 用 WIS 掃描 SQL Injection 弱點

七、SQL Server 強化

1. Sysadmin 角色 ≤2 人
2. 本機優先 Windows 驗證
3. 禁用 sa、設超強密碼
4. 刪除高危擴展預存程序：xp_cmdshell、註冊表存取類、OLE 自動化類 (視需求保留)
5. 隱藏實例、修改預設 1433 埠

八、純伺服器環境啟用 IPSec

1. 建立「Web 篩選器」：來源任意 → 目的本機 IP、TCP/80
2. 建立「所有入站篩選器」：來源任意 → 目的本機 IP、所有協議
3. 篩選動作：「阻止」
4. 指派策略，僅開放 80 埠入站，其餘全擋