Windows Server佔據服務器市場半壁江山，也成為病毒木馬重災區。美團雲(MOS)總結六大基礎加固措施，低成本抵禦90%以上常見攻擊，適用於2008 R2/2012 R2數據中心版。

一、強密碼策略：12位+隨機+定期換

• 創建即生成12位隨機密碼，首次登入必改
• 包含大小寫+數字+特殊符號，長度≥12
• 推薦工具：Norton密碼生成器
• 每90天輪換，Ctrl+Alt+Del → 修改密碼（Web終端同樣支持）

二、自動更新：修補0day前的最後防線

• 2008：服務器管理器 → 配置更新 → 自動安裝更新
• 2012：服務器管理器 → 配置本地服務器 → Windows更新 → 啟用自動更新
• 美團雲鏡像已獲正版授權，直連微軟更新源

三、防火牆：雲端+主機雙層，白名單守住3389

• 優先用美團雲控制台防火牆（虛擬機外層，性能零損耗）
• 若需主機防火牆：
  2008：服務器管理器 → Windows防火牆 → 公用配置開啟 → 入站規則啟用「遠程桌面(TCP-In)」
  2012：服務器管理器 → Windows防火牆 → 高級設置 → 入站規則啟用「遠程桌面-用戶模式(TCP-In) 公用」
• 關鍵： 遠程桌面(TCP 3389)必須設置IP白名單（僅允許運維IP段）
• Web服務(80/443)入站規則手動添加（第三方Web服務器必做）

四、IE增強安全配置(ESC)：服務器嚴禁隨意上網

• 2008：服務器管理器 → 配置IE ESC → 開啟
• 2012：服務器管理器 → 配置本地服務器 → IE增強安全配置 → 開啟
• 開啟後僅能訪問受信任站點列表內網站，防駭客誘導下載木馬

五、實時殺毒：微軟官方免費方案

• 2008 R2：Microsoft Security Essentials（MSE），下載安裝即用
• 2012 R2：申請試用 System Center 2012 R2 Configuration Manager，安裝附帶 System Center Endpoint Protection (SCEP)
  路徑：解壓包 → SMSSETUP\CLIENT\scepinstall.exe

六、單一角色+極簡主義部署架構

• 單一角色： 一台服務器只跑一業務（DB/Web/App分離），精準控制公網暴露面
• 精簡原則： 不用的服務/軟件/端口/公網IP一律關閉/不裝/不買
• DB無需公網IP → 省錢更安全；Web僅開80/443；管理口走VPN/堡壘機

驗證清單

1. 密碼複雜度/過期策略生效
2. Windows Update 狀態「最新」
3. 雲防火牆/主機防火牆雙層生效，3389僅白名單
4. IE ESC 開啟
5. 殺毒軟件實時防護運行中，病毒庫最新
6. 資產清單與暴露面對齊，無殭屍服務/端口

六步落地，Windows服務器安全基線即達標。進階可加域控策略、AppLocker、WDAC、ATP/EDR，按業務價值分級投入。