從安裝到帳號、服務、登錄、稽核、IIS、防火牆、入侵偵測，建立多層次防護體系。

階段一：安全安裝基礎

• 最少兩個 NTFS 分區（系統/資料分離）。
• 斷網安裝，避免安裝過程被入侵。
• IIS 僅安裝必要元件：WWW 服務、管理工具、公用檔案、BITS 擴充；停用 FTP、SMTP、FrontPage 延伸（除非必要）。
• 安裝 SQL Server 等應用後立即打補丁。
• 執行 MBSA (Microsoft Baseline Security Analyzer) 掃描缺失修補程式與弱點設定。

階段二：帳號與認證強化

• 重新命名 Administrator，建立同名陷阱帳號（最低權限+超長複雜密碼）。
• 停用 Guest，重新命名並設複雜密碼（或用 DelGuest 刪除）。
• 帳號鎖定原則：3 次失敗鎖定 30 分鐘，重設計數器 30 分鐘。
• 安全性選項：「不顯示上次使用者名稱」啟用。
• 「從網路存取此電腦」僅保留 IUSR_機器名、IIS 處理序帳戶、ASP.NET 帳戶。
• 日常使用非管理員帳號，需提權用 Runas。

階段三：服務與連接埠極小化

停用所有非必要服務；防火牆僅開放業務必要埠（80, 443, 1433 等）；啟用 IPsec 隔離管理網段。

階段四：登錄與稽核加固

• 清空「網路存取：可遠端存取的登錄路徑/子路徑」。
• 啟用稽核：登入/登出、物件存取、原則變更、權限使用（成功/失敗）。

階段五：持續監控與應變

• 部署 IDS/IPS、定期檢視安全性日誌、訂閱安全公告、建立應變流程。

安全非一次設定，而是持續過程。以此清單為基準，依環境調整細節。