一、系統安裝基準

• 全磁區採用 NTFS 格式
• 乾淨安裝原版 Windows Server 2003 + SP2
• 安裝防毒軟體 (如 McAfee) 並更新病毒碼
• 僅安裝必要 IIS 元件 (移除預設網站、FTP、文件列印等)
• 安裝 SQL Server 2000、.NET Framework 2.0
• 開啟 Windows 防火牆，套用最新安全更新

二、停用非必要服務 (services.msc)

其他服務請依實際業務需求評估 (如 Terminal Services、IIS Admin 等)。

三、帳號與密碼策略

1. Guest 帳號：停用、重新命名、設定複雜密碼 (20 字元以上)。
2. Administrator 帳號：重新命名、修改描述、密碼 ≥10 字元 (大小寫+數字+符號)。
3. 建立誘餌 Administrator 帳號：新增名為 Administrator 的一般使用者，權限最小化，密碼 ≥20 字元複雜組合。
4. 帳號鎖定原則：錯誤嘗試 3 次 → 鎖定 30 分鐘。
5. 安全性選項：啟用「互動式登入：不顯示上次使用者名稱」。
6. 使用者權利指派：「從網路存取這台電腦」僅保留 IUSR_*、IWAM_*、ASPNET 等必要服務帳號。
7. 日常操作帳號：建立一般權限 User 帳號，需提權時使用 runas。

四、稽核原則設定 (本機原則 → 稽核原則)

服務名稱	建議設定	理由
Computer Browser	停用	維護網路瀏覽清單，非網域環境不需
Distributed File System	停用	LAN 共享檔案管理，單機無需
Error Reporting Service	停用	防止錯誤資訊外洩
Microsoft Search	停用	索引服務佔資源，非檔案伺服器不需
Print Spooler	停用	無印表機時關閉
Remote Registry	停用	防遠端竄改登錄表
Remote Desktop Help Session Manager	停用	禁止遠端協助

原則	設定
稽核原則變更	成功
稽核登入事件	成功、失敗
稽核物件存取	失敗
稽核程序追蹤	成功、失敗
稽核目錄服務存取	失敗
稽核特權使用	失敗
稽核系統事件	成功、失敗
稽核帳號登入事件	成功、失敗
稽核帳號管理	成功、失敗

五、其他關鍵加固

1. 關閉預設管理共享 (C$, D$, ADMIN$)

登錄表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
新增 DWORD AutoShareServer = 0，重啟 Server 服務生效。

2. 解除 NetBIOS over TCP/IP 綁定

網路連線 → 區域連線 → 內容 → Internet 通訊協定 (TCP/IP) → 進階 → WINS → 「停用 NetBIOS over TCP/IP」。

3. IIS 目錄權限最小化

• 網站根目錄：僅給匿名帳號 (IUSR) 讀取/執行，上傳目錄單獨給寫入。
• 系統磁碟根目錄：停用繼承，僅保留 Administrators + SYSTEM 完全控制。
• Documents and Settings、Program Files、Windows\System32 同樣最小化權限。
• 關鍵執行檔 (cmd.exe, ftp.exe, net.exe, scrrun.dll, shell.dll) 明確拒絕匿名帳號存取。
• Metabase.bin 僅允許 Administrator 讀寫。

4. 群組原則進階設定

• 使用者權利指派 → 「從網路存取這台電腦」移除 Power Users、Backup Operators。
• 啟用「網路存取：不允許 SAM 帳號和共用的匿名列舉」。

結語

此清單涵蓋作業系統、服務、帳號、稽核、登錄表與 IIS 權限多層面，建議部署後以 MBSA (Microsoft Baseline Security Analyzer) 或 SCW (Security Configuration Wizard) 掃描驗證，並定期檢視安全性事件日誌，確保防護持續有效。