VPS 安全加固 11 項核心清單：從禁止預設共享到 IIS 權限隔離完整指南

VPS 安全加固 11 大核心項目

本文整理自實戰經驗，涵蓋網路、系統、服務、權限四大面向，建議按順序執行，每項驗證後再進行下一項。

一、禁止預設管理共享 (C$, D$, IPC$, ADMIN$ 等)

方法一：批次檔加入啟動項 (適用工作群組環境)

@echo off
net share c$ /delete
net share d$ /delete
net share e$ /delete
net share f$ /delete
net share ipc$ /delete
net share admin$ /delete

存為 disable_shares.bat → 放入「啟動」資料夾或透過群組原則 gpedit.msc → 電腦設定 → Windows 設定 → 指令碼 → 啟動。

方法二：登錄表永久停用 (推薦)

# 路徑
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
# 新建 DWORD 值
AutoShareServer = 0
AutoShareWks = 0

⚠ 修改登錄表前請先匯出備份：regedit → 檔案 → 匯出

二、遠端桌面 (RDP) 權限精簡

1. tscc.msc (終端服務配置) → 連線 → RDP-Tcp → 右鍵內容
2. 「權限」頁籤 → 移除所有使用者/群組，僅保留 SYSTEM 與 Administrator (非 Administrators 群組)
3. 給予這兩者「完全控制」權限
4. 效果：即使攻擊者建立新管理員帳號，也無法透過 RDP 登入

三、Serv-U FTP 服務管理密碼設定

• 開啟 Serv-U 管理主控台 → 本地伺服器 → 右鍵「設定/變更密碼」
• 舊密碼留空 (首次) → 設定強密碼
• 未設定管理密碼是提權漏洞高危隱患

四、關閉高危埠 139 (NetBIOS) 與 445 (SMB)

關閉 139 埠

1. 網路連線 → 區域連線 → 內容 → TCP/IPv4 → 進階 → WINS
2. NetBIOS 設定 → 停用 NetBIOS over TCP/IP

關閉 445 埠 (登錄表)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters
# 新建 DWORD
SMBDeviceEnabled = 0

⚠ 關閉 445 將導致檔案共享、遠端管理 (WMI、RPC) 失效，確認業務不依賴後再執行

五、移除不安全 COM 元件 (ASP 木馬常用)

# 執行 → 輸入以下指令 (需管理員權限)
regsvr32 /u wshom.ocx        # 移除 WScript.Shell
regsvr32 /u shell32.dll      # 移除 Shell.Application
regsvr32 /u %windir%\system32\Wshext.dll

影響：合法 ASP 應用若使用 Server.CreateObject("WScript.Shell") 將失效，請先評估相容性。

六、IIS 網站權限隔離 (核心項目)

原則：每個網站獨立帳號，最小權限

1. 電腦管理 → 系統工具 → 本地使用者和群組 → 使用者 → 新增使用者
   建立 web_site1_user、web_site2_user 等，設定強密碼、密碼永不過期
2. IIS 管理員 → 網站 → 右鍵內容 → 目錄安全性 → 編輯匿名存取
   取消勾選「允許 IIS 控制密碼」 → 瀏覽 → 選擇對應網站專用帳號
3. 網站實體路徑資料夾 → 右鍵內容 → 安全性 → 編輯
   移除 Users、Everyone → 新增對應網站帳號 → 給予「讀取、執行、列出資料夾內容、讀取」
   寫入權限僅給必要上傳目錄 (如 /upload, /data)
4. 應用程式集區 → 進階設定 → 身分識別 → 選擇對應網站帳號

七、停用不必要服務

建議停用：Print Spooler、Remote Registry、Windows Error Reporting、Diagnostic Policy Service 等非核心服務。

八、啟用 Windows 防火牆精簡規則

• 僅開放：80/443 (Web)、3389 (RDP、限管理 IP)、3306/1433 (資料庫、限內網/特定 IP)
• 啟用「記錄已捨棄的封包」供審計

九、啟用帳號鎖定策略

gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 帳號原則 → 帳號鎖定原則
鎖定閾值：5 次無效嘗試
鎖定時間：30 分鐘
重設計數器：30 分鐘

十、定期更新與補丁管理

• 啟用 Windows Update 自動下載，手動安裝 (避免強制重啟)
• 訂閱 Microsoft 安全公告 RSS
• 第三方軟體 (PHP、MySQL、Redis 等) 訂閱官方安全通告

十一、備份與災難演練

• 系統狀態備份 (含登錄表、COM+、系統檔案)
• 網站檔案、資料庫每日差異備份、每週完整備份
• 異地/離線備份防勒索軟體
• 每季演練還原流程，驗證備份可用性

執行後驗證清單

安全是過程而非狀態：此清單為基準配置，需結合業務實際、合規要求、威脅情報持續調整。建議引入 CIS Benchmarks、等保三級標準作為進階加固參考。