Windows Server 2003 安全性較 Win2000 大幅提升，但僅安裝即算安全？本文提供十大步驟強化個人 Web 伺服器防禦。
一、Windows Server 2003 安裝階段
- 至少兩個分區，全採 NTFS 格式
- 斷網安裝 系統，避免安裝過程暴露
- 安裝 IIS，僅勾選必要組件：IIS 管理員、公用檔案、BITS 伺服器擴充、WWW 服務；若用 FrontPage 再加擴充。預設不安裝 IIS，需從「新增/移除 Windows 元件」→「應用程式伺服器」→「詳細資訊」→「IIS」勾選
- 安裝 MSSQL 等必要軟體後立即 更新補丁
- 執行 MBSA (Microsoft Baseline Security Analyzer) 掃描安全配置與缺失補丁
二、帳戶設置與管理
- 管理員帳戶最少化，重命名 Administrator 並修改描述；密碼採「數字+大小寫字母+特殊符號」組合，≥ 14 碼
- 建立同名 Administrator 陷阱帳號，最低權限，20 碼以上複雜密碼
- 停用 Guest，重命名並設複雜密碼 (或用 DelGuest 刪除)
- 群組原則：
gpedit.msc → 帳戶鎖定策略 → 3 次失敗鎖定 30 分鐘，重設計數器 30 分鐘
- 安全選項啟用「不顯示上次用戶名」
- 用戶權利指派：「從網路存取此電腦」僅保留 Internet 來賓帳戶、IIS 啟動程序帳戶、ASP.NET 用戶帳戶 (若用 ASP.NET)
- 建立一般 User 帳戶日常操作，需特權用
Runas
三、網路服務安全管理
- 停用預設共享 (C$、D$、ADMIN$)：登錄檔
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters 新增 DWORD AutoShareServer=0
- 解除 NetBIOS 與 TCP/IP 綁定：網路連線內容 → TCP/IP 進階 → WINS → 停用 TCP/IP 上的 NetBIOS
- 停用非必要服務：Computer Browser、Distributed File System、Distributed Link Tracking Client、Error Reporting、Microsoft Search、NTLM SSP、Print Spooler (無印表機)、Remote Registry、Remote Desktop Help Session Manager
四、啟用審核策略
gpedit.msc → 審核策略。建議審核項目 (成功/失敗雙記)：
登入事件、帳戶登入事件、系統事件、原則變更；僅記錄失敗：物件存取、目錄服務存取、特權使用。平衡審核深度與事件雜訊。
五、其他安全相關設置
- 隱藏重要檔案/目錄：登錄檔
...Explorer\Advanced\Folder\Hidden\SHOWALL 的 CheckedValue 改 0
- 啟用內建 Internet 連線防火牆，服務勾選 Web 伺服器
- 防禦 SYN Flood：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters 新增 DWORD SynAttackProtect=2
- 禁止回應 ICMP 路由通告：介面參數新增 DWORD
PerformRouterDiscovery=0
- 防禦 ICMP 重導向攻擊：
EnableICMPRedirects=0
- 不支援 IGMP 協定：新增 DWORD
IGMPLevel=0
- 停用 DCOM：
Dcomcnfg.exe → 元件服務 → 我的電腦屬性 → 預設屬性 → 取消「在此電腦上啟用分散式 COM」
註：項目 3-6 參考 Server 2000 設定，未在 2003 驗證，但實測一段時間無副作用。
