第一階段：系統安裝基線
- 分區與文件系統：最少兩個分區，全盤 NTFS (啟用 ACL、EFS、磁盤配額、日誌)。
- 斷網安裝：物理斷開網絡完成 OS 安裝，避免安裝階段被掃描/感染。
- IIS 最小化安裝：僅勾選「Internet 信息服務管理器」「公用文件」「BITS 服務器擴展」「萬維網服務」。禁用 FTP、SMTP、FrontPage 擴展 (除非業務強依賴)。
- 安裝 MSSQL 等業務軟件，隨即打補丁至最新。
- 運行 MBSA (Microsoft Baseline Security Analyzer) 掃描缺失補丁與不安全配置，按報告整改。
第二階段：賬號體系重構
- 重命名 Administrator，設置 ≥14 位強密碼 (大小寫+數字+符號)，修改描述欄迷惑攻擊者。
- 建立同名誘餌賬號：名為 `Administrator`，最小權限 (拒絕登錄本地、拒絕網絡訪問)、超長密碼 (≥20 位)、啟用審計監控其登錄嘗試。
- 禁用 Guest，重命名並設置複雜密碼 (或用 `DelGuest` 徹底刪除)。
- 組策略賬號鎖定：`gpedit.msc` → 計算機配置 → Windows 設置 → 安全設置 → 賬戶策略 → 賬戶鎖定策略：
「鎖定閾值: 3 次」「鎖定時間: 30 分鐘」「重置計數器: 30 分鐘」。
- 安全選項：「互動式登錄: 不顯示上次用戶名」→ 啟用。
- 用戶權利分配：「從網絡訪問此計算機」→ 僅保留 `IUSR_*`、`IWAM_*`、`ASP.NET` 等 IIS 必需賬號。
- 日常運維用普通 User，需提權用 `Runas /user:Admin cmd` 臨時提權。
第三階段：網絡服務收口
- 禁用默認共享：注冊表 `HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters` → `AutoShareServer=0` (REG_DWORD)。
- 解綁 NetBIOS over TCP/IP：網卡屬性 → TCP/IP → 進階 → WINS → 勾選「禁用 TCP/IP 上的 NetBIOS」。
- 禁用非必需服務 (建議列表)：
`Computer Browser`、`Distributed File System`、`Distributed Link Tracking Client`、`Error Reporting Service`、`Microsoft Search`、`NTLM Security Support Provider`、`Print Spooler` (無打印機)、`Remote Registry`、`Remote Desktop Help Session Manager`。
第四階段：審計策略——成功與失敗並重
`gpedit.msc` → 審計策略，啟用：
- 登錄事件 (成功/失敗)
- 賬戶登錄事件 (成功/失敗)
- 系統事件 (成功/失敗)
- 策略更改 (成功/失敗)
- 對象訪問 (失敗)
- 目錄服務訪問 (失敗)
- 特權使用 (失敗)
避免過度審計導致日誌淹沒，定期導出分析。
第五階段：注冊表級深度加固
- 隱藏關鍵文件：`HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL` → `CheckedValue=0`。
- 啟用 ICF (Internet 連接防火牆)，勾選「Web 服務器」例外。
- 防 SYN Flood：`HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters` → `SynAttackProtect=2` (REG_DWORD)。
- 禁用 ICMP 路由發現：同路徑 `Interfaces\<介面>` → `PerformRouterDiscovery=0`。
- 禁用 ICMP 重定向：`EnableICMPRedirects=0`。
- 禁用 IGMP：`IGMPLevel=0`。
- 禁用 DCOM：`dcomcnfg` → 取消「在這台計算機上啟用分布式 COM」。
結語
十步硬化覆蓋安裝基線、賬號體系、網絡收口、審計可見性、內核參數。完成後再次運行 MBSA 驗證，配合定期補丁、日誌審計、滲透測試，可將個人 Web 伺服器攻擊面壓縮至極致。記住：安全是過程，而非狀態。
