基礎建設：打好補丁、關閉共享、精簡連接埠
- 安裝所有安全更新： 上線前務必套用最新修補程式，同步啟用自動更新。
- 僅開放必要連接埠： Web (80/443)、遠端管理 (3389) 等，其餘全部封鎖。
- 移除預設共享： 執行
net share c$ /delete 等指令關閉行政共享，阻斷横向移動路徑。
權限分配：最小權限原則防範旁站攻擊
- 所有磁碟分區格式化為 NTFS
- 為每個網站建立專屬 IIS 匿名使用者（如
IUSR_siteA、IUSR_siteB）
- 於資料夾「安全性」頁面，僅授予對應匿名使用者「讀取/執行」、「列出資料夾內容」、「讀取」權限
- 移除
Users、Everyone 等廣泛群組權限
效果：單一網站被攻破，攻擊者僅能存取該網站目錄，無法橫向存取其他站點或系統目錄。
組件管理：移除高風險 COM 組件
最危險組件：WSH (Windows Script Host) 與 Shell 物件，可執行任意 .exe、提權、啟動 Serv-U 等高風險操作。
- 最簡單做法：刪除對應 DLL/OCX 檔案（如
wshom.ocx、shell32.dll 相關註冊）
- 或使用
regsvr32 /u 取消註冊
- 僅保留網站確實需要的組件（如 ADO、XMLDOM）
運維細節清單
- 嚴禁在伺服器上瀏覽網頁、開啟郵件附件
- 安裝企業級防毒軟體並啟用即時掃描
- 部署 ARP 防欺騙軟體（如 AntiARP）
- 定期審核事件日誌（安全性、系統、應用程式）
- 啟用 Windows 防火牆進階安全性規則，限制輸出連線
