第一階段：安全安裝基線
1. 版本選擇：首選英文版
中文版漏洞更多、補丁延遲 ≥ 半個月。英文版安全基線更高。
2. 組件精簡：最小服務原則
默認安裝包含高危組件，僅安裝業務必需項。重點禁用/不安裝：
- Indexing Service（索引服務，歷史漏洞多）
- FrontPage 2000 Server Extensions
- Internet Service Manager（若非本地管理）
3. 遠程管理工具組合
- Terminal Services (RDP)：速度快、操作便捷，適合常規管理。
- 輔助工具：如 pcAnywhere，用於軟件安裝、重啟等需真實桌面交互的操作，互補 TS 缺陷。
4. 磁盤分區策略：隔離風險
- 最少兩分區：系統盤（C:）+ 應用盤（D:）。防止 IIS 漏洞導致系統文件洩露/提權。
- 推薦三分區：C: 系統+關鍵日志；D: IIS/Web 內容；E: FTP/數據。任一服務受損不波及系統核心。
5. 安裝順序與網絡隔離
- 全程斷網安裝：安裝過程中系統會建立無密碼保護的
$ADMIN 共享，服務自動啟動暴露攻擊面。配置完成前嚴禁接入網絡。
- 補丁最後打：所有應用安裝完畢後再打補丁，避免文件被覆蓋導致補丁失效。
第二階段：精細化安全配置
1. 端口最小化暴露
僅開放業務必需端口（如 80, 443, 3389, 21/被動模式範圍），其餘全部封鎖。使用 IPSec 策略或 TCP/IP 篩選實現。
2. IIS 深度加固（重中之重）
- 移動 Web 根目錄：刪除
C:\Inetpub，在 D: 重建，IIS 指向新路徑。
- 刪除默認虛擬目錄（scripts, iisadmin 等），按需重建，嚴控寫入/執行權限。
- 清理應用程序映射：僅保留 ASP、ASA 等必需映射，刪除 .idq, .htw, .ida, .printer 等高危映射。
- 錯誤信息改為「發送文本」，避免詳細錯誤洩露路徑、代碼片段。
- 備份 IIS 配置（管理器 → 右鍵服務器 → 備份），便於快速恢復基線。
- 啟用 CPU 限制（如最大 70%），防止單一站點拖垮服務器。
3. 賬戶與匿名訪問控制
本地安全策略 →「本地策略」→「安全選項」→「網絡訪問：匿名連接的額外限制」：
- 值 0：無限制（極危險）
- 值 1：不允許枚舉 SAM 賬戶和共享（推薦）
- 值 2：無顯式匿名權限拒絕訪問（將導致無法共享資源）
同樣可通過註冊表 HKLM\System\CurrentControlSet\Control\Lsa\RestrictAnonymous = 1 設置。
4. 審計策略：可見可控
默認不開啟任何審計！建議配置：
| 審計項目 | 成功 | 失敗 |
|---|
| 賬戶管理 | ✓ | ✓ |
| 登錄事件 | ✓ | ✓ |
| 策略更改 | ✓ | ✓ |
| 系統事件 | ✓ | ✓ |
| 賬戶登錄事件 | ✓ | ✓ |
| 對象訪問 | | ✓ |
| 特權使用 | | ✓ |
| 目錄服務訪問 | | ✓ |
Terminal Services 審計：配置工具 →「權限」→「高級」→「審計」，記錄登入/登出。
5. 密碼與鎖定策略
- 密碼複雜性：啟用
- 最小長度：6 位（建議 ≥ 8）
- 歷史記憶：5 次
- 最長壽命：30 天
- 錯誤鎖定：3 次 / 20 分鐘鎖定 / 20 分鐘重置計數器
6. NTFS 權限最小化原則
- 默認 Everyone Full Control → 必須重設。
- 六大鐵律：權限累計、拒絕優先、文件>文件夾、組授權、最小權限、ICMP 過濾（RRAS 丟棄 ICMP 類型 255）。
第三階段：持續運營與平衡藝術
安全與應用常有張力，需在業務可用性與風險可接受度間找到平衡點。
安全是過程而非狀態：網絡拓撲變化、新漏洞披露、人員操作失誤，均會改變安全姿態。
唯有將安全意識、安全制度、安全工具貫穿全生命週期，才能實現真正的安全。
核心檢查清單（部署前必核）
- [ ] 英文版安裝、斷網全程
- [ ] 三分區佈局、IIS/FTP 數據隔離
- [ ] 危險組件未安裝、補丁最後打
- [ ] Terminal Services + pcAnywhere 雙軌管理
- [ ] 端口白名單、IPSec/TCP篩選生效
- [ ] IIS 根目錄遷移、默認虛刪除、映射清理、錯誤文本化、CPU限制、配置備份
- [ ] RestrictAnonymous = 1
- [ ] 九項審計策略生效、密碼/鎖定策略合規
- [ ] NTFS 權限最小化、ICMP 過濾
- [ ] 文檔歸檔：權限矩陣、審計範圍、應急預案
