十步打造安全個人 Web 伺服器：Windows Server 2003 實戰手冊

Windows Server 2003 雖較 Win2K 安全性大幅提升，但預設安裝遠非生產就緒。以下十大階段，從安裝到維運，逐層建構安全基線。

一、系統安裝與基礎加固

1. 分區策略：至少兩個 NTFS 分區，隔離系統與資料。
2. 離線安裝：斷網安裝作業系統，避免安裝過程被掃描攻擊。
3. IIS 最小化安裝：僅勾選「Internet 服務管理員」、「公用檔案」、「BITS 伺服器擴充」、「WWW 服務」；若需 FrontPage 擴充再另行勾選。停用 FTP、SMTP 等非必要服務。
4. 資料庫與應用修補：安裝 MSSQL 等軟體後立即套用最新更新。
5. 基準掃描：執行 Microsoft MBSA 掃描缺失修補程式與安全設定。

二、帳號與權限管理

1. 重命名 Administrator：更改預設管理員名稱與描述，密碼採「大小寫+數字+特殊符號」≥14 字元。
2. 建立蜜罐帳號：新增名為 Administrator 的陷阱帳號，給予最低權限、超長複雜密碼（≥20 字元），誘捕攻擊者。
3. 停用並偽裝 Guest：停用 Guest、更改名稱描述、設定複雜密碼，或使用 DelGuest 徹底移除。
4. 帳號鎖定原則：群組原則設定「3 次失敗鎖定 30 分鐘，30 分鐘重置計數器」。
5. 隱藏上次登入使用者：安全選項啟用「不顯示上次的使用者名稱」。
6. 網路存取權限收斂：「從網路存取此電腦」僅保留 IUSR、IIS 啟動帳戶、ASP.NET 帳戶（如適用）。
7. 日常操作用標準帳號：建立 User 帳號作業，需提權時使用 Runas。

三、網路服務安全

1. 停用預設共享：登錄機碼 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters 新增 DWORD AutoShareServer=0。
2. 解除 NetBIOS over TCP/IP：網卡屬性 → TCP/IP 進階 → WINS → 停用。
3. 停用非必要服務：Computer Browser、Distributed File System、Error Reporting、Microsoft Search、Print Spooler（無印表機）、Remote Registry、Remote Desktop Help Session Manager 等。

四、稽核原則配置

群組原則 → 稽核原則，建議啟用：登入事件（成功/失敗）、帳號登入事件（成功/失敗）、系統事件（成功/失敗）、原則變更（成功/失敗）、物件存取（失敗）、目錄服務存取（失敗）、特權使用（失敗）。避免過度稽核導致日誌噪音。

五、進階防護設定

1. 隱藏關鍵目錄：修改登錄 CheckedValue=0 徹底隱藏系統檔案。
2. 啟用 ICF 防火牆：勾選「Web 伺服器」例外。
3. 防禦 SYN Flood：SynAttackProtect=2。
4. 停用 ICMP 路由通告與重導向：PerformRouterDiscovery=0、EnableICMPRedirects=0。
5. 停用 IGMP：IGMPLevel=0。
6. 停用 DCOM：dcomcnfg → 取消「在這台電腦上啟用分散式 COM」。

六、IIS 進階加固

1. 不使用預設網站，或將 IIS 根目錄移出系統碟。
2. 刪除 Inetpub 及預設虛擬目錄（_vti_bin、IISSamples、Scripts、IISHelp、IISAdmin、MSADC）。
3. 移除不必要的副檔名對應（.shtml、.shtm、.stm 等）。
4. 變更 IIS 日誌路徑至非系統碟。
5. Windows 2000 可用 IIS Lockdown；Windows 2003 內建保護機制已足夠。
6. 部署 UrlScan 2.5 ISAPI 篩選器，預設規則即可攔截可疑 HTTP 封包；若需偵錯 ASP.NET 請調整 urlscan.ini。

完成上述十大階段，並持續套用修補程式、定期審核日誌、備份還原點，即可建立具備纵深防禦能力的個人 Web 伺服器。