Windows Server 2003 網頁伺服器安全佈建完整指南：安裝、帳號、原則、服務、稽核五大面向

一、系統安裝基礎

1. 至少兩個 NTFS 分區（系統/資料分離）。
2. 斷網安裝，避免安裝過程暴露攻擊面。
3. 安裝 IIS 6.0，僅勾選必要元件：
   「Internet 信息服務管理員」、「公用檔案」、「BITS 伺服器擴充」、「WWW 服務」→「Active Server Pages」、「WWW 服務」。
   若需 FrontPage 延伸再勾選對應項目。
4. 安裝 SQL Server 等應用軟體後立即執行 Windows Update 修補。
5. 執行 MBSA (Microsoft Baseline Security Analyzer) 掃描缺漏修補與弱點設定。

二、帳號與認證強化

1. 重命名內建 Administrator，設定 ≥14 字元複雜密碼 (大小寫+數字+符號)。
2. 建立同名 Administrator 陷阱帳號，最低權限、超長密碼 (≥20 字元)。
3. 停用 Guest 帳號、重命名、設定複雜密碼（或用 DelGuest 移除）。
4. 帳號鎖定原則：3 次失敗 → 鎖定 30 分鐘 → 30 分鐘重設計數器。
5. 安全性選項：「互動式登入：不顯示上一位使用者名稱」→「啟用」。
6. 使用者權利指派：「從網路存取這台電腦」僅保留 IUSR_*、IIS 工作進程帳號、ASP.NET 帳號。
7. 日常操作用一般帳號，需提權時用 runas。

三、服務與通訊埠最小化

• 停用所有非必要服務（錯誤回報、索引服務、遠端登錄等）。
• 防火牆/TCP/IP 篩選：僅開放 TCP 80 (HTTP)、443 (HTTPS) 等必要埠。
• IIS 網站綁定特定 IP，避免「全部未指派」。

四、稽核與記錄

• 啟用「稽核原則」：登入事件 (成功/失敗)、物件存取 (失敗)、原則變更 (成功)。
• 設定事件日誌大小 ≥ 64MB，覆寫模式「依需要覆寫」。
• 定期匯出/分析安全性日誌，建立基線偵測異常。

五、持續維運

• 訂閱 Microsoft 安全性公告，每月修補日當週完成測試部署。
• 每季進行滲透測試與弱點掃描。
• 備份與災難演練每半年一次。