打造安全的 Windows Server 2003 個人 Web 伺服器：安裝與帳號硬化指南

Windows Server 2003 雖比 Win2000 安全，但預設安裝仍存風險。本文提供從安裝、IIS 元件精簡、帳號原則到工具掃描的完整硬化流程。

一、作業系統安裝階段

1. 分區與檔案系統：至少兩個分區，全採 NTFS (支援 ACL、加密、配額)。
2. 離線安裝：拔掉網路線安裝 OS，避免安裝過程中 ADMIN$ 共享無密碼暴露。
3. IIS 最小化安裝：「新增/移除 Windows 元件」→「應用程式伺服器」→「詳細資料」→「Internet 資訊服務 (IIS)」僅勾選：
   「Internet 資訊服務管理員」、「公用檔案」、「背景智慧型傳輸服務 (BITS) 伺服器擴充」、「World Wide Web 服務」。
   若使用 FrontPage 擴充再勾選「FrontPage 2002 Server Extensions」。FTP、SMTP、NNTP 全不勾選。
4. 安裝 SQL Server 等應用程式，隨即套用所有安全性更新。
5. 執行 MBSA (Microsoft Baseline Security Analyzer) 掃描缺失修補程式與弱設定，依報告修復。

二、帳號與存取控制硬化

1. 重命名 Administrator：改為無特徵名稱，描述欄修改，密碼 ≥ 14 字元、含大小寫數字符號。
2. 建立 Administrator 蜜罐帳號：名稱「Administrator」、最低權限 (不隸屬任何群組)、複雜密碼 ≥ 20 字元，啟用稽核偵測暴力破解。
3. 停用並重命名 Guest：改名、設複雜密碼、停用帳號。或使用 DelGuest 工具移除 (謹慎測試)。
4. 帳號鎖定原則：gpedit.msc → 「電腦設定」→「Windows 設定」→「安全性設定」→「帳號原則」→「帳號鎖定原則」：
   「鎖定臨界值」= 3 次失敗、「鎖定時間」= 30 分鐘、「重設鎖定計數器」= 30 分鐘。
5. 隱藏上次登入使用者名稱：「安全性選項」→「互動式登入: 不顯示上次的使用者名稱」→「已啟用」。
6. 限制「從網路存取這台電腦」：「使用者權利指派」→ 僅保留 IUSR_<機器名> (IIS 匿名)、IWAM_<機器名> (IIS 處理序)、ASPNET (若裝 ASP.NET)。
7. 日常操作用一般帳號：建立標準使用者，需提權時用 runas /user:AdminAccount cmd。

三、持續維運建議

• 定期執行 MBSA 與 Windows Update。
• 啟用 IIS 稽核日誌 (W3C 格式)，定期分析異常存取。
• 檔案系統 ACL 採最小權限：網站目錄僅給 IIS 處理序「讀取/執行」，上傳目錄單獨給「寫入」。
• 考慮部署 URLScan 3.0 過濾惡意請求。

落實上述措施，可將 Windows Server 2003 打造為相對安全的個人/小型 Web 伺服器平台。