一、作業系統安裝基準
- 至少兩個 NTFS 分區 (系統/資料分離)。
- 斷網安裝，避免安裝過程暴露於網路攻擊。
- IIS 僅安裝必要元件：
「應用程式伺服器」→ 詳細資訊 → 「Internet 資訊服務 (IIS)」→ 勾選
• Internet 資訊服務管理員
• 通用檔案
• 後台智慧型傳輸服務 (BITS) 伺服器擴充
• 萬維網服務
(如需 FrontPage 延伸模組再勾選 FrontPage 2002 Server Extensions)。
- 安裝 SQL Server 等應用後立即執行 Microsoft Update 修補。
- 執行 MBSA (Microsoft Baseline Security Analyzer) 掃描缺失修補程式與安全設定弱點。
二、安裝後立即強化 (建議順序)
- 停用/移除不需服務 (Telnet、Simple TCP/IP Services、Messenger 等)。
- 設定本機安全性原則：帳號鎖定、密碼複雜度、稽核原則 (登入/物件存取/原則更)。
- 啟用 Windows 防火牆 (或部署協力廠商主機防火牆)，僅開放必要連接埠 (80, 443, 1433, 3389 等)。
- IIS 安全性：移除預設網站、虛擬目錄、範例腳本；設定 URLScan 或要求篩選模組；停用目錄瀏覽、父路徑；啟用記錄 (W3C 擴充格式)。
- NTFS 權限最小化：Web 根目錄僅授予 IIS_IUSRS 讀取/執行，寫入權限僅限特定上傳目錄。
- 定期排程 MBSA 掃描與安全性更新部署 (WSUS 或自動更新)。
三、持續營運安全控制
- 集中記錄轉送至 Syslog/SIEM，啟用登入失敗、特權使用、物件存取稽核。
- 帳號管理：定期巡檢本機/網域帳號，停用離職/閒置帳號，重新命名 Administrator。
- 修補管理：建立測試→預發布→生產部署流程，關鍵修補 48 小時內部署。
- 漏洞掃描：每季執行認證式掃描 (Nessus/OpenVAS)，追蹤修復驗證。
結語
Windows Server 2003 安全部署的核心在於「最小安裝、最小權限、最小暴露面、持續修補、持續稽核」。雖 2003 已停止主流支援，若因業務限制必須繼續運行，務必實施上述深度防禦措施並規劃遷移時間表。
