Windows Server 2003 雖已停止支援，但仍有舊系統在線運行。本文整理完整強化流程：OS 安裝精簡、IIS 6.0 元件選擇、修補程式、備份、防火牆、連接埠修改、帳號權限、服務精簡、登錄強化、IPSec 原則，構建多層防禦體系。
一、作業系統安裝與精簡
- 預設不安裝 IIS，透過「新增/移除 Windows 元件」按需安裝
- IIS 核心勾選：WWW 服務、ASP、ASP.NET（視需求）、管理工具、公用檔案
- 取消：FTP、SMTP、NNTP、FrontPage 延伸、WebDAV 等非必要服務
二、修補與備份
- Windows Update 套用所有關鍵/重要更新
- 安裝常用軟體（防毒、解壓縮）後，以 Ghost/Clonezilla 完整備份系統磁碟
三、網路與防火牆基線
- 網路連線移除非必要協議（僅保留 TCP/IP）
- TCP/IP 進階 → 停用 NetBIOS over TCP/IP
- 啟用 Windows 防火牆（ICF），預設阻擋所有輸入
- 修改遠端桌面連接埠 3389 → 自訂高位埠（如 10000）
登錄兩處 PortNumber：
HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp
HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
防火牆同步開放新埠
四、帳號與權限強化
- 停用 Guest、重命名 Administrator（如 Guesycludx）、建立陷阱帳號「Administrator」低權限+強密碼
- 移除重複/測試/共用帳號
- 共享權限移除 Everyone，改為授權使用者/群組
- 啟用帳號鎖定原則：閾值 3 次、鎖定 20 分鐘、重設計數 20 分鐘
- 登錄
HKLM\Software\Microsoft\Windows\CurrentVersion\Winlogon\DontDisplayLastUserName = 1 隱藏上次登入帳號
- 密碼原則：長度≥6、複雜性啟用、歷史 5 次、最長壽命 42 天
五、磁碟與檔案權限收斂
- 系統盤、所有磁碟：僅 Administrators + SYSTEM 完整控制
Documents and Settings、Windows\System32 關鍵執行檔（cmd.exe, net.exe, regedit.exe, at.exe, ftp.exe, tftp.exe, telnet.exe, format.com, cacls.exe…）僅 Administrators + SYSTEM 完整控制Program Files\Common Files 授予 Users「讀取與執行」（ODBC 需求）- 關鍵執行檔改名或移動（如 cmd.exe → cmdd.exe）
- 刪除
C:\inetpub 預設網站目錄
六、本地安全性原則精簡
- 稽核原則：全部「成功、失敗」稽核（程序追蹤除外）
- 使用者權利指派：關機僅 Administrators；終端機登入僅 Administrators + Remote Desktop Users
- 安全性選項：啟用「不顯示上次用戶名」、「拒絕匿名列舉 SAM/共享」、「拒絕匿名存取管道/登錄」
七、服務精簡（停用非必要）
- TCP/IP NetBIOS Helper、Server、Computer Browser、Task Scheduler、Messenger、DFS、Distributed Link Tracking、Error Reporting、Microsoft Search、NTLM SSP、Print Spooler（無印表機）、Remote Registry、Remote Desktop Help Session Manager、Workstation（視需求）
八、登錄核心強化
- 隱藏系統檔案：
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue = 0
- SYN Flood 防護：
HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\SynAttackProtect = 2
- ICMP 重導向防護：
EnableICMPRedirects = 0
- 停用 IGMP：
IGMPLevel = 0
- 禁止 IPC$ 空連線：
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous = 1
- 修改 TTL 值干擾 OS 指紋辨識：
DefaultTTL = 258（或其他非常數）
原則：最小權限、最小服務、最小暴露面、多層日誌稽核。定期複核與修補，才能維持防禦有效性。
