Windows Server 2003 伺服器安全強化完整清單（安裝、帳號、服務、稽核、IIS、SQL、IPSec）

一、安裝階段安全基線

• 至少兩個 NTFS 分區（系統/資料分離）。
• **離線安裝**（拔網路線），避免安裝過程被攻擊。
• IIS 僅安裝必要元件：WWW 服務、管理工具、通用檔案、BITS 擴充，**不裝 FTP、SMTP、FrontPage**（除非必要）。
• 安裝 SQL Server 等應用後立即打補丁。
• 執行 MBSA (Microsoft Baseline Security Analyzer) 掃描缺漏補丁與弱點設定。

二、帳號與認證強化

• 重命名預設 Administrator 帳號，設定 ≥14 字元複雜密碼（大小寫+數字+符號）。
• 建立同名 Administrator 陷阱帳號：最低權限、極長隨機密碼（≥20 字元）、啟用稽核。
• 停用 Guest 帳號，重命名並設定複雜密碼（或用工具刪除）。
• 帳號鎖定原則：3 次失敗 → 鎖定 30 分鐘 → 30 分鐘重設計數器。
• 安全性選項：「互動式登入：不顯示上一個使用者名稱」→ 啟用。
• 「從網路存取這台電腦」僅保留 IUSR_*、IWAM_*、ASPNET 等必要服務帳號。
• 日常操作用一般權限帳號，需提權用 runas。

三、網路服務與預設共享

• 登錄檔停用預設共享：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareServer = 0。
• 解除 NetBIOS over TCP/IP 綁定：網路連線 → 內容 → TCP/IP → 進階 → WINS → 停用 NetBIOS over TCP/IP。
• 停用非必要服務：
  Computer Browser、Distributed File System、Distributed Link Tracking Client、Error Reporting、Microsoft Search、NTLM Security Support、Print Spooler（無印表機）、Remote Registry、Remote Desktop Help Session Manager。

四、稽核原則建議

gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 稽核原則：

五、其他登錄檔強化

• 隱藏重要資料夾：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue = 0。
• 啟用 Windows 防火牆，例外僅開「Web 伺服器」。
• 防 SYN Flood：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\SynAttackProtect = 2。
• 禁止 ICMP 路由通告：...Tcpip\Parameters\Interfaces\{介面}\PerformRouterDiscovery = 0。
• 防 ICMP 重導向：...Tcpip\Parameters\EnableICMPRedirects = 0。
• 停用 IGMP：...Tcpip\Parameters\IGMPLevel = 0。
• 停用 DCOM：dcomcnfg → 我的電腦 → 內容 → 預設內容 → 取消勾選「在這台電腦上啟用分散式 COM」。

六、IIS 進階鎖定

• 不使用預設網站，或將網站目錄移至非系統碟。
• 刪除 Inetpub、虛擬目錄（_vti_bin、IISSamples、Scripts、IISHelp、MSADC 等）。
• 移除不必要的副檔名對應（.shtml、.stm 等）。
• 修改 IIS 日誌路徑至資料碟。
• 安裝 UrlScan 2.5（ISAPI 篩選器），預設規則即可；若跑 ASP.NET 需在 UrlScan.ini [AllowVerbs] 加入 DEBUG；若跑傳統 ASP 需在 [DenyExtensions] 移除 .asp 相關；非 ASCII 內容設 AllowHighBitCharacters=1。修改後 iisreset。
• 使用 WIS (Web Injection Scanner) 掃描 SQL Injection 風險。

七、SQL Server 強化

• sysadmin 角色 ≤ 2 人。
• 本機連線改用 Windows 驗證。
• 停用 sa 或設極複雜密碼。
• 刪除高風險擴充預存程序：
  xp_cmdshell、
  註冊表類：xp_regaddmultistring、xp_regdeletekey、xp_regdeletevalue、xp_regenumvalues、xp_regread、xp_regwrite、xp_regremovemultistring。
  OLE 自動化類（sp_OA*）視需求保留。
• 隱藏 SQL Server 執行個體、修改預設 1433 埠：企業管理員 → 執行個體屬性 → 網路設定 → TCP/IP → 屬性 → 勾選「隱藏」+ 修改埠號。

八、純伺服器環境部署 IPSec 封包篩選

僅允許 TCP 80 入站，其餘全部封鎖：

1. 建立「Web 篩選器」：來源任何 IP → 目的我的 IP → TCP → 目的埠 80。
2. 建立「所有入站篩選器」：來源任何 → 目的我的 IP → 所有協定。
3. 建立動作：「允許」與「封鎖」。
4. 建立 IP 安全性原則：
   規則 1：Web 篩選器 + 允許。
   規則 2：所有入站篩選器 + 封鎖。
   指派原則，無需重開機生效。

九、變更管理建議

**每項變更後立即測試**，確認服務正常再進行下一項；避免一次改動過多導致難以排查。

十、基線記錄

• 記錄目前執行中處理序清單（工作管理員/Process Explorer 匯出）。
• 記錄目前開放連接埠（netstat -an / TCPView 匯出）。
• 後續定期比對，發現異常處理序/埠口即刻調查。