Windows Server 2003 網站伺服器硬化全攻略：從安裝到 IPSec 十大關鍵步驟

前言

架設對外網站伺服器，安全不在「裝好防火牆」那一刻，而在「每一個預設值都經過審視」。本文依實務經驗，將 Server 2003 + IIS 6.0 + SQL Server 硬化流程拆解為十大階段，附註冊表鍵值與指令，可直接落地執行。

一、 安裝階段：乾淨、最小、離線

1. 至少兩個 NTFS 分區（系統/資料分離）
2. 斷網安裝，避免安裝過程被掃描/入侵
3. IIS 6.0 僅安裝必要元件：
   WWW 服務、管理工具、公用檔案、BITS 擴展；
   停用 FTP、SMTP、FrontPage 延伸（除非業務必須）
4. 安裝 SQL Server 及必要軟體 → 立即打補丁
5. 跑 MBSA (Microsoft Baseline Security Analyzer) 掃描缺漏補丁與弱設定

二、 帳號與認證策略

三、 網路服務收斂

1. 停用預設共享：
   HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters\AutoShareServer = 0
2. 解除 NetBIOS over TCP/IP：
   網路連線 → 內容 → TCP/IP → 進階 → WINS → 停用
3. 停用非必要服務（建議清單）：
   Computer Browser、Distributed File System、Distributed Link Tracking Client、Error Reporting、Microsoft Search、NTLM SSP、Print Spooler（無印表機）、Remote Registry、Remote Desktop Help Session Manager

四、 稽核策略：精準而非全開

組策略 → 稽核策略 → 建議啟用：

• 登入事件（成功/失敗）
• 帳號登入事件（成功/失敗）
• 系統事件（成功/失敗）
• 原則變更（成功/失敗）
• 物件存取（失敗）
• 目錄服務存取（失敗）
• 特權使用（失敗）

原則：成功/失敗雙記會產生海量日誌，導致關鍵事件淹沒；僅記錄失敗可大幅降低雜訊，聚焦異常。

五、 登錄表層面的系統硬化

註：TCP/IP 參數 3-6 參考 Win2000 設定，Server 2003 實測無副作用，但建議上線前壓測驗證。

六、 IIS 6.0 深度鎖定

1. 勿用預設網站；若用，網站目錄**必須與系統盤分離**
2. 刪除 Inetpub 及預設虛擬目錄（_vti_bin、IISSamples、Scripts、IISHelp、MSADC 等）
3. 移除不必要擴展名對應（.shtml、.stm 等）
4. 日誌路徑移至資料盤
5. 部署 UrlScan 2.5（ISAPI 篩選器）
   ASP.NET 需在 UrlScan.ini [AllowVerbs] 加入 DEBUG；
   ASP 頁需從 [DenyExtensions] 移除 .asp；
   非 ASCII 內容需 AllowHighBitCharacters=1
6. 跑 WIS (Web Injection Scanner) 掃描 SQL Injection 弱點

七、 SQL Server 硬化

1. sysadmin 角色 ≤ 2 人
2. 本機連線改用 Windows 驗證
3. 禁用 sa，設超長密碼
4. 移除高風險擴展預存程序：
   xp_cmdshell、xp_reg* 系列（保留 OLE 自動化 sp_OA*）
5. 隱藏執行個體、修改預設 1433 埠