Windows Server 2003 IIS 6.0 安全性強化涵蓋系統安裝、修補、備份、防火牆、帳號、權限、登錄、服務、IIS 站點與權限等十大面向，本文為第一部分：系統安裝與基礎防護。
一、系統安裝與 IIS 6.0 部署
- 依光碟提示安裝 OS，預設不含 IIS
- 控制台 → 新增/移除 Windows 元件 → 勾選：
ASP.NET (可選)、啟用網路 COM+ 存取 (必)、IIS 管理員 (必)、公用檔案 (必)、ASP (必)、WebDAV (可選)、WWW 服務 (必)、伺服器端包含 (可選)
二、系統修補與備份
- Windows Update 安裝所有關鍵修補程式
- Ghost 完整備份系統磁碟
- 安裝防毒/解壓縮等常用工具，掃描漏洞後再次 Ghost 備份
三、網路與防火牆基礎設定
- 網路連線移除非必要協議/服務，僅保留 TCP/IP、QoS 封包排程器
- TCP/IP 進階 → 停用 NetBIOS over TCP/IP
- 啟用 Windows 內建「網際網路連線防火牆」 (ICF) 阻擋非必要連接埠
- 修改遠端桌面 3389 連接埠 (登錄雙機碼 PortNumber) 並防火牆開放新埠
四、帳號安全強化
- 停用 Guest、重命名 Administrator (如
Guesycludx)、建立陷阱帳號 Administrator (最低權限+複雜密碼)
- 移除重複/測試/共用帳號，定期稽核
- 共用資料夾權限從 Everyone 改為授權使用者
- 帳號鎖定原則：重設計數器 20 分鐘、鎖定時間 20 分鐘、錯誤臨界值 3 次
- 登錄隱藏上次登入帳號：
DontDisplayLastUserName = 1
- 密碼原則：複雜度啟用、最小長度 6、歷史記憶 5 次、最長壽命 42 天
五、系統權限與登錄強化 (節錄重點)
- 系統盤/所有磁碟：僅 Administrators + SYSTEM 完整控制
- 關鍵系統工具 (
cmd.exe, regedit.exe, net.exe, ftp.exe 等)：僅 Administrators + SYSTEM 存取，建議移動或重命名
- 本地安全性原則 → 審核原則：啟用成功/失敗審核 (登入、物件存取、權限使用、系統事件、帳號管理)
- 用戶權利指派：關機僅 Administrators、終端機登入僅 Administrators + Remote Desktop Users
- 安全性選項：啟用不顯示上次帳號、禁止匿名列舉 SAM/共享、禁止匿名存取登錄路徑、重命名 Guest/Administrator
- 停用非必要服務：TCP/IP NetBIOS Helper、Server、Computer Browser、Task Scheduler、Messenger、DFS、Distributed Link Tracking、Error Reporting、Microsoft Search、NTLM SSP、Print Spooler、Remote Registry、Remote Desktop Help、Workstation (視需求)
- 登錄強化：防 SYN Flood (
SynAttackProtect=2)、停用 ICMP 重導向、停用 IGMP、禁止 IPC$ 空連線 (RestrictAnonymous=1)、修改 TTL 值迷惑 OS 指紋辨識、關閉預設共享 (AutoShareServer=0)、開機腳本刪除 C$ D$ IPC$ ADMIN$
後續章節將涵蓋 IIS 站點權限、應用程式安全、移除高風險元件等進階強化措施。
