安裝順序決定安全基線
- Windows NT 4.0（獨立伺服器模式）
- NT Service Pack 3.0
- Option Pack 4.0
- NT Service Pack 4.0+
- SQL Server 7.0
NT Server 核心強化
- 帳號重命名/停用：Administrator、Guest 改名或停用，防暴力破解。
- 帳號原則：拒絕空密碼、設定最小長度、鎖定閾值。
- 系統原則編輯器：關閉遠端更新、隱藏共享、限制遠端存取、登入訊息自訂、停用 8.3 檔名。
- 啟動選項：清單顯示 0 秒、設定故障復原。
- 網路服務極小化：僅保留 RPC、Server、Workstation、Browser；移除 NetBIOS 介面。
- TCP/IP 精準控制：啟用安全機制、僅開必要埠（如 TCP 80），禁用 UDP。
- 拒絕遠端管理軟體：PC Anywhere 等需開全埠，極度危險。
- 鎖定工作站習慣：離位必按 Ctrl+Alt+Del → 鎖定。
- 全分區 NTFS：光碟啟動安裝，格式化選 NTFS，才能細粒度權限控制。
SQL Server 7.0 專項防護
- 移除遠端管理：或改用 TCP/IP 並修改預設埠 1433。
- 強制 sa 密碼：Enterprise Manager → Security → 變更。
- 永遠提示登入：伺服器屬性 → 「Always prompt for logins and password」。
- 連線字串勿寫帳密：避免 ASP 原始碼洩露導致資料庫淪陷。
IIS 關鍵設定
- 最小安裝：僅勾選 IIS、管理工具、WWW、MDAC、MMC；勿裝文件與範例網站。
- 磁碟規劃：C: 系統、D: Web 內容、E: 資料庫，限制損害範圍。
- 啟用完整日誌：記錄日期、時間、Client IP、Server IP、傳輸位元組、耗時等擴充欄位。
- 應用程式對應：僅保留
.asp、.asa；關閉「啟用上層路徑」；關閉伺服器/用戶端偵錯；啟用「傳送文字錯誤給用戶端」。
- 持續修補：至少 SP4，並訂閱 Microsoft Security Bulletin 套用 Hotfix。
安全是系統工程，而非單一設定。從安裝順序、帳號管理、網路暴露面、應用層防護到持續修補，層層把關才能守住商業資料核心資產。
