当用作 Web 服务器（具有远程桌面访问）时，应采取哪些措施来“锁定”/强化/保护 Windows Server 2008 R2 机器？
是否有任何作为标准启用的元素可以被禁用/删除？
谢谢。
答案1
如果此服务器的唯一目的是运行 IIS，我建议安装 Core 并添加 IIS 角色（以及远程桌面服务角色，尽管您可能会发现远程 IIS 管理器适合您的需求）；此过程描述如下这里。
与 Windows 2008 R2 的标准安装相比，这将显著减少攻击足迹（并且可能提高性能或至少通过减少启用/运行的服务/角色/功能数量来释放一些资源）。
如果盒子已经建好，你又不能重做，我建议你运行Microsoft Baseline 安全分析器在您的 Web 应用程序安装完毕、测试正常运行等之后，查找可能存在的任何潜在漏洞。
使用 Nessus 或 GFI LanGuard 等通用安全扫描程序（并执行定期扫描）也是一个好主意。
关于进行更改的说明...不是为了光顾，但我会一次更改一件事，并重新测试您的网站/应用程序以确保一切正常。
最后但同样重要的一点是，查看 Web 应用程序本身：您可以使用第三方 Web 漏洞扫描程序来查找明显的漏洞，但请确保您的开发人员或 Web 设计人员遵循最佳实践，对您网站上的所有 GET 和 POST 操作进行严格的输入验证——您的 Web 应用程序/网站可能会在应用程序级别向毫无戒心的访问者传播恶意软件，甚至不会危及操作系统或 IIS。