Windows Server 2003 安全加固 14 項核心清單：NTFS 權限、防火牆、服務精簡、審核策略、註冊表加固

Windows 2003 雖已停止支援，存量系統仍需加固。本清單涵蓋檔案系統、網路、服務、帳號、審核、註冊表六大維度 14 項關鍵動作。

加固清單

1. 磁碟格式化為 NTFS：系統盤與資料盤均需 NTFS 以支援 ACL
2. 磁碟 ACL 收斂：僅保留 Administrators、SYSTEM 完全控制，移除 Users、Everyone、Power Users
3. 啟用 Windows 防火牆：僅開放必要埠 (3389 RDP、80/443 Web、21 FTP、25/110/143 郵件)
4. SQL Server 移除危險擴展：搜尋 xplog70.dll 重命名/刪除 (防 xp_cmdshell 類攻擊)
5. SA 密碼超強複雜度 + 禁用 SA 登入：應用使用專用低權限帳號
6. 重命名 Administrator + 建立蜜罐帳號：原 Administrator 改名、禁用、設超長密碼、移出所有群組；新建 Administrator 陷阱帳號
7. 帳號鎖定策略：3 次失敗 → 鎖定 30 分鐘 → 30 分鐘重置計數
8. 網路存取匿名限制：本地策略 → 安全選項 → 清空四項：
   • 網路存取：可匿名存取的共用
   • 網路存取：可匿名存取的命名管道
   • 網路存取：可遠端存取的登錄路徑
   • 網路存取：可遠端存取的登錄路徑和子路徑
9. 終端服務拒絕登入：加入服務帳號 (非管理群組)：

   ASPNET, Guest, IUSR_*, IWAM_*, NETWORK SERVICE, SQLDebugger

   
10. 禁用預設共享 (C$, ADMIN$ 等)：匯入註冊表

    Windows Registry Editor Version 5.00
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]
    "AutoShareServer"=dword:00000000
    "AutoShareWks"=dword:00000000

    
11. 禁用 17 項非必要/高風險服務：

    Alerter, Computer Browser, Distributed File System, Distributed Link Tracking Client,
    Error Reporting Service, RPC Locator, Remote Registry, Removable Storage,
    Remote Desktop Help Session Manager, Routing and Remote Access, Messenger,
    Net Logon, NTLM SSP, Print Spooler, Telnet, Workstation

12. 審核策略全開啟 (成功/失敗)：

    帳號管理、登入事件、物件存取(失敗)、原則變更、特權使用(失敗)、
    系統事件、目錄服務存取(失敗)、帳號登入事件

13. 高危系統工具 ACL 收斂：搜尋並移除除 Administrators 外所有權限 (含 SYSTEM)：

    net.exe, net1.exe, cmd.exe, tftp.exe, netstat.exe, regedit.exe, at.exe,
    attrib.exe, cacls.exe, format.com, c.exe

    
14. 基線快照：記錄當前進程列表 (tasklist /v)、開放埠 (netstat -an)、服務狀態，納入變更管理基線

執行建議

• 分階段實施：單機測試 → 叢集滾動 → 全量部署
• 每項變更記錄前後狀態，建立回滾方案
• 配合漏洞掃描器 (Nessus/OpenVAS) 驗證加固效果
• 規劃遷移至受支援 OS (Windows Server 2019/2022) 為根本之策