前言：別讓「教科書強化」拖垮業務
參考 CIS Benchmark、DISA STIG 等基準固然專業，但逐條落地往往與業務衝突。強化的核心不是「做多少項」，而是「針對你的風險場景做對的項」。在投入資源前，先搞清三個問題：
- 上次安全評估/稽核發現什麼缺口？
- 內部政策、法規（PCI DSS、HIPAA）強制要求哪些控制？
- 業務能容忍的功能犧牲邊界在哪裡？
避坑指南：常見資源錯配場景
| 低投入產出比（不建議優先） | 高投入產出比（建議優先） |
|---|
| SMB 簽名、審計程序追蹤等深度審計設定 | 重命名/停用 Administrator、Guest 帳號 |
| 過度精細的登錄權限鎖定 | 停用非必要服務（Print Spooler、Remote Registry 等） |
| 僅為合規勾選的密碼複雜度策略 | 強制多因子驗證（MFA）保護遠端管理 |
立即可落地的 10 項免費高效強化措施
- 共享資料夾最小權限：NTFS + 共享權限雙層把關，定期審計
- 禁用 SMB Null Session：
HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\RestrictNullSessionAccess=1
- 啟用 Windows 防火牆/第三方主機防火牆：預設拒絕入站，僅放行管理埠
- 修補管理自動化：WSUS/SCCM/Intune 推送關鍵更新，建立「修補窗口」SLA
- 全盤部署防毒軟體：排除備份/資料庫目錄避免效能衝擊，啟用即時掃描
- 密碼策略：長度＞複雜度：15+ 字元 Passphrase，配合帳號鎖定閾值
- 啟用關鍵審計事件：登入/登出（4624/4625）、帳號管理（4720/4726）、策略變更（4719）
- 暴露面伺服器啟用 BitLocker：防盜竊/實體存取導致資料外洩
- AD 健康度基線：GPO 應用狀態、複製拓撲、FSMO 角色、信任關係
- 建立強化基線映像：Packer + Ansible/DSC 產出黃金映像，新機器「開箱即合規」
分級強化策略
| 層級 | 適用對象 | 控制重點 |
|---|
| 基礎級 | 所有 Windows 伺服器（NT 4.0–2022） | 上述 10 項 + CIS Level 1 核心項 |
| 強化級 | DMZ、域控、資料庫、憑證伺服器 | 基礎級 + CIS Level 2 + 應用層強化（SQL/MQ/IIS） |
| 極致級 | 核心金融/國防/關鍵基礎設施 | 強化級 + 應用白名單、記憶體保護、硬體信任錨點 |
結語
Windows 強化是持續迭代的風險管理過程，而非一次性專案。建立「風險識別 → 基線制定 → 自動化交付 → 持續監控 → 例外管理」閉環，讓強化投入與業務風險成正比，才是成熟安全團隊的標誌。
