前言
服務器承載核心數據，面臨病毒、黑客、商業間諜多重威脅。安全非一蹴而就，需從網絡、系統、管理三個維度構建纵深防禦。以下七大策略直擊痛點。
策略一：RAS 服務啟用「回撥」與協議迷惑
- 回撥功能：遠程用戶撥入認證後斷線，服務器回撥預設號碼。黑客無法控制回撥目標，徹底斷開「隨意撥入」攻擊面。
- 隔離 RAS 服務器：僅放置遠程用戶所需數據，限制其訪問單台機器而非整網，縮小滲透半徑。
- 非常用協議：棄用 TCP/IP，改用 NetBEUI 或 IPX/SPX 作為 RAS 協議，增加黑客偵察成本。
策略二：激進補丁管理——優先部署 128 位加密版
- Service Pack 發布周期長，熱修補程序 填補窗口期。必須按邏輯順序安裝，避免文件版本衝突導致系統不穩。
- 美加用戶務必下載 128 位加密版，比 40 位版本安全性指數級提升。
策略三：基礎加固——NTFS、殺毒、時間窗口、強密碼
- 所有敏感分區強制轉換為 NTFS，啟用 ACL 與文件系統日誌。
- 服務器與桌面雙端部署殺毒軟件，每日自動更新病毒庫。
- 部署 Exchange 郵件網關殺毒，隔離帶毒附件。
- 基於工作時間限制登錄（如臨時工禁用凌晨 3 點登錄）。
- 強制密碼策略：≥8 位、大小寫+數字+特殊字符、定期過期、歷史記憶防重用。可用資源包工具或下載滲透工具自測強度。
策略四：最小權限原則與賬號陷阱
- 重命名 Administrator，設置 ≥14 位強密碼。
- 建立同名「Administrator」誘餌賬號，最小權限+超長密碼，監控其登錄嘗試。
- 禁用 Guest，重命名並設置複雜密碼（或用 DelGuest 刪除）。
- 組策略：3 次失敗鎖定 30 分鐘、隱藏上次登錄用戶名、移除「從網絡訪問」多餘賬號（僅保留 IIS/IUSR/ASPNET 必需賬號）。
- 日常運維使用普通 User 賬號，需提權時 `Runas` 臨時提權。
策略五：網絡服務收口——關閉默認共享、解綁 NetBIOS、精簡服務
- 注冊表 `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters` 新建 `AutoShareServer=0` 禁用 C$/D$/ADMIN$。
- 網卡屬性 → TCP/IP 進階 → WINS → 禁用 TCP/IP 上的 NetBIOS。
- 禁用非必需服務：Computer Browser、Distributed File System、Error Reporting、Remote Registry、Remote Desktop Help 等。
策略六：審計策略——成功與失敗並重
組策略 → 審計策略，啟用：
- 登錄事件（成功/失敗）
- 賬戶登錄事件（成功/失敗）
- 系統事件（成功/失敗）
- 策略更改（成功/失敗）
- 對象訪問（失敗）
- 目錄服務訪問（失敗）
- 特權使用（失敗）
避免過度審計導致日誌淹沒關鍵事件，定期歸檔分析。
策略七：注冊表級網絡加固（Server 2000/2003 驗證有效）
- 隱藏關鍵文件：`HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL` → `CheckedValue=0`。
- 啟用 ICF：勾選 Web 服務器例外。
- 防 SYN Flood：`HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters` → `SynAttackProtect=2`。
- 禁用 ICMP 重定向/路由發現/IGMP：同路徑下 `EnableICMPRedirects=0`、`PerformRouterDiscovery=0`、`IGMPLevel=0`。
- 禁用 DCOM：`dcomcnfg` → 取消「在這台計算機上啟用分布式 COM」。
結語
七大策略覆蓋遠程接入、補丁生命周期、基礎衛生、賬號體系、網絡暴露面、可審計性、內核參數。安全是持續過程，而非一次性配置。建議將上述措施腳本化、基線化，納入變更管理流程，定期複核與演練。
