背景
IDC 預測 2008 年底全球裝機量超 350 萬。企業核心業務遷移至 WS2008，安全加固刻不容緩。九大策略構建從安裝到運行的全生命週期防線。
策略一：安裝階段安全基線
- 隔離網絡安裝：新機接入隔離 VLAN，完成加固前不通生產網。
- 全盤 NTFS：啟用 ACL、文件系統日誌、EFS、磁盤配額。拒絕 FAT/FAT32。
- 安裝 SP2 + 所有熱修補：修復 DoS、遠程代碼執行、XSS 等已知高危漏洞。
策略二：服務器配置向導 (SCW) 定製安全策略
- SCW ≠ 配置服務向導。SCW 基於角色自動：開放必需端口/服務、關閉其餘、配置註冊表/審計/防火牆/IIS 鎖定。
- 安裝：控制面板 → 添加/刪除程序 → 添加/刪除 Windows 組件 → 安全配置向導。
- 輸出 XML 策略文件，可跨機器部署、版本控制、一鍵回滾。
- 關鍵：審計策略預設僅記錄成功，必須改為「成功+失敗」雙向審計。
策略三：物理與邏輯存取控制雙重加固
- BIOS/UEFI 密碼：設置開機密碼、管理員密碼、硬盤密碼 (Primary/Administrative/Hard 三級)。
- 啟動順序鎖定：首選內部硬盤，禁用光驅/USB/網絡啟動。
- 禁用自動運行：注冊表 `HKLM\SYSTEM\CurrentControlSet\Services\Cdrom` → `AutoRun=0` (同理 USB/其它)。防止攜帶惡意代碼的可移動介質自動執行。
- 強密碼策略 + 多因子認證 (MFA)：≥8 位、四字符類、定期過期、歷史記憶。條件允許部署智能卡/指紋/OTP。
- NTFS ACL 基於組授權：拒絕使用「Everyone」，建立角色組 (運維組、開發組、審計組) 賦予最小權限。
- 注冊表編輯鎖定：僅授權賬號可讀寫關鍵鍵值，防範惡意修改啟動項/服務/安全策略。
策略四至九 (原文節選續寫方向)
- 網絡邊界與主機防火牆協同：SCW 生成的 Windows Firewall with Advanced Security 規則 + 前置硬件防火牆，實現雙層過濾。
- 服務最小化與啟動類型優化：禁用非角色必需服務，關鍵服務改為「自動(延遲啟動)」平滑開機峰值。
- BitLocker 驅動器加密：系統盤/數據盤全盤加密，TPM + PIN 雙因子解鎖，防範物理竊取離線破解。
- AppLocker 應用程序控制：基於發布者/路徑/哈希規則，僅允許授權可執行文件運行，阻斷未簽名/惡意腳本/勒索軟件。
- PowerShell 受限語言模式 + 腳本簽名強制：限制交互式腳本權限，所有自動化腳本必須簽名驗證。
- 持續監控與基線漂移檢測：SCM (Security Compliance Manager) 導入基線包，SCOM/ATP 實時比對偏差，自動修復或告警。
結語
WS2008 引入 SCW、BitLocker、AppLocker、PowerShell 等原生安全利器。九大策略覆蓋安裝基線、角色策略、物理/邏輯存取、網絡防火牆、服務最小化、磁盤加密、應用控制、腳本安全、持續合規。建議將策略導出為基線包 (SCM)，納入部署流水線，實現「安全即代碼，合規即交付」。
