Windows Server 2003 系統安全加固六大關鍵實務

Windows Server 2003 雖在安全性上較 Windows 2000/XP 大幅增強，但「金無足赤」，漏洞與隱患依然存在。面對病毒與駭客威脅，以下六大實務操作能有效提升系統安全基準。

一、調整 IE 安全等級，消除煩人的提示對話框

預設最高安全等級會攔截未受信任站台並彈出提示。解決：Internet 選項 → 安全標籤 → 將滑桿由「高」調至「中」，並勾選「當網站內容被阻擋時繼續提示」。修改後 IE 不再自動檢查站台安全性，瀏覽體驗順暢。

二、重新啟用 ASP 腳本支援

IIS 6.0 預設停用 ASP 以降低攻擊面。若業務需求須執行 ASP：

1. 「管理工具」→「Internet 資訊服務管理員」。
2. 左側選「Web 服務延伸模組」。
3. 右側雙擊「Active Server Pages」，將工作區設為「允許」。

原有 ASP 元件即可繼續使用，操作簡單且相容性佳。

三、徹底清除預設隱藏共享 (C$、D$、Admin$、IPC$)

預設安裝會自動建立磁碟機隱藏共享 (盤符 + $)，若管理員密碼外洩，攻擊者可透過 \\工作站名\共享名 直接存取。清除步驟：

1. 建立批次檔 delshare.bat：

   @echo off
   net share C$ /del
   net share D$ /del
   net share E$ /del
   net share F$ /del
   net share admin$ /del

   (依實際磁碟機修改)
2. 存放至 %SystemRoot%\system32\GroupPolicy\User\Scripts\Logon\。
3. 執行 gpedit.msc 開啟群組原則編輯器：用戶設定 → Windows 設定 → 指令碼 (登入/登出) → 登入 → 新增 → 指令碼名稱填 delshare.bat。
4. 重開機，所有隱藏共享自動移除。

四、停用 IPC$ 連線 (修改登錄)

IPC$ 為命名管道共享，供進程間通訊，但常被利用建立信任通道入侵。停用：
開啟 regedit，定位 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa，將 restrictanonymous 值改為 1，重開機生效。

五、清空遠端可存取的登錄路徑

防止掃描器透過遠端登錄讀取系統資訊：
gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 安全性選項 → 「網路存取：可遠端存取的登錄路徑」與「子路徑」均設為空白。

六、關閉非必要連接埠與啟用 TCP/IP 篩選

1. 關閉 139 連接埠 (NetBIOS)：網路連線 → 區域連線內容 → 取消勾選「Microsoft 網路的檔案和印表機共用」 → 選「Internet 通訊協定 (TCP/IP)」內容 → 進階 → WINS → 勾選「停用 TCP/IP 上的 NetBIOS」。
2. 服務設為「停用」：防止重開機後服務與連接埠復活。
3. 啟用 TCP/IP 篩選：網卡內容 → TCP/IP 內容 → 進階 → 選項標籤 → TCP/IP 篩選 → 勾選「啟用」 → 僅允許必要埠 (如僅瀏覽網頁則只開 TCP 80)。

七、限制使用者可執行應用程式 (軟體限制原則)

gpedit.msc → 用戶設定 → 系統管理範本 → 系統 →「只執行允許的 Windows 應用程式」→ 啟用 →「允許的應用程式清單」→ 新增允許執行的程式 (如 notepad.exe, iexplore.exe)。一般使用者將僅能執行白名單程式，有效阻擋惡意程式與誤操作。

落實以上七項措施，配合定期修補與稽核，可大幅縮減 Windows Server 2003 的攻擊面，構築更堅固的防線。