Windows Server 2003 檔案伺服器強化指南

模組概覽與目標

本模組說明專為檔案伺服器設計的安全範本配置，假設已套用成員伺服器基準 (MSBP)。目標：強化 Windows Server 2003 檔案伺服器安全性、驗證適當安全配置。適用產品：Windows Server 2003。建議先閱讀「Windows Server 2003 安全性簡介」與「建立成員伺服器基準」模組。

挑戰與策略

檔案伺服器依賴 NetBIOS、SMB、CIFS 協定，這些協定可能洩露未驗證用戶資訊。高安全環境建議停用，但會增加管理與存取困難。本模組詳細說明 MSBP 之外的額外安全設定。

核心安全配置

審核原則、使用者權限、安全選項、事件日誌

均透過 MSBP 統一配置，確保所有檔案伺服器記錄相關安全審核、統一使用者權限、安全選項與事件日誌設定。

系統服務：最小化攻擊面

任何服務皆為潛在攻擊點，MSBP 已停用非必要服務。檔案伺服器常啟用的額外服務需評估風險，建議配置可能不適用所有環境，需依組織需求調整群組原則。

分散式檔案系統 (DFS)

DFS 管理邏輯卷並支援 SYSVOL 共享。停用 DFS 可防止透過邏輯命名空間存取網路資料，強制用戶知曉實體伺服器與共享名稱。檔案伺服器增量群組原則將 DFS 設為「停用」。注意：需 DFS 的組織必須修改增量 GPO 或建立新 GPO 啟用。

檔案複寫服務 (FRS)

FRS 自動複寫檔案至多台伺服器，支援 SYSVOL 與容錯 DFS。停用 FRS 將中斷檔案複寫與資料同步。增量原則同樣將 FRS 設為「停用」。注意：依賴 FRS 的組織需自行調整原則。

手動執行的額外安全設定

保護知名帳戶

• 重新命名「Administrator」與「Guest」帳戶，設定長複雜密碼。
• 每台伺服器使用不同帳戶名稱/密碼，防單點滲透全網。
• 修改預設帳戶描述，避免輕易識別。
• 安全記錄變更資訊。

可透過群組原則「帳戶：重新命名管理員帳戶」設定。雖然 SID 可被工具解析真實帳戶名，但重命名仍有助監控攻擊嘗試。

保護服務帳戶

除非必要，勿設定服務以網域帳戶運行。伺服器實體安全受損時，LSA 密文可被傾印取得網域密碼。

IPSec 篩選器封鎖連接埠

高安全環境建議部署 IPSec 篩選器，進一步縮減攻擊面。本指南提供「檔案伺服器 IPSec 網路流量圖」（表 3），列出需開放的基本連接埠（靜態 IP 環境足夠）。所有規則需鏡像執行確保雙向通訊。若需額外功能可開放更多連接埠，但會降低安全性。

網域成員與網域控制器交互頻繁，需允許檔案伺服器與所有網域控制器間完整通訊。若部署 MOM，必須允許伺服器與 MOM 伺服器間所有流量。IPSec 封鎖高連接埠將阻斷 RPC 遠端管理，建議啟用終端服務進行遠端管理。

部署前務必測試驗證功能與效能。指南提供 PacketFilters-File.cmd 腳本簡化篩選器建立，需修改加入網域控制器與 MOM 伺服器 IP。腳本不建立永久篩選器，需啟動 IPSec 原則代理程式才生效，最終用 IP 安全原則管理單元指派生效。

小結

本模組涵蓋三種環境下檔案伺服器強化設定，多數透過群組原則套用，部分需手動配置。將補充 GPO 連結至包含檔案伺服器的 OU，提供額外安全保障。IPSec 篩選器控制網路通訊類型，進一步強化防禦。