Windows Server 2003 系統安全加固：重命名管理員與移除預設共享

Windows Server 2003 預設安裝存在已知帳號 (Administrator) 與隱藏管理共享 (C$, ADMIN$ 等)，為攻擊者提供便利進入點。本文說明兩項基礎加固措施：重命名內建管理員帳號並建立誘餌帳號、透過群組原則開機腳本移除預設共享。

措施一：重命名 Administrator 並建立誘餌帳號

1. 「管理工具」→「本機安全性原則」→「本機原則」→「安全性選項」。
2. 找到「帳號：重新命名系統管理員帳號」→ 設定為無特徵名稱 (如 guestone、svc_backup)，避免使用 Admin、Root、System 等易猜測名稱。
3. 建立新帳號命名為 Administrator，群組設為「Guests」或「受限使用者」，設定 15 字元以上複雜密碼，權限最低化。
4. (進階) 於誘餌帳號登入腳本記錄登入嘗試 IP/時間，作為入侵偵測指標。

措施二：群組原則開機腳本移除預設共享

建立批次檔 delshare.bat

@echo off
net share C$ /delete
net share D$ /delete
net share E$ /delete
net share F$ /delete
net share ADMIN$ /delete
rem 視實際磁碟機代號增減

儲存至 %SystemRoot%\System32\GroupPolicy\User\Scripts\Logon\delshare.bat。

設定群組原則

1. 執行 gpedit.msc。
2. 「使用者設定」→「Windows 設定」→「指令碼 (登入/登出)」→「登入」。
3. 「新增」→ 指令碼名稱填 delshare.bat → 確定。

副作用與替代方案：

• 移除 ADMIN$ 會導致遠端部署軟體 (如 SMS/SCCM)、遠端管理工具 (WMI、PSRemoting) 失效。
• 建議改用 防火牆限制 445/139 埠僅允許管理網段存取，而非單純刪除共享。
• 或啟用 AutoShareServer=0 登錄值 (HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters) 阻止自動建立，但需重開機生效。

驗證與維護

• 開機後執行 net share 確認無 C$/D$/ADMIN$ 等共享。
• 定期稽核本機安全性原則與群組原則是否被竄改。
• 結合帳號鎖定原則 (錯誤 5 次鎖定 30 分鐘)、稽核登入失敗事件，構建多層防禦。

「重命名管理員 + 誘餌帳號」與「限制管理共享存取」是 Windows Server 2003 基礎加固的黃金搭檔，成本極低卻能大幅提高攻擊門檻，建議所有對外服務伺服器部署。