Windows Server 2003 伺服器安全策略深度加固指南（專家整理版）

針對 Windows Server 2003 面臨的網路攻擊面，資深專家整理 7 大面向、50+ 項具體加固措施，涵蓋服務精簡、磁碟權限、空連線封堵、連接埠管制、IIS/Web 安全、SQL Server 強化、註冊表防護、審計追蹤等核心領域。

策略一：停用非必要系統服務

透過 services.msc 將下列服務設為「停用」並啟動類型「手動/停用」：

• Computer Browser、Task Scheduler、Routing and Remote Access、Removable Storage
• Remote Registry、Print Spooler（非列印伺服器）、IPsec Policy Agent
• Distributed Link Tracking Client、COM+ Event System、Alerter
• Error Reporting Service、Messenger、Telnet

原則：未明確業務需求的服務一律停用，減少攻擊面與資源佔用。

策略二：磁碟權限最小化

• 系統碟（C:）僅授予 Administrators、SYSTEM 完全控制
• C:\Windows、C:\Program Files\Common Files 必須授予 Users「讀取/執行/列出資料夾」否則 ASP.NET/IIS 應用程式無法運作
• C:\Windows\Temp 授予 Users「修改/讀取/寫入/執行/列出」
• 其他資料碟依業務需求最小授權

策略三：封鎖空連線

regedit → HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa → restrictanonymous = 1（DWORD）。限制匿名使用者列舉帳號、共享、原則等資訊。

策略四：TCP/IP 連接埠篩選與 3389 修改

1. 區域連線 → 內容 → 進階 → 選項 → TCP/IP 篩選 → 內容 → 勾選「啟用 TCP/IP 篩選」
2. 僅新增必要連接埠（例：80, 21, 25, 110, 3389, 1433, 3306）
3. 修改 RDP 連接埠：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp\PortNumber
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber
# 將 3389 改為自訂埠號（十進位輸入，系統自動轉十六進位），重開機生效

停用 NetBIOS over TCP/IP：區域連線 → 內容 → 進階 → WINS → 停用 NetBIOS over TCP/IP。

策略五：登入腳本自動移除預設共享

建立 delshare.bat：

@echo off
net share c$ /delete
net share d$ /delete
net share e$ /delete
net share admin$ /delete

部署至 %SystemRoot%\System32\GroupPolicy\User\Scripts\Logon，群組原則 → 使用者設定 → Windows 設定 → 指令碼（登入/登出） → 登入 → 新增腳本。

策略六：IIS 6.0 深度安全配置

• 不使用預設網站，或將網站根目錄移至非系統碟
• 刪除 C:\Inetpub 及預設虛擬目錄（_vti_bin, iissamples, scripts, iishelp, iisadmin, msadc）
• 移除不必要的副檔名對應：.shtml, .shtm, .stm, .idq, .htw, .ida, .idc, .htr, .printer
• 安裝 URLScan，[DenyExtensions] 區段新增：.cer, .cdx, .mdb, .bat, .cmd, .com, .htw, .ida, .idq, .htr, .idc, .shtm, .shtml, .stm, .printer
• 調整 IIS 日誌路徑至非系統碟，啟用 W3C 擴充日誌格式

策略七：註冊表安全強化

• 隱藏「顯示所有檔案」選項：HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue = 0
• 防禦 SYN Flood：HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\SynAttackProtect = 2
• 停用 ICMP 重導向：EnableICMPRedirects = 0
• 停用路由器發現：PerformRouterDiscovery = 0
• 停用 IGMP：IGMPLevel = 0

策略八：移除/改名高風險 COM 元件

最高風險：WSH (WScript.Shell, WScript.Network)、Shell.Application。
移除：regsvr32 /u scrrun.dll，刪除 HKCR 下對應 ProgID 與 CLSID。
改名（保留功能但阻擋自動化攻擊）：修改 ProgID 與 CLSID 名稱（如 Shell.Application_ajiang），同步更新 HKCR\CLSID 對應項。

策略九：啟用安全性審計

本機安全性原則 → 本機原則 → 審核原則 → 全部啟用「成功/失敗」：

• 稽核原則變更、稽核系統事件、稽核帳號登入事件、稽核帳號管理

配合事件日誌集中收集（Syslog/SIEM）實現異常偵測。

策略十：備份與防毒常態化

• ntbackup 排程備份系統狀態
• reg.exe export 關鍵登錄分支（如 ODBC、服務參數）
• McAfee/Norton 企業版：即時掃描 + 排程掃描 Web 目錄 + 規則阻擋 Windows 目錄建立 .exe/.dll

執行檢核表

建議將上述策略轉為核核清單，每季執行一次合規稽核，記錄異常與整改追蹤。安全加固非一次性專案，而是持續營運程序。