Windows Server 2003 系統安全加固五大基石：口令、共享、自動播放、遠端登錄檔、補丁更新

Windows Server 2003 雖架構穩定，若缺乏基礎防護仍易遭入侵。本文提出五項必做加固動作，涵蓋帳號口令、預設共享、自動播放、遠端登錄檔存取、補丁管理，構建最小可行性防線。

1. 強化使用者口令原則

• 長度 ≥ 8 字元，含大小寫、數字、特殊符號（如 adlj@，78f.）。
• 禁用生日、電話、帳號名稱等弱口令。
• 群組原則：gpedit.msc →「帳戶原則」→「密碼原則」→ 啟用「密碼必須符合複雜性需求」、設定「最小密碼長度」、「密碼最長使用期限」。

2. 刪除預設管理共享 (C$, D$, ADMIN$, IPC$)

1. gpedit.msc →「使用者設定」→「Windows 設定」→「指令碼 (登入/登出)」→「登入」→ 新增 delshare.bat (內容：net share C$ /delete && net share D$ /delete && net share ADMIN$ /delete && net share IPC$ /delete)。
2. 登錄檔停用 IPC$ 匿名連線：
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\restrictanonymous = 1 (DWORD)。

3. 關閉自動播放功能

防止惡意 USB/光碟自動執行木馬。
gpedit.msc →「電腦設定」→「系統管理範本」→「系統」→「關閉自動播放」→「已啟用」→ 下拉選「所有磁碟機」。

4. 清空遠端可存取登錄檔路徑

阻擋掃描器遠端讀取敏感登錄檔鍵值。
gpedit.msc →「電腦設定」→「Windows 設定」→「安全性設定」→「安全性選項」→「網路存取：可遠端存取的登錄檔路徑」→ 清空所有值。

5. 啟用 Windows Update 自動修補

• 「控制台」→「系統」→「自動更新」→ 選「自動 (建議)」並設定每日檢查安裝。
• 或部署 WSUS 統一管理修補程式下發與審核。
• **原則：防毒軟體 ≠ 修補程式**，兩者缺一不可；未修補漏洞會導致病毒反覆感染、系統癱瘓。

持續營運建議

1. 每月執行 MBSA (Microsoft Baseline Security Analyzer) 掃描基線偏差。
2. 帳號每 90 天輪換、離職帳號即時停用。
3. 關鍵伺服器部署 HIDS/EDR，異常登入/程序執行即時告警。