Windows Server 2003 安全性強化：安全性設定與分析、安全性範本、命令列工具完整指南

前言

Windows Server 2003 雖號稱較安全，但預設安裝仍存風險。微軟提供「安全性設定與分析」嵌入式管理單元、「安全性範本」與 Secedit 命令列工具，構成完整的安全性基線管理體系。本文系統介紹核心概念、操作流程與自動化部署技巧。

一、 核心工具架構

二、 安全性範本可定義的設定範圍

• 帳號原則：密碼原則（長度、複雜度、歷史、最長/最短使用期限）、帳號鎖定原則、Kerberos 原則。
• 本地原則：稽核原則、使用者權利指派（如「關閉系統」、「以服務登入」）、安全性選項（如「重新命名 Administrator」、「限制匿名存取」）。
• 事件記錄：應用程式、安全性、系統日誌大小、保留方式、訪客存取權限。
• 受限群組：強制指定 Administrators、Domain Admins 等敏感群組成員，防止擅自新增。
• 系統服務：服務啟動類型（自動/手動/停用）與權限（誰可啟動/停止）。
• 登錄檔：指定機碼的 ACL（如 HKLM\Software\Microsoft\Windows\CurrentVersion\Run）。
• 檔案系統：目錄/檔案的 NTFS ACL（如 C:\Windows\System32 僅 Administrators/SYSTEM 可寫入）。

不包含： IPsec 原則、公開金鑰原則、無線網路原則（需另行設定）。

三、 實作流程：建立與部署企業基線

1. 建立參考機：全新安裝 Windows 2003 SP2，安裝必要修補程式、防毒軟體、管理代理程式。
2. 開啟「安全性範本」嵌入式管理單元（MMC）： Win+R → mmc → 檔案 → 新增/移除嵌入式管理單元 → 安全性範本。
3. 新增範本：右鍵「安全性範本」→ 新增範本 → 命名（如 CorpBaseline.inf）。
4. 配置各節點：依企業安全策略逐項設定上述七大類別。建議參考 Microsoft Security Compliance Manager 或 CIS Benchmarks 數值。
5. 驗證：在參考機開啟「安全性設定與分析」→ 開啟資料庫 → 匯入範本 → 「立即分析電腦」→ 檢視不符項（紅色 ❌）並調整。
6. 套用：確認無誤後 → 「立即設定電腦」→ 重開機生效。
7. 推廣部署：
   • 獨立伺服器：複製 .inf 到目標機，執行 secedit /configure /db secedit.sdb /cfg CorpBaseline.inf /log secedit.log。
   • 網域環境：將範本導入 GPO（電腦設定 → Windows 設定 → 安全性設定 → 從檔案匯入），連結至對象 OU。
8. 持續稽核：排程執行 secedit /analyze 產生報表，比對基線差異，異常即時告警。

四、 Secedit 常用指令速查

# 分析目前系統與範本差異
secedit /analyze /db c:\temp\sec.sdb /cfg CorpBaseline.inf /log c:\temp\analyze.log

# 套用範本
secedit /configure /db c:\temp\sec.sdb /cfg CorpBaseline.inf /log c:\temp\apply.log /quiet

# 匯出目前系統設定為範本（備份/建立新基線）
secedit /export /cfg c:\temp\CurrentConfig.inf /areas SECURITYPOLICY GROUP_MGMT USER_RIGHTS REGKEYS FILESTORE SERVICES

# 驗證範本語法
secedit /validate CorpBaseline.inf

五、 進階技巧

• 差異化基線：建立「網域控制站基線」、「Web 伺服器基線」、「資料庫伺服器基線」等角色專屬範本，共用核心區塊（密碼原則、稽核），差異部份（服務、檔案系統）各自覆寫。
• 變更管理整合：將 .inf 納入版控，每次修改經審核、測試、簽核後才發布新版本。
• 緊急回滾：保留前一版 .inf 與 secedit /configure 腳本，一鍵恢復。

總結

安全性設定與分析、安全性範本、Secedit 三位一體，構成 Windows 2003 安全性基線管理的完整閉環。從手動單機設定進化至自動化、版控、集中部署，是邁向成熟資安治理的關鍵步驟。