Windows Server 2003 伺服器安全強化實戰：從角色定義到基準線建立

核心觀念：安全隨角色而變

Windows Server 2003 可扮演網域控制器、檔案伺服器、IIS、終端機、IAS 等多種角色，甚至混合角色。每種角色所需開放的服務、連接埠、權限截然不同，「一套設定適用所有情境」不存在。安全強化必須從「理解伺服器角色」開始。

第一道防線：物理安全

伺服器必須放置於上鎖機房/機櫃。實體接觸即可利用離線工具繞過所有軟體防護，物理隔離是所有角色的前提。

建立安全基準線

1. 依角色建立多組基準線（如：檔案伺服器基準、網域控制站基準、IAS 基準）。
2. 使用內建「安全性設定與分析」工具（MMC 嵌入式管理單元）比對現有設定與範本。
3. 範本位於 %SYSTEMROOT%\Security\Templates，常用範本：

• HISECDC.inf：高安全性網域控制站
• SECUREWS.inf：安全工作站/檔案伺服器起始點

4. 若現有範本過嚴或過鬆，可右鍵建立新範本自訂。
5. 匯入自訂範本 → 「立即分析電腦」產生差異報告 → 「立即設定電腦」套用基準。

群組原則層級說明

基於範本的設定屬「本機電腦層級」群組原則。更高層級（站台、網域、OU）原則仍會繼承覆蓋，最終生效結果為層級疊加結果。

實務建議

• 先定義角色，再選擇/建立對應基準線。
• 定期以「安全性設定與分析」掃描偏離度。
• 保留基準線版本控管，利於稽核與回溯。
• 物理安全與基準線雙管齊下，才能達到真正防護。