Windows Server 2003 SP1/R2 安全性設定精靈 (SCW) 完整部署指南

工具簡介

安全性設定精靈 (Security Configuration Wizard, SCW) 依據伺服器角色自動建立安全性原則，可透過群組原則部署至多台同角色伺服器，支援原則回滾還原，並能掃描系統現有設定與基準原則差異，發現潛在弱點。預設不隨 SP1/R2 自動安裝，需手動啟用。

安裝步驟

1. 「開始」→「設定」→「控制台」→「新增/移除程式」→「新增/移除 Windows 元件」。
2. 勾選「安全性設定精靈」，按「下一步」完成安裝（需提供安裝來源媒體）。
3. 安裝後位於：「開始」→「所有程式」→「管理工具」→「安全性設定精靈」。

核心功能操作流程

1. 角色型安全性原則建立

首次執行需指定參考伺服器。精靈列出預定義角色（如：檔案伺服器、Web 伺服器、DNS、DHCP、SMS 2003 Server/Client 等），勾選該伺服器實際執行的角色。對於清單外的服務，提供「略過」或「限制」選項。

2. 服務與連接埠精細控制

• 服務管理： 允許/停用 BITS、瀏覽器、遠端桌面、SQL Server Agent 等數十項服務。
• TCP/IP 連接埠限制： 可限制特定 IP/子網僅能存取特定連接埠（例：僅允許管理網段存取 TCP 3389 遠端桌面）。

3. 網路協定強化

• SMB 簽署： 強制簽署 SMB 流量防禦中間人攻擊。
• LDAP 簽署： 要求 Windows 2000 SP3+ 用戶端簽署 LDAP 流量保護目錄查詢。

4. 稽核與 IIS 強化

• 稽核原則： 設定登入事件、物件存取、權限使用等成功/失敗稽核。
• IIS 隔離： 選擇啟用的擴充功能（ASP.NET 1.1/2.0、SSI、WebDAV 等），封鎖敏感虛擬目錄（如 IISAdmin）。

部署與維護最佳實務

• 原則匯出與群組原則部署： SCW 產出 .inf 原則檔，可匯入 GPO 統一部署。
• 漸進式調整： SCW 預設傾向極度限制，初次套用後需在測試環境驗證業務應用相容性，逐步放寬必要服務/連接埠。
• 定期基準掃描： 使用 SCW 「分析」模式定期掃描伺服器現狀與基準原則差異，發現配置漂移。
• 回滾機制： 變更前建立回滾原則，若新原則導致服務中斷可快速還原。

結語

SCW 是 Windows Server 2003 SP1/R2 核心安全強化工具，將「角色導向」與「最小權限」原則自動化。雖初期調整耗時，但能建立可重複、可稽核、可回滾的安全基準，大幅降低伺服器攻擊面，是企業級伺服器強化的標準作業流程核心組件。