Windows Server 2003 伺服器安全強化完整手冊：五大防護層次

前言：纵深防禦策略

Windows Server 2003 雖具備良好安全基礎，但預設設定仍存在風險。本文建立五層防護體系：帳號管理、共享與連接埠、登錄與原則、服務精簡、持續維運。

第一層：帳號與認證強化

1. 重新命名 Administrator 與建立陷阱帳號

• 本地安全性原則 → 本地原則 → 安全性選項 →「帳號：重新命名系統管理員帳號」→ 設為普通名稱（如 guestone）。
• 建立名為 Administrator 的陷阱帳號：群組設為「Guests」或自建無權限群組，密碼 15 字元以上複雜組合。
• 啟用稽核帳號登入事件，監控陷阱帳號嘗試登入行為。

2. 密碼原則最小基準

• 長度 ≥8 字元，含大小寫、數字、特殊符號（如 psp53,@pq）。
• 最大壽命 30-90 天，最小壽命 3 天，歷史記錄 5 代以上。
• 啟用「密碼必須符合複雜性需求」。

第二層：移除預設共享與封鎖 IPC$

1. 開機腳本自動刪除管理共享

建立 delshare.bat 放入 %SystemRoot%\System32\GroupPolicy\User\Scripts\Logon：

@echo off
net share C$ /delete
net share D$ /delete
net share E$ /delete
net share ADMIN$ /delete
net share IPC$ /delete
REM 依實際磁碟代號增減

群組原則 → 使用者設定 → Windows 設定 → 指令碼（登入/登出）→ 登入 → 新增 delshare.bat。

2. 登錄檔封鎖 IPC$ 空連線

HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous = 1（DWORD）。

第三層：遠端登錄存取控制與連接埠精簡

1. 清空遠端可存取登錄路徑

群組原則 → 電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 安全性選項 →「網路存取：可遠端存取的登錄機碼」與「...登錄機碼和子路徑」→ 設為空白。

2. 徹底關閉 TCP 139/445 (NetBIOS/SMB)

• 網路連線 → 區域連線 → 內容 → 取消勾選「Microsoft 網路用戶端」與「Microsoft 網路檔案和印表機共用」。
• TCP/IP 內容 → 進階 → WINS →「停用 TCP/IP 上的 NetBIOS」。
• 若需 IIS，啟用 TCP/IP 篩選：僅開放 TCP 80/443（Web）、21 (FTP)、25 (SMTP) 等業務必要埠。

第四層：服務精簡與帳號隔離

1. 停用非必要服務（參考清單）

2. 服務帳號最小權限原則

• 優先使用「本地系統」、「本地服務」、「網路服務」內建帳號。
• 第三方應用需專用帳號時，建立本地帳號而非網域帳號，密碼複雜且定期輪換。
• 拒絕服務帳號互動式登入權利（群組原則 → 使用者權利指派 →「拒絕本機登入」）。

第五層：持續維運與應用層防護

• ASP/IIS 強化： 僅啟用必要 Web 服務擴充，移除預設虛擬目錄，自訂 404/500 錯誤頁避免資訊洩露。
• 信任網站管理： IE 安全性設定 → 信任網站區域加入常用業務網址，降低誤攔截。
• 防毒與主機防火牆： 部署伺服器版防毒（如 McAfee/SAV Corporate）+ 主機型 IPS（如 BlackICE），定時更新特徵碼。
• 資料庫與 FTP 強化： SQL Server/服務器 U 修改預設埠、停用 sa/匿名帳號、啟用強制加密連線。
• IPsec 封包篩選： 封鎖常見木馬埠（135, 137-139, 445, 4444, 3127, 4899, 7626 等）。
• 安全性基準稽核： 定期執行 secedit /analyze 對照基準模板，偵測配置漂移。

附錄：安全性模板與命令列工具

• 預設模板： setup security.inf（安裝預設）、DC security.inf（網域控制站）、hisecws.inf/dc.inf（高安全性）、rootsec.inf（根目錄權限）。
• Secedit 指令： /analyze 分析、/configure 套用、/export 匯出、/generaterollback 產生回滾模板。
• 圖形化工具： MMC → 新增/移除嵌入式管理單元 →「安全性設定與分析」/「安全性範本」。

結語

安全是過程而非產品。本手冊提供的五層防護需根據業務風險評估裁剪套用，並建立「基準建立 → 部署驗證 → 持續監控 → 定期複核」的 PDCA 循環，才能在威脅演進中維持有效防禦。