Windows Server 2003 安全性設定與分析工具 (SCA) 完整操作手冊

工具架構：三大核心組件

• 安全性範本 (.inf)： 定義帳號原則、本地原則、事件記錄、受限群組、系統服務、登錄/檔案系統權限等所有安全屬性的文字型範本。
• 安全性設定與分析 (SCA)： MMC 嵌入式管理單元，支援將範本匯入資料庫、分析目前系統與基準差異、套用配置修正差異。
• Secedit 命令列： 自動化批次操作、排程分析、遠端部署、回滾模板產生。

預設安全性範本總覽

圖形化介面 (MMC) 完整操作流程

1. 啟動 MMC 並載入嵌入式管理單元： mmc → 檔案 → 新增/移除嵌入式管理單元 → 新增 →「安全性設定與分析」。
2. 建立/開啟資料庫： 右鍵「安全性設定與分析」→ 開啟資料庫 → 輸入檔名（如 baseline.sdb）→ 開啟。
3. 匯入基準範本： 彈出「匯入範本」對話框 → 選擇範本（建議 securews.inf 起始） → 勾選「匯入前清除資料庫」 → 開啟。
4. 執行分析： 右鍵 →「立即分析電腦」→ 指定錯誤記錄檔路徑 → 確定。
5. 檢視差異報告： 展開節點，右側欄位：✔ 綠色勾號=符合基準；✘ 紅色叉號=不符合。雙擊項目可見「目前系統值」與「基準建議值」對照。
6. 調整與重新分析： 對不符合項目右鍵 → 內容 → 修改為建議值或根據業務需求調整 → 重複步驟 4-5 直至滿意。
7. 套用配置： 右鍵 →「立即設定電腦」→ 指定記錄檔 → 確定。完成後可另存資料庫備份。

命令列自動化

REM 分析並記錄
secedit /analyze /db baseline.sdb /cfg securews.inf /log analysis.log

REM 套用配置
secedit /configure /db baseline.sdb /cfg securews.inf /log apply.log /quiet

REM 產生回滾模板（套用前建議執行）
secedit /generaterollback /db baseline.sdb /cfg rollback.inf

REM 驗證範本語法
secedit /validate secustom.inf

進階應用場景

1. 多伺服器基準部署

• 建立黃金範本 → 匯入 GPO（電腦設定 → Windows 設定 → 安全性設定 → 匯入原則） → 連結至目標 OU。
• 或使用 Secedit 搭配 psexec/群組原則啟動腳本遠端批次套用。

2. 持續合規監控

• 排程工作每日執行 secedit /analyze，以腳本解析記錄檔，發現差異發送郵件告警。
• 整合至 Nagios/Zabbix 等監控系統自訂檢查項目。

3. 變更管理與回滾

• 重大變更前執行 /generaterollback，變更失敗時套用回滾模板快速恢復。
• 保留歷代 .sdb 與 .inf 供審計追溯。

關鍵注意事項

• 範本選擇原則： 過低漏報風險，過高導致業務中斷。建議從 securews.inf 起始，根據應用相容性逐步調整，而非直接套用 hisecws.inf。
• 人為因素： 技術控制無法防範社交工程、密碼重複使用、實體存取等風險，需配合安全意識訓練。
• 效能影響： 套用高安全性範本可能增加登入驗證延遲、SMB 簽署 CPU 開銷，需壓力測試驗證。
• 適用範圍： Windows 2000/XP/2003 通用，Vista/2008 後改用 SCW 與進階稽核，但基本原理相通。

結語

安全性設定與分析 (SCA) 搭配 Secedit 命令列，提供從手動單機配置到自動化企業級基準部署的完整工具鏈。核心價值在於將「安全基準」標準化、版本化、可驗證、可回滾，是建立可重複、可稽核安全作業流程的基石。