Windows Server 2003 磁碟安全權限配置完整實務指南

設計原則：最小權限與纵深防禦

NTFS 權限是檔案層級存取控制基石。本指南採用「系統盤最小化、網站目錄隔離、備份盤專屬、關鍵系統工具鎖定、非必要服務停用、登錄檔強化、網路協定精簡」七大策略。

一、系統盤 (C:) 權限基準配置

二、網站與虛擬主機目錄隔離 (範例：E:\wwwsite)

E:\
  Administrators: 完全控制 (此資料夾、子資料夾、檔案)

E:\wwwsite
  Administrators: 完全控制
  SYSTEM: 完全控制
  Service (服務帳號): 完全控制

E:\wwwsite\vhost1 (每個虛擬主機獨立目錄)
  Administrators: 完全控制
  SYSTEM: 完全控制
  vhost1 (專屬帳號): 完全控制
  WebUser 群組 (含所有 vhost*): 讀取/執行、列出資料夾、讀取

關鍵： 每個虛擬主機建立專屬帳號 (vhost1...vhostN) 加入 WebUser 群組，應用程式池身分識別設為對應帳號，實現站點間完全隔離。

三、備份專用磁碟 (F:) 僅限特定管理員

僅授予備份作業專用管理員帳號「完全控制」，移除所有其他主體（含 Administrators 群組若非備份操作者），防止勒索軟體加密備份資料。

四、關鍵系統工具鎖定 (僅 Administrators 可存取)

設定下列 C:\Windows\System32 工具權限：net.exe, net1.exe, cmd.exe, tftp.exe, netstat.exe, regedit.exe, at.exe, attrib.exe, cacls.exe, format.com → 僅 Administrators：讀取/執行。

五、IIS 攻擊面縮減

• 刪除 C:\Inetpub 預設網站目錄。
• IIS 管理員 → Web 服務擴充 → 僅啟用必要擴充（ASP、ASP.NET、CGI 等），其餘全部禁止。
• 建立陷阱帳號 IUSR_TRAP 替代預設 IUSR_，密碼複雜且無任何權限。

六、停用非必要服務 (安全性與效能雙贏)

七、登錄檔與網路協定強化

1. 登錄檔關鍵值

2. 網路層防護

• TCP/IP 內容 → 進階 → WINS →「停用 TCP/IP 上的 NetBIOS」。
• IPsec/IP 篩選封鎖高風險埠：135, 137-139, 445, 4444, 3127, 4899, 7626 等。
• 啟用 Windows 防火牆/Internet 連線防火牆，僅開放業務必要埠。

八、帳號與稽核基準

• 重新命名 Administrator，建立同名陷阱帳號（無權限、複雜密碼）。
• 建立兩組管理帳號：日常操作用一般權限帳號；特權作業用專用管理帳號，搭配 RunAs 提權。
• 稽核原則最小啟用：帳號管理 (成/敗)、登入事件 (成/敗)、物件存取 (敗)、原則變更 (成/敗)、權限使用 (敗)、系統事件 (成/敗)、目錄服務存取 (敗)、帳號登入事件 (成/敗)。
• 安全性記錄大小設 ≥100 MB，定期歸檔清理。

九、應用層與持續維運

• 防毒軟體（伺服器版）+ 主機型 IPS（如 BlackICE），每日自動更新特徵碼。
• SQL Server / Serv-U FTP：修改預設埠、停用預設帳號、強制加密傳輸。
• 建立安全性基準模板 (.inf)，排程 secedit /analyze 偵測配置漂移。
• 變更管理流程：變更前產生回滾模板 (secedit /generaterollback)，變更後驗證業務功能。

結語

本指南提供從檔案系統權限、登錄檔強化、網路協定精簡、服務最小化、帳號管理到應用層防護的完整配置基準。實施時請根據實際業務需求裁剪，並在測試環境完整驗證後再部署至生產環境。安全是動態平衡，需建立「基準→部署→監控→複核」持續改善循環。