Windows Server 2003 安全性強化四大核心秘技：口令、共享、自動播放、登錄存取

秘技一：強式口令原則與帳號偽裝

• 長度 ≥8 字元，包含大小寫字母、數字、特殊符號 (如 psp53,@pq、skdfksadf10@)。
• 避免生日、電話、姓名等個資組合。
• 重新命名 Administrator (本地安全性原則 → 安全性選項 →「帳號：重新命名系統管理員帳號」) 為普通名稱 (如 guestone)。
• 建立同名 Administrator 陷阱帳號：最低權限 (Guests 群組)、15+ 字元複雜密碼，啟用稽核監控登入嘗試。

秘技二：徹底移除預設管理共享與封鎖 IPC$

1. 開機腳本自動刪除共享 (群組原則部署)

@echo off
net share C$ /delete
net share D$ /delete
net share E$ /delete
net share ADMIN$ /delete
net share IPC$ /delete
REM 依實際磁碟代號調整

儲存為 delshare.bat → 群組原則 → 使用者設定 → Windows 設定 → 指令碼 (登入/登出) → 登入 → 新增腳本。

2. 登錄檔封鎖 IPC$ 空連線

HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous = 1 (DWORD)。

效果：拒絕未認證的 net use \\IP\IPC$ "" /u:"" 空連線，防止枚舉共享、使用者清單、原則等資訊。

秘技三：全盤關閉自動播放防範惡意程式自動執行

1. gpedit.msc → 電腦設定 → 系統管理範本 → 系統。
2. 雙擊「關閉自動播放」→「已啟用」。
3. 「關閉自動播放」下拉選單選 「所有磁碟機」 → 確定。

原理： 自動播放不僅影響光碟，USB 隨身碟、外接硬碟、網路對應磁碟機 皆在範圍內。惡意程式常利用 autorun.inf 配合自動播放在插入瞬間執行，全盤關閉可斷絕此攻擊向量。

秘技四：清空遠端可存取登錄路徑防資訊洩露

1. 群組原則 → 電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 安全性選項。
2. 找到「網路存取：可遠端存取的登錄機碼」與「網路存取：可遠端存取的登錄機碼和子路徑」。
3. 兩者均設為 空白 → 確定。

效果： 遠端登錄連線 (reg connect、遠端 Registry 編輯器、掃描工具) 無法讀取任何機碼，防止攻擊者偵測安裝軟體、修補程式、系統配置等偵察資訊。

持續強化清單 (超越四大秘技)

• 稽核原則最小啟用： 登入事件、帳號管理、原則變更 (成功/失敗)，物件存取、權限使用 (失敗)。
• 服務最小化： 停用 Computer Browser、Remote Registry、Telnet、Messenger、Error Reporting 等非必要服務。
• IPsec/TCP 篩選： 僅開放業務必要埠 (80, 443, 25, 21 等)，封鎖 135, 139, 445, 4444, 3127, 4899 等高風險埠。
• 防毒/主機 IPS： 部署伺服器版防毒 + 行為分析型 IPS (如 BlackICE)，每日自動更新。
• 基準合規檢查： 使用 secedit /analyze 對照 securews.inf 定期掃描配置漂移。

結語

四大秘技 (強式口令+帳號偽裝、移除預設共享+封鎖 IPC$、關閉自動播放、清空遠端登錄路徑) 解決了 Windows Server 2003 最關鍵的四類預設風險：認證暴力破解、匿名資訊洩露、可移動媒體攻擊、遠端偵察。配合持續強化清單，可構建符合基準合規的伺服器安全態勢。