背景
Windows 2000/2003 憑藉優異網路功能廣泛用於網站伺服器，但多用戶特性也使其成為駭客隱藏身分、發動攻擊的跳板。本文提出四大基礎防護策略，構建纵深防禦基線。
策略一：建立乾淨基線備份，確保可驗證、可恢復
- 時機： 完成作業系統安裝、修補、基礎配置、應用部署、通過測試後 → 立即完整備份
- 媒體： 唯讀光碟 (CD-R/DVD-R) 或離線不可變存儲
- 驗證機制： 定期 (每日/每週) 比對線上系統與基線光碟 (檔案雜湊、大小、時間戳、權限)
- 進階： 將光碟設為可開機，將驗證腳本納入開機流程 → 能從光碟開機即代表系統未被竄改
- 事件： 發現偏差 → 立即隔離調查 / 從基線恢復關鍵系統檔
策略二：強制 NTFS 檔案系統，落實最小權限原則
- 安裝選「自訂」，僅安裝必要元件/服務/協議 → 減少攻擊面
- 分區格式化為 NTFS：
- 檔案/資料夾級 ACL (存取控制清單) 精細控制讀寫執行權限
- 支援 EFS (加密檔案系統) 透明加密敏感資料
- 磁碟配額限制每用戶磁碟用量
- 稽核追蹤檔案存取事件
- 移除不必要的預設共享 (Admin$, C$, IPC$ 等) 或限制存取
策略三：善用 EFS 加密保護靜態資料機密性
- 資源管理器 → 右鍵檔案/資料夾 → 內容 → 一般 → 進階
- 勾選「加密內容以確保資料安全」
- 資料夾加密會自動遞歸新建檔案
- 關鍵管理： 備份 EFS 憑證與私鑰 (
CIPHER /X 或憑證管理員) → 離線保管，避免使用者遺失金鑰導致資料永久無法解密
策略四：清理預設共享權限，封堵匿名枚舉通道
- 新建共享預設加入 Everyone 群組 = 完全控制 → 極度危險
- 立即動作： 建立共享後 → 內容 → 共享權限 → 移除 Everyone / 或改為「讀取」
- NTFS 權限疊加共享權限 → 實際生效為兩者交集，雙重保險
- 定期稽核所有共享權限設定
進階防護清單 (超越基線)
| 領域 | 措施 |
|---|
| 修補管理 | WSUS/自動更新 → 關鍵修補 48hr 內部署、定期離線掃描 |
| 帳號安全 | 重命名 Administrator、強制複雜密碼、鎖定門檻、停用 Guest、服務帳號最小權限 |
| 稽核原則 | 登入/登出、物件存取、原則變更、特權使用 → 成功/失敗皆記錄、日誌轉發至 SIEM |
| 網路防護 | IPSec 域隔離、防火牆預設拒絕、僅開放業務埠、封鎖 139/445 對外 |
| 服務精簡 | 停用/設為手動：錯誤報告、遠端登錄、Telnet、Simple TCP/IP 等非必要服務 |
| 登錄加固 | RestrictAnonymous=1 禁止匿名枚舉、AutoShareServer=0 禁用行政共享 |
| 入侵偵測 | 部署 HIDS (檔案完整性監控)、NIDS (流量異常分析) |
| 備份策略 | 3-2-1 原則：3 份備份、2 種媒體、1 份異地離線、定期演練恢復 |
結語
安全非一蹴而就，而是持續的過程。這四大策略 (基線備份、NTFS 權限、EFS 加密、共享清理) 構成 Windows 伺服器防護的「內功心法」。配合修補、稽核、網路隔離、精簡服務等「招式」，方能在惡劣網路環境中立於不敗之地。建議每季進行一次滲透測試與合規稽核，持續提升防禦姿態。
