Windows Server 2008 進階安全性設定實戰：軟體限制、防火牆、遠端存取與稽核強化

案例一：封鎖迅雷等特定應用程式 (軟體限制原則)

1. gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則 → 右鍵「新增軟體限制原則」。
2. 雙擊「強制執行」→ 選擇「本機管理員以外的所有使用者」→ 確定。
3. 「其他規則」→ 右鍵「新增路徑規則」→ 瀏覽選取 Thunder.exe (迅雷主程式) → 安全等級「不允許」→ 確定。
4. 重開機或 gpupdate /force，一般使用者無法執行迅雷，管理員不受影響。

案例二：防止惡意程式藏匿暫存資料夾

1. 同樣進入「軟體限制原則」→「其他規則」→「新增路徑規則」。
2. 路徑輸入 %TEMP%、%TMP%、C:\Windows\Temp 等暫存資料夾 → 安全等級「不允許」→ 確定。

案例三：封鎖外部 ICMPv4 (Ping) 攻擊

1. wf.msc → 「進階安全性 Windows 防火牆」→「輸入規則」→「新增規則」。
2. 規則類型「自訂」→ 所有程式 → 協定類型「ICMPv4」→ 動作「封鎖連線」→ 套用設定檔全選 → 命名「Block Inbound ICMPv4」→ 完成。

案例四：防火牆規則防竄改 (登錄 ACL 鎖定)

1. regedit → HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules。
2. 右鍵「權限」→「新增」→ 輸入 Everyone → 核取「完全控制」→ 設為「拒絕」→ 確定。
   (注意：此操作將導致所有使用者含管理員無法透過 GUI 修改防火牆規則，僅能透過 netsh advfirewall 指令或系統帳號修改。)

案例五：限制一般使用者上網 (失效 Proxy + 群組原則)

1. 一般使用者登入 → IE → 網際網路選項 → 連線 → 區域網路設定 → 勾選「為 LAN 使用 Proxy 伺服器」→ 輸入無效位址/連接埠 → 確定。
2. 登出，管理員登入 → gpedit.msc → 電腦設定 → 系統管理範本 → Windows 元件 → Internet Explorer → 網際網路控制台 → 「停用 [連線] 頁」→ 已啟用 → 確定。
3. 結果：一般使用者 IE 強制走失效 Proxy 無法上網；管理員 IE 隱藏「連線」頁，直接連線不經 Proxy。

案例六：緊急斷開所有遠端桌面連線

1. gpedit.msc → 使用者設定 → 系統管理範本 → 網路 → 網路連線 → 「刪除所有使用者遠端存取連線」→ 已啟用 → 確定。
2. 配合 gpupdate /force 立即生效，所有 RDP 階段被強制中斷，恢復伺服器資源。

案例七：強化帳號與稽核基準 (一次性設定)

• 重新命名 Administrator、Guest 帳號。
• 密碼原則：長度 ≥ 8、複雜性啟用、最長使用期限 90 天、歷程記憶 24 代。
• 帳號鎖定：閾值 5 次、鎖定時間 10 分鐘、重設計數器 10 分鐘。
• 稽核原則：全部「成功/失敗」 (帳號登入、帳號管理、目錄服務存取、物件存取、原則變更、特權使用、程序追蹤、系統事件)。
• 互動式登入：不顯示上次使用者名稱 → 已啟用。
• 網路存取：可遠端存取的登錄機碼/路徑 → 停用。
• 列印服務：停用 Web 列印、AD 自動發布印表機。

結語

Windows Server 2008 提供豐富的群組原則與進階防火牆工具，透過「軟體限制原則」控制應用程式執行、「防火牆進階規則」實現網路微隔離、「登錄 ACL」保護安全設定、「Proxy 誘導 + 群組原則」差異化上網管控、「遠端連線強制中斷」應急處理，配合完善的帳號/稽核基準，可構建深度防禦的伺服器安全基線。建議將上述設定封裝為 GPO 套用至 OU，並納入基線合規定期稽核。