打造 Windows Server 2003 安全堡壘：重命名管理員、誘餌帳號、封鎖預設共享與群組原則自動化

核心理念：預設即安全，但仍需「主動防禦」

Windows Server 2003 首次採用「預設安全」設計哲學 (關閉非必要服務、預設強密碼、IE 增強安全性)，但實戰中仍存在可被利用的預設配置：Administrator 帳號名稱固定、預設管理共享 (C$, ADMIN$, IPC$) 全開、無登入稽核。本文提供四大硬化實戰模組，透過群組原則實現開機自動化套用。

模組一：管理員帳號重命名與誘餌帳號部署

1. 重命名內建 Administrator

路徑：本地安全性原則 → 本地原則 → 安全性選項
項目：「帳號: 重新命名系統管理員帳號」
新名稱：svc_local_admin_01 (無特徵、非 Admin/Root/Administrator 變體)

2. 建立誘餌 Administrator 帳號

1. 新建本機使用者 Administrator。
2. 群組隸屬：僅屬於 Guests (最低權限)。
3. 密碼：20+ 字元高熵值亂碼 (記事本亂打 → 複製貼上)。
4. 啟用「帳號鎖定原則」：錯誤 5 次鎖定 30 分鐘。
5. 配置登入腳本 (GPO) 記錄嘗試登入此帳號的 IP、時間，並發送郵件警報。

效果： 自動化掃描腳本將優先攻擊 "Administrator"，浪費時間並暴露意圖，真實管理帳號隱身。

模組二：群組原則自動刪除預設管理共享

1. 建立啟動腳本 DelDefaultShares.bat

@echo off
net share C$ /delete /y
net share D$ /delete /y
net share E$ /delete /y
net share F$ /delete /y
net share ADMIN$ /delete /y
net share IPC$ /delete /y
REM 依實際磁碟機代號增減

2. 部署至群組原則

1. 將腳本放置：
   %SystemRoot%\System32\GroupPolicy\User\Scripts\Logon\DelDefaultShares.bat
2. 執行 gpedit.msc → 使用者設定 → Windows 設定 → 指令碼 (登入/登出) → 登入 → 新增 → 指令碼名稱輸入 DelDefaultShares.bat。
3. 執行 gpupdate /force 或重開機驗證：net share 應僅顯示業務必要共享。

注意： 若伺服器需遠端部署軟體 (如 SMS/SCCM)、遠端登錄管理，請保留 ADMIN$ 或改用 WinRM/PowerShell Remoting 替代。

模組三：強化本地安全性選項 (GPO 統一下發)

模組四：關鍵服務帳號與稽核基線

1. 服務帳號專用化：IIS 應用程式集區 → IIS_AppPool_SiteA；SQL Server → SQL_SVC_Prod；備份代理 → BKP_Agent。全部不加入 Administrators，僅授予服務目錄必要 NTFS 權限。
2. 稽核原則：
   成功/失敗：帳號登入事件、帳號管理、目錄服務存取、物件存取 (失敗)、原則變更、特權使用、程序追蹤、系統事件。
   日誌大小：安全性日誌 ≥ 128 MB，覆寫模式「依天數覆寫 (90 天)」。
3. 防火牆：啟用「進階安全性 Windows 防火牆」，入站/出站預設封鎖，僅開放 TCP 80/443 (Web)、TCP 3389/自訂 (RDP, 限管理網段)、TCP 1433 (SQL, 僅限應用伺服器 IP)。

結語： 透過「重命名 + 誘餌」雙重迷惑攻擊者、「啟動腳本」自動化移除預設共享、「GPO」統一套用安全性選項與稽核基線、「服務帳號專用化」限制提權半徑，Windows Server 2003 可從「預設安全」進化為「實戰安全」的堡壘等級主機。