Windows Server 2003 SP1 安全性設定精靈 (SCW) 打造鋼鐵級伺服器防護

Windows Server 2003 SP1 引入安全性設定精靈 (SCW)，以嚮導化流程將複雜的安全性強化簡化為六大階段，實現「最小權限、最小介面、最小服務」的防護原則。

安裝 SCW 元件

「控制台\新增移除程式\新增移除 Windows 元件」→ 勾選「安全性設定精靈」→ 安裝。預設原則儲存於 C:\WINDOWS\security\msscw\Policies (XML 格式)，可建立多組原則但一次僅能套用一組。

六階段安全性原則建立流程

1. 角色型服務配置： 僅勾選伺服器實際扮演的角色 (檔案/列印/DNS/DHCP 伺服器等)、必要的用戶端功能 (Microsoft 網路用戶端、DHCP 用戶端等)、管理選項與額外服務。原則：僅啟用必要項目，多餘角色增加攻擊面。 未列出服務建議「不變更啟用模式」。
2. 網路安全性 (防火牆)： 依角色自動開放對應埠 (FTP 20/21、HTTP 80 等)，遵循「最小化」原則，僅開放必須埠。
3. 登錄設定強化： 嚴格設定「要求 SMB 安全性簽章」、「輸出/輸入驗證方法」，免手動編輯登錄即可限制非法存取。
4. 稽核原則啟用： 建議「稽核成功的作業」，避免過量記錄影響效能；特殊需求可選「稽核成功與失敗」。
5. IIS 安全性強化： 啟用必要的 Web 服務擴充、保留必要虛擬目錄、設定匿名使用者寫入權限。未安裝 IIS 則略過此階段。
6. 儲存與套用： 命名原則檔案 → 選擇「立即套用」生效。

SCW 將繁瑣的安全性配置標準化、自動化、可重複部署，是 Win2003 SP1 後強化伺服器防護的首選工具。