Windows Server 2003 安全強化實戰：角色導向、物理安全、基線建立與 SCW 自動化

Windows Server 2003 雖較 NT/2000 預設更安全，但仍需依角色、環境進行深度強化。本文提出「理解角色 → 物理安全 → 建立基線 → SCW 自動化」四階段方法論，並示範檔案伺服器角色的具體強化步驟。

階段一：理解伺服器角色 — 安全需求隨角色而異

**原則**：一台伺服器**只承擔單一主要角色**，避免服務耦合擴大攻擊面。若資源有限需合併，請使用虛擬化隔離。

階段二：物理安全 — 所有強化的基石

• 伺服器置於**上鎖機房/機櫃**，僅授權人員可物理接觸。
• BIOS/UEFI 設定**開機密碼**、停用 USB/光碟/網路開機 (僅啟用硬碟)。
• 機箱機殼偵測開關、環境監控 (溫濕度、水浸、門禁)。
• 備份媒體 (帶庫/磁帶/硬碟) 離站儲存、加密、定期驗證還原。

階段三：建立安全基線 — 文件化、可稽核、可部署

1. 定義各角色基線文件：
   Baseline-DC.inf、Baseline-FileServer.inf、Baseline-IIS.inf、Baseline-TS.inf。
2. 使用內建安全性範本 (%SystemRoot%\Security\Templates\*.inf) 為起點修改：
   hisecdc.inf (DC 高安全)、hisecws.inf (工作站高安全)、securews.inf (工作站增強)。
3. 基線內容涵蓋：
   帳戶原則 (密碼長度/複雜度/歷史/鎖定)
   稽核原則 (登入/物件存取/原則變更/特權使用/程序追蹤)
   使用者權利指派 (拒絕網路登入/批次登入/服務登入)
   安全性選項 (重命名 Administrator/Guest、限制匿名、關機清除分頁檔)
   事件記錄 (大小/保留/限制訪客)
   服務啟動類型 (停用非必要服務)
   登錄值/檔案系統/登錄 ACL (自訂強化)

階段四：SCW (安全性設定精靈) 自動化部署與驗證

1. 開啟 scw (命令列或「系統管理工具」→「安全性設定精靈」)。
2. 「建立新原則」→ 選擇角色檢測結果 (或手動勾選角色/用戶端功能/管理功能/安全性原則)。
3. SCW 自動分析相依服務、防火牆規則、稽核設定、登錄值，產生 .xml 原則檔。
4. 「套用原則」→ 立即套用或匯出 .inf 透過群組原則 (GPO) 大量部署。
5. 「滾回原則」功能可在套用後出現相容性問題時快速還原。

驗證與持續合規

• MBSA (Microsoft Baseline Security Analyzer)：掃描缺失修補程式、弱安全性設定。
• SCM (Security Compliance Manager)：匯入基線、比較實際設定、產生差異報表、輸出 GPO/SCAP/DSDCM 格式。
• PowerShell Desired State Configuration (DSC)：宣告式配置、持續修正偏移。
• 定期滲透測試/紅隊演練** 驗證防禦有效性。