Windows Server 2008 安全防護五大實戰技巧：軟體限制原則與進階防火牆應用

Windows Server 2008 內建軟體限制原則 (SRP) 與進階安全性防火牆，無需第三方軟體即可實現應用管控、病毒阻隔、攻擊緩解。本文匯總五大實戰場景配置指南。

1. 限制迅雷等 P2T 下載工具 (軟體限制原則)

1. gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則 → 右鍵「建立軟體限制原則」。
2. 雙擊「強制」→ 選「除本機系統管理員以外的所有使用者」→ 確定。
3. 右鍵「其他規則」→「新增路徑規則」→ 瀏覽選取迅雷執行檔 (Thunder.exe) → 安全性等級設「不允許」→ 確定。
4. 重啟系統，普通使用者無法執行迅雷，管理員不受影響。

2. 封鎖病毒藏身於暫存資料夾 (軟體限制原則)

1. 同樣在「其他規則」→「新增路徑規則」。
2. 路徑設為 %TEMP% 或 %SystemRoot%\Temp → 安全性等級「不允許」→ 確定。
3. 病毒無法在暫存資料夾落地執行，配合防毒軟體形成雙重防線。

3. 禁止外部非法 Ping 攻擊 (進階防火牆)

1. gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 進階安全性 Windows 防火牆 → 進階安全性 Windows 防火牆 - 本機群組原則物件 → 輸入規則。
2. 右鍵「新增規則」→ 自訂 → 所有程式 → 協定類型 ICMPv4 → 勾選「封鎖連線」→ 套用至所有設定檔 → 命名「封鎖外部 ICMP Echo Request」。

進階防護： 為防攻擊者竄改防火牆規則，可透過登錄編輯器設定 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules 權限，將 Everyone 完全控制設為「拒絕」。

4. 限制普通使用者上網不影響管理員 (群組原則 + IE 代理)

1. 以普通帳號登入 → IE「網際網路選項」→「連線」→「區域網路設定」→ 勾選「使用 Proxy 伺服器」→ 填入無效位址/連接埠 → 確定。
2. 切換管理員帳號登入 → gpedit.msc → 電腦設定 → 管理範本 → Windows 元件 → Internet Explorer → Internet 控制台 → 啟用「停用 [連線] 索引標籤」。
3. 結果：普通使用者 IE 強制走失效 Proxy 無法上網；管理員 IE 正常直連，不受 Proxy 影響。

5. 緊急斷開所有遠端連線恢復系統資源 (群組原則)

1. gpedit.msc → 使用者設定 → 管理範本 → 網路 → 網路連線。
2. 啟用「刪除所有使用者的遠端存取連線」。
3. 系統將強制斷開所有 RAS/VPN/RDP 連線，釋放資源應對緊急情況。

總結： SRP 適合執行檔層面管控 (白/黑名單)；進階防火牆適合網路層面管控 (連接埠/協定/IP)；群組原則適合行為/介面層面管控。三者組合構建零成本纵深防禦體系。