Windows Server 2008 進階安全加固五大實戰策略

Windows Server 2008 內建多層防護機制，善用「軟體限制原則」與「進階安全性 Windows 防火牆」即可構建企業級防線。以下五大策略針對常見風險場景，提供可直接落地的操作指引。

策略一：封鎖 Thunder (迅雷) 等高頻寬下載工具

透過「軟體限制原則」建立路徑規則，將 Thunder.exe 設為「不允許」執行，僅影響一般使用者，管理員仍可正常使用。

1. gpedit.msc →「電腦設定」→「Windows 設定」→「安全性設定」→「軟體限制原則」→右鍵「建立軟體限制原則」。
2. 「強制」→選「所有使用者，本機系統管理員除外」。
3. 「其他規則」→右鍵「新增路徑規則」→瀏覽選取 Thunder.exe → 安全等級設「不允許」。
4. 重開機生效。

策略二：阻斷惡意程式藏匿於暫存資料夾

同樣在「軟體限制原則」→「其他規則」新增路徑規則，指向 %TEMP% 或 C:\Windows\Temp，安全等級設「不允許」。惡意碼無法在暫存區落地執行，大幅降低駐留風險。

策略三：防火牆封鎖外部 ICMP (Ping) 洪水攻擊

1. gpedit.msc →「電腦設定」→「Windows 設定」→「安全性設定」→「進階安全性 Windows 防火牆」→「輸入規則」→「新增規則」。
2. 規則類型「自訂」→「所有程式」→通訊協定選「ICMPv4」→動作「封鎖連線」→套用至所有設定檔→命名「Block Inbound Ping」。
3. 重開機生效。

進階防篡改： 登錄檔 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules 授權 Everyone「完全控制」設為「拒絕」，防止駭客修改規則。

策略四：分權控管上網存取（一般用戶走失效 Proxy，管理員直連）

1. 一般帳號登入 IE →「網際網路選項」→「連線」→「區域網路設定」→勾選「使用 Proxy」→填入無效位址/埠。
2. 管理員登入 → gpedit.msc →「電腦設定」→「系統管理範本」→「Windows 元件」→「Internet Explorer」→「網際網路控制台」→啟用「停用 [連線] 頁面」。
3. 結果：一般用戶 IE 強制走失效 Proxy 無法上網；管理員 IE 隱藏連線頁，直連生效。

策略五：一鍵切斷所有遠端桌面連線，緊急回復資源

gpedit.msc →「使用者設定」→「系統管理範本」→「網路」→「網路連線」→啟用「刪除所有使用者遠端存取連線」。發現伺服器異常時執行 gpupdate /force 即可強制斷開所有 RDP 連線，釋放 CPU/記憶體。

部署建議

• 先在測試環境驗證規則不誤傷業務應用。
• 配合稽核原則記錄封鎖事件，定期檢視日誌調整規則。
• 重要伺服器建議再疊加 HIPS/EDR 與網路微隔離。