Windows Server 2003 安全強化完整指南：七大策略與實作細節

Windows Server 2003 作為經典伺服器平台，若仍需維運務必實施深度防禦。本文整理七大安全策略：服務精簡、磁碟權限、匿名連線封鎖、連接埠管控、預設共享移除、IIS 強化、登錄與元件防護。

策略一：關閉非必要服務

服務管理器 (services.msc) 停用並設為「手動」或「停用」：

• Computer Browser、Task Scheduler、Routing and Remote Access
• Removable Storage、Remote Registry、Print Spooler (無印表機)
• IPSec Policy Agent、Distributed Link Tracking Client
• COM+ Event System、Alerter、Error Reporting Service
• Messenger、Telnet（極度危險，嚴禁開啟）

原則：不明用途服務先停用，業務驗證無影響再永久停用。

策略二：磁碟權限最小化

• 系統碟 (C:) 僅授予 Administrators、SYSTEM 完整控制
• 資料碟同樣原則，移除 Everyone、Users 預設權限
• 例外：Windows 目錄需保留 Users 讀取/執行，否則 ASP/ASP.NET 應用程式無法運作
• 第三方服務帳號需個別評估最小權限

策略三：禁止匿名連線 (Null Session)

登錄：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
值：RestrictAnonymous (REG_DWORD) = 1
效果：拒絕無認證的 SID/帳號枚舉、共享列舉、登錄存取

策略四：連接埠管控與 TCP/IP 篩選

1. 本地連線 → 內容 → TCP/IP → 進階 → 選項 → TCP/IP 篩選 → 內容
2. 啟用「僅允許」模式，添加業務必要埠：80, 443, 21, 3389, 1433, 3306
3. 所有其他 TCP/UDP 埠自動封鎖

修改遠端桌面預設埠 3389

1. regedit 搜尋 3389 (十進位)
2. 兩處修改：
   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp\PortNumber
   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber
3. 改為高位埠 (如 54321)，十六進位自動轉換
4. 重新開機生效，防火牆同步開放新埠

停用 NetBIOS over TCP/IP

TCP/IP 進階 → WINS → 「停用 TCP/IP 上的 NetBIOS」

策略五：移除預設管理共享 (C$, D$, ADMIN$, IPC$)

登入腳本法 (GPO)：

@echo off
net share C$ /delete
net share D$ /delete
net share E$ /delete
net share F$ /delete
net share ADMIN$ /delete

儲存為 delshare.bat，部署至 %SystemRoot%\System32\GroupPolicy\User\Scripts\Logon，GPO → 使用者設定 → Windows 設定 → 指令碼 → 登入 → 添加。

登錄永久停用法：

• 停用磁碟共享：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareServer = 0
• 停用 ADMIN$：同路徑 AutoShareWks = 0
• 停用 IPC$：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous = 1

策略六：IIS 6.0 強化設定

1. 不使用預設網站，或將網站根目錄移至非系統碟
2. 刪除 Inetpub 目錄與預設虛擬目錄：_vti_bin, IISSamples, Scripts, IISHelp, IISAdmin, MSADC
3. 移除不必要擴展名對應：.shtml, .shtm, .stm
4. 更改 IIS 日誌路徑至非系統碟
5. 安裝 UrlScan 3.1 (ISAPI 篩選器) 攔截惡意 HTTP 請求
6. ASP.NET 應用啟用 debug 動詞於 UrlScan 白名單

策略七：登錄與 COM 元件防護

隱藏重要資料夾

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue = 0

防禦網路攻擊登錄值

• SYN Flood：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\SynAttackProtect = 2
• ICMP 路由通告：PerformRouterDiscovery = 0
• ICMP 重導向：EnableICMPRedirects = 0
• IGMP 協定：IGMPLevel = 0

高風險 COM 元件移除/重命名

腳本執行元件 (wshom.ocx、shell32.dll 相關 CLSID)：

• 批次檔解除註冊並刪除 (2000/2003 路徑不同)
• 或登錄重命名 CLSID 與 ProgID (如 shell.application_nohack)，保留管理員自用

FileSystemObject (scrrun.dll)：登錄重命名或 regsvr32 /u 解除註冊，cacls 拒絕 Guests 存取

WScript.Shell / Shell.Application：同樣登錄重命名或解除註冊，cacls 保護 shell32.dll

cmd.exe：cacls cmd.exe /e /d Guests 禁止來賓執行命令列

實施建議

1. 每項變更後立即測試業務功能，問題即刻回滾
2. 建立基準線映像，新伺服器套用基準線再微調
3. 定期掃描開放埠、執行程序、啟動項與排程工作
4. 記錄所有變更，納入變更管理流程