Windows Server 2003 系統安全詳細設定：權限、服務、登錄機碼、稽核與防禦纵深

一、磁碟 NTFS 權限標準化

系統碟 (C:)

網站資料碟 (E:\wwwsite)

• 每站獨立帳號 vhost1...vhostN，歸屬 WebUsers 群組。
• E:\wwwsite\vhost1：Administrators / SYSTEM / vhost1 完全控制。

備份碟 (F:)

僅指定單一管理員帳號完全控制。

敏感系統工具：僅限 Administrators

net.exe, net1.exe, cmd.exe, tftp.exe, netstat.exe, regedit.exe,
at.exe, attrib.exe, cacls.exe, format.com

清理預設目錄與陷阱帳號

• 刪除 C:\Inetpub。
• 刪除 IIS 不必要應用程式對應。
• 建立同名 Administrator 誘餌帳號 (無權限、超長亂碼密碼)。

二、停用非必要服務

同 安全強化指南 表格：Computer Browser、Task Scheduler、Routing and Remote Access、Removable Storage、Remote Registry、Print Spooler (無印表機)、IPSEC Policy Agent、Distributed Link Tracking Client、COM+ Event System、Alerter、Error Reporting、Messenger、Telnet。

三、登錄機碼核心防護

四、網路協定與介面硬化

• 停用 TCP/IP 上的 NetBIOS (介面進階 → WINS)。
• 防火牆開放最小埠集，BlackICE 封鎖木馬常用埠：135, 138, 139, 443, 445, 4000, 4899, 7626。

五、帳號策略

• 重命名 Administrator，建立誘餌帳號。
• 雙管理帳號：日常低權限 + 需時 RunAs 提權。

六、稽核原則 (本地安全性原則 → 稽核原則)

七、防毒與補丁

• 安裝伺服器級防毒 (McAfee Enterprise) + BlackICE 防火牆，定時更新病毒碼。
• SQL Server / Serv-U：修改預設埠、強化管理密碼、移除危險擴展預存程序 (xp_cmdshell 等)。

八、本地安全性原則/群組原則修復

若設定錯誤需還原預設：

1. 建立 %SystemRoot%\Security\OldSecurity，移入所有 .log。
2. 重命名 %SystemRoot%\Security\Database\Secedit.sdb → Secedit.old。
3. MMC 添加「安全性設定與分析」單元 → 開啟資料庫 secedit.sdb → 匯入範本 Setup Security.inf → 重建完成。

九、停用 DCOM

dcomcnfg.exe → 元件服務 → 電腦 → 我的電腦 → 內容 → 預設屬性 → 取消勾選「在此電腦上啟用分散式 COM」。

結語

本文整合權限、服務、登錄、網路、稽核、防毒、補丁七大面向，構建纵深防禦體系。建議每季複查基線偏差，持續維護安全態勢。