Windows Server 2008 進階安全實作五大場景：軟體限制原則封鎖迅雷/病毒、防火牆阻擋 Ping 攻擊、代理鎖定上網權限、強制斷開遠端連線

Windows Server 2008 內建多層防護機制，本文實作五大高頻安全場景，展示如何透過軟體限制原則、進階防火牆、群組原則、IE 代理設定與遠端連線強制斷開，構建纵深防禦體系。

場景一：軟體限制原則封鎖迅雷等 P2P 下載工具

1. gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則 → 右鍵「建立軟體限制原則」
2. 雙擊「強制」 → 選「除了本機管理員以外的所有使用者」
3. 「其他規則」 → 右鍵「新增路徑規則」 → 瀏覽選取 Thunder.exe → 安全性等級設「不允許」
4. 重開機後：一般使用者無法執行迅雷，管理員不受限

場景二：軟體限制原則禁止病毒藏匿於暫存資料夾

1. 同樣進入「軟體限制原則」 → 「其他規則」 → 「新增路徑規則」
2. 瀏覽選取系統暫存資料夾 (%TEMP%、%TMP%、C:\Windows\Temp) → 安全性等級「不允許」
3. 效果：任何嘗試在暫存資料夾執行的程式 (含病毒釋出體) 將被攔截

場景三：進階防火牆阻擋外部 Ping 洪水攻擊 (ICMPv4)

1. gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 進階安全性 Windows 防火牆 → 進階安全性 Windows 防火牆 - 本機群組原則物件
2. 「輸入規則」 → 新增規則 → 「自訂」 → 所有程式 → 協議類型選「ICMPv4」
3. 動作選「封鎖連線」 → 套用所有設定檔 → 命名「封鎖外部 ICMPv4」
4. 補充：登錄編輯器鎖定防火牆規則防竄改
   HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules → 權限 → Everyone「完整控制」設「拒絕」

場景四：IE 代理鎖定 — 一般使用者無法上網，管理員正常

1. 以一般帳號登入 → IE → 工具 → 網際網路選項 → 連線 → 區域網路設定 → 勾選「使用 Proxy」→ 輸入無效位址/埠
2. 登出，以管理員登入 → gpedit.msc → 電腦設定 → 系統管理範本 → Windows 元件 → Internet Explorer → 網際網路控制台 → 「停用連線頁面」 → 已啟用
3. 結果：一般使用者 IE 走失效 Proxy 無法瀏覽；管理員 IE 直接連線 (不經 Proxy)

場景五：強制斷開所有遠端連線恢復系統資源

1. gpedit.msc → 使用者設定 → 系統管理範本 → 網路 → 網路連線 → 「刪除所有使用者遠端存取連線」 → 已啟用
2. 套用後系統自動切斷所有 RAS/VPN/RDP 連線，釋放被佔用資源

安全性提醒：
- 軟體限制原則僅阻擋已知路徑，建議搭配 AppLocker (Server 2008 R2/7 以上) 或白名單機制
- 防火牆規則鎖定登錄後，連管理員也無法透過 GUI 修改，需透過登錄編輯器調整權限才能變更
- 代理鎖定屬「安全性透過不明確性」，熟悉系統者可繞過，建議搭配網路層存取控制 (NAC/802.1X)