打造安全 Windows Server 2008 九大關鍵步驟：離線安裝、NTFS、SCW、BIOS、IPSec、UrlScan、稽核、基線、最小權限

1. 隔離網路環境下離線安裝

新伺服器安裝期間**完全斷網**，杜絕安裝過程被攻擊/植入惡意碼。

2. 全磁碟 NTFS 格式化

FAT/FAT32 無 ACL、無日誌、無配額、無壓縮、無 EFS。**所有分區必須為原生 NTFS**（非 convert.exe 轉換）。

3. 安裝 SP2 + 所有熱修補套件

修補已知 DoS、遠端程式碼執行、XSS 等漏洞。

4. 安裝並執行安全性設定精靈 (SCW)

• 控制台 → 新增/移除程式 → 新增/移除 Windows 元件 → 勾選「安全性設定精靈」。
• SCW **不安裝角色**，而是**偵測埠口/服務、註冊表、稽核設定**，依伺服器角色產出 XML 安全性原則。
• 可套用至多台同角色伺服器，支援回滾。
• 自動依應用程式需求開啟/關閉防火牆埠口（應用關閉 → 埠口自動封鎖）。
• 網路安全、SMB 簽名、外向驗證等進階設定整合在內。
• 稽核原則預設僅記錄成功，**SCW 建議成功+失敗雙記錄**。

5. BIOS 開機安全

• 開機按 F2 進 BIOS。
• Boot Order：第一優先 **Internal HDD**，移除 CD/USB/Network。
• Security：設定 **Hard Disk Password**（Primary/Administrative/Hard 三選一）防止未授權存取磁碟資料。
• 關閉光碟/USB 自動執行（註冊檔 Cdrom\AutoRun=0）。

6. 強化登入認證

• 重命名 Administrator、設強密碼、停用 Guest。
• 避免使用預設/空白密碼。
• 評估智慧卡/Token/生物辨識/OTP 多因子驗證。

7. IIS 鎖定與 UrlScan

• 非預設網站、網站目錄非系統碟、刪除 Inetpub 及預設虛擬目錄。
• 移除不必要副檔名對應（.shtml/.stm 等）。
• 安裝 **UrlScan 2.5**（ISAPI 篩選器），預設規則拒絕可疑 HTTP 請求。
  ASP.NET 需在 UrlScan.ini [AllowVerbs] 加 DEBUG；傳統 ASP 需在 [DenyExtensions] 移除 .asp；非 ASCII 設 AllowHighBitCharacters=1。修改後 iisreset。

8. SQL Server 強化

• sysadmin ≤ 2 人、本機用 Windows 驗證、停用/強化 sa。
• 刪除高風險擴充預存程序：xp_cmdshell、註冊表類 xp_reg*。
• 隱藏執行個體、修改 1433 埠。

9. 純伺服器部署 IPSec 白名單模式

• 建立「Web 篩選器」：任何 IP → 我的 IP → TCP 80 → 動作「允許」。
• 建立「所有入站」：任何 IP → 我的 IP → 所有協定 → 動作「封鎖」。
• 指派原則，僅開放 TCP 80，其餘全阻擋。

變更管理鐵律

**每項變更後立即測試**，確認服務正常再進行下一項；避免一次改動過多導致難以排查。

基線記錄

• 記錄目前處理序清單（Process Explorer/工作管理員）。
• 記錄目前開放埠口（netstat -an/TCPView）。
• 定期比對，異常即刻調查。

分頁導航： 上一頁 1 2 3 4 下一頁 閱讀全文