強化 Windows Server 2008 安全性：限制匿名存取與 IPC$ 空連線

Windows Server 系列作業系統歷來存在一項潛在風險：Administrators 群組使用者擁有極高權限，包含遠端 IPC 連線、終端服務登入等，且不受限制。這與 Windows XP、Vista 等用戶端版本有本質不同。本文說明如何透過修改登錄值 RestrictAnonymous 來防止駭客建立 IPC$ 空連線，阻擋遠端使用者的匿名存取。

修改登錄設定 RestrictAnonymous

1. 開啟登錄編輯器（regedit）。
2. 定位至：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
3. 在右側窗格找到 RestrictAnonymous，將其數值資料修改為 1。

圖 1：設定 RestrictAnonymous = 1

RestrictAnonymous 三種數值說明

設定值為 2 的潛在影響（特別是網域控制站）

若在網域控制站（DC）將 RestrictAnonymous 設為 2，將導致下列限制：

• 下層成員工作站或伺服器無法建立 NetLogon 安全通道。
• 信任網域中的下層網域控制站無法建立 NetLogon 安全通道。
• Windows NT 用戶密碼過期後無法變更密碼；Macintosh 用戶完全無法變更密碼。
• 瀏覽器服務無法從備份/主瀏覽器/網域主瀏覽器取得網域或伺服器清單，所有依賴瀏覽服務的程式將異常。

建議：混合模式環境（含下層用戶端）不宜設為 2。僅在純 Windows 2000/2003/2008 環境，並經完整品保測試確認服務正常後，才考慮設為 2。一般企業環境建議採用 1，兼顧安全與相容。