Windows Server 2003 進階安全強化實戰指南（下）：服務精簡、遠端桌面管制與本地安全策略深度配置

承接上篇，本文深入探討 Windows Server 2003 進階安全配置：停用非必要服務、調整遠端桌面預設模式、配置本地安全策略，以及防範 Guest 帳戶滲透、Administrator 帳戶偽裝等實務防禦技巧。

三、進階安全設定

1. 精簡服務，杜絕潛在攻擊面

Windows Server 2003 預設安裝 84 項服務，36 項隨系統啟動。每項服務皆為潛在攻擊向量。以「Remote Registry（遠端登錄）」為例：預設啟用允許遠端使用者修改本機登錄，極具風險。

1. 「系統管理工具」→「服務」。
2. 找到「Remote Registry」，雙擊開啟內容。
3. 「啟動類型」由「自動」改為「停用」→確定。

停用後，所有遠端登錄操作（含惡意網頁、木馬修改登錄）均被阻斷，大幅降低系統被植入惡意代碼風險。

補充發現：Windows Installer 服務說明中竟出現錯別字，提醒管理員細節亦不可忽視。

2. 變更遠端桌面預設模式，禁止非授權遠端控制

終端服務允許網路任意電腦遠端管理伺服器，對一般用戶風險遠大於效益。

1. 「系統管理工具」→「終端服務設定」。
2. 右鍵連線→「內容」→「遠端控制」索引標籤。
3. 勾選「不允許遠端控制」→確定。

此設定可有效阻擋非法遠端連線嘗試。

3. 深度配置本地安全策略

「系統管理工具」→「本地安全策略」。重點配置區域：

• 密碼原則、帳戶鎖定原則、稽核原則
• 使用者權限指派（如「從網路存取此電腦」預設 5 群組擁有權限，建議刪除 Everyone、Power Users、Users，僅保留必要帳號）
• 安全性選項

雖需耐心逐項配置，但能建立堅不可摧的系統防線，一勞永逸。

四、安全常識與注意事項

1. 杜絕 Guest 帳戶滲透

Guest 預設空密碼、低權限，常被利用提權至 Admin。最佳防禦：停用或刪除 Guest 帳戶。若必須保留：

• 設定強式密碼（「電腦管理」→「本地使用者和群組」→「使用者」）。
• 依最小權限原則，詳細限制 Guest 對檔案系統路徑的存取權限。

2. Administrator 帳戶重命名與偽裝陷阱

Admin 帳戶擁有最高權限，為攻擊首要目標。

1. 設定高強度複雜密碼。
2. 「本地安全策略」→「安全性選項」→「重新命名系統管理員帳戶」（如改為 54master）。
3. 「電腦管理」→「本地使用者和群組」→「使用者」，記下原 Admin 描述，修改為其他文字。
4. 新增一個名為 Administrator 的誘餌帳號，移出 Users 群組，使其成為無任何權限的孤立帳號。

攻擊者將浪費大量時間嘗試破解誘餌帳號密碼，真正管理員帳號隱於幕後，達到欺騙與延緩攻擊目的。

3. 持續監控與最小權限原則

• 隨時稽核系統、安全性、應用程式事件日誌；監控登錄啟動項、使用者帳戶變動。
• 定期備份資料應對災難。
• 權限分配遵循「最小權限原則」。
• 保持敏銳安全直覺（如系統突然變慢判斷是否中毒）。
• 安全是長期工作，須持續學習新漏洞與防禦技術。

後記：Windows Server 2003 綜合評析

優點：開機速度較 2000/XP 快；新增實用 DOS 指令；DFS 整合分散檔案共享；關機記錄原因、下載危險檔案提示等安全細節改進。

缺點：硬體門檻提高（建議 CPU 550MHz、RAM 256MB、系統分區 2GB）；部分舊硬體缺乏驅動程式，甚至 2000/XP 驅動亦無法相容。

總結：Windows Server 2003 是微軟重視安全後首發的伺服器作業系統，經三次延期打磨，安全性與可靠性顯著提升。配合靈活配置與良好安全意識，足以滿足一般企業需求。