Windows Server 2003 安全配置實戰指南（上）：NTFS、EFS、軟體限制原則與安裝期安全佈署

Windows Server 2003 中文版於 2003 年 5 月 22 日上市。本文分享從安裝期佈署到基礎安全配置的完整實務流程，涵蓋 NTFS 檔案系統、加密檔案系統 (EFS)、軟體限制原則等核心防禦機制。

一、安裝過程中的安全關鍵點

1. 採用 NTFS 檔案系統

NTFS 提供效能、安全性、可靠性與進階功能（檔案/資料夾加密、權限設定、磁碟配額、壓縮）。安裝時必須選用 NTFS，否則後續權限配置、EFS 加密等安全功能皆無法實現。建議將所有磁碟分區轉換為 NTFS。

2. 安裝期密碼複雜度提示

輸入 Administrator 密碼時，系統會依規則檢查並提示（若不符合）：

• 至少 6 個字元
• 不含 "Administrator" 或 "Admin"
• 包含大寫、小寫、數字、非英數字元（至少符合前兩項及其中三項）

雖可忽略警告繼續安裝，但建議遵循規則，避免空密碼或弱密碼導致系統淪為「肉雞」。

3. 安裝完成前勿接網路

全新安裝系統存在未修補漏洞，接入網路（含區域網路）即暴露於攻擊風險，且預設為 Admin 權限。務必完成所有修補與配置後再接網。

4. 留意根目錄異常資料夾

預設安裝後根目錄出現 0 位元組的 wmpub\wmiislog 資料夾，有不明程式存取，用途未明，建議持續觀察。

二、基礎安全配置

1. 關閉預設磁碟共享，修正共享權限

安裝完成預設共享所有磁碟分區，含 IPC$、ADMIN$ 等隱藏共享，極度危險。

解法：停用「Server」服務（「電腦管理」→「服務」→ Server 服務→啟動類型設「停用」）。此舉同時停用依賴 Server 服務的「Computer Browser」與「Distributed File System」。

另需修正共享權限：預設 Everyone 擁有「完全控制」，應刪除 Everyone 或降低權限（右鍵共享→「內容」→「安全性」→編輯權限）。示範新增 Users 群組並給予適當權限。

2. 利用 NTFS 權限精細控管檔案/資料夾存取

以 Tools 資料夾為例：右鍵→「內容」→「安全性」→新增/移除用戶或群組，設定細緻權限（讀取、執行、列出資料夾內容等）。

注意：

• 僅 NTFS 支援權限設定，FAT32 無效。
• 檔案與資料夾配置方式相同。
• 若刪除所有使用者/群組，該物件將完全無法存取（含 Admin），需以 Admin 重新配置權限才能恢復。

3. 啟用 EFS 加密保護敏感資料

EFS 基於 NTFS，加密後僅建立者可存取，無論身分高低。

1. 資料夾右鍵→「內容」→「一般」→「進階」。
2. 勾選「加密內容以保護資料」→確定。
3. 選擇「僅加密資料夾」或「加密資料夾、子資料夾與檔案」。

EFS 限制：移至 FAT 磁碟自動解密；無法加密系統檔、已壓縮資料、Systemroot 資料夾；加密不防刪除/列出目錄，需搭配 NTFS 權限。

4. 部署「軟體限制原則」阻擋未授權程式執行

「系統管理工具」→「本地安全策略」→「軟體限制原則」包含「安全性層級」與「其他規則」。

鎖定所有程式

「安全性層級」將「不允許」設為預設→所有可執行檔禁止執行。解鎖：還原「不受限制」為預設。

路徑規則範例

「其他規則」→右鍵→「新增路徑規則」→指定資料夾/程式路徑→安全性層級選「不允許」→該路徑下程式全數封鎖。

白名單模式（僅允許特定程式）

1. 「安全性層級」設「不允許」為預設。
2. 「其他規則」新增允許執行的程式路徑，層級設「不受限制」。

防毒應用：指定郵件附件儲存路徑設「不允許」，防止偽裝病毒/木馬執行。

提醒：軟體限制原則與權限無關（任何身分均受限）、對遠端登入同樣有效、不可當作防毒軟體替代品，僅為緩兵之計。

完成上述配置，可建立具備纵深防禦能力的 Windows Server 2003 基礎環境。