Windows Server 2003 安全最佳實務：角色導向防護、基線建立、服務精簡與帳戶強化

Windows Server 2003 預設即具備較佳安全性，但仍需依角色深度強化。本文提出以「伺服器角色」為核心的安全最佳實務，涵蓋實體安全、安全基線、內建帳戶修改、服務帳戶選擇、系統服務精簡等關鍵面向。

理解伺服器角色：安全配置的前提

Windows Server 2003 可扮演網域控制站、檔案伺服器、列印伺服器、IIS、IAS、終端機伺服器等角色，甚至混合角色。每種角色有獨特安全需求，例如 IIS 伺服器需開啟 WWW 服務，檔案伺服器則開啟即構成風險。無法提供通用清單，必須依角色與環境客製化。

本文以「簡單且安全的檔案伺服器」為例說明可行步驟。

實體安全：第一道防線

伺服器必須置於上鎖機房。許多管理/災難復原工具可被駭客利用，實體接觸即可攻擊。此為所有角色通用鐵律。

建立安全基線

部署多台伺服器時，應先定義安全需求策略並立即執行。最佳工具：安全性設定與分析（MMC 管理單元）。

1. 使用內建安全性範本（%SYSTEMROOT%\Security\Templates），如 SECUREWS（安全工作站）、HISECDC（高安全性網域控制站）。
2. 透過 MMC「安全性範本」管理單元檢視/修改範本設定。
3. 建立符合需求的自訂範本（右鍵資料夾→「新增範本」）。
4. 加入「安全性設定與分析」管理單元→建立資料庫→匯入範本→「立即分析電腦」比對現有設定。
5. 檢視差異報告→「立即設定電腦」套用基線策略。

群組原則具層級性（本機→站台→網域→OU），範本套用僅影響本機層級，高層級原則可能覆蓋。

修改內建使用者帳戶

• Guest：預設已停用，保持停用。
• Administrator：必須重新命名。雖 SID 可被工具反查真實名稱，但重命名可：
  ① 便於監控針對該帳號的攻擊嘗試。
  ② 成員伺服器各自使用不同本地管理員帳號/密碼，防單一洩露波及全環境。

服務帳戶選擇：優先使用本地帳戶

第三方應用程式若需服務帳戶，優先使用本地帳戶而非網域帳戶。本地帳戶密碼洩露僅影響單機；網域帳戶密碼洩露可危害整個樹系。

系統服務精簡：減少程式碼即減少漏洞

原則：運行程式碼越少，漏洞機率越低，同時提升效能。Windows Server 2003 已關閉大多數非必要服務，但仍有爭議服務預設啟動：

建議評估停用的服務

• 分散式檔案系統 (DFS)：若不使用 DFS 邏輯命名空間，建議停用。雖具容錯/擴充優勢，但非必要環境下停用可減少攻擊面。
• 檔案複寫服務 (FRS)：網域控制站必須（同步 SYSVOL）；成員伺服器若非執行 DFS 應停用，防阻惡意檔案跨伺服器複寫。
• 列印緩衝處理程式：非列印伺服器應停用。專用檔案伺服器無列印需求；且該服務為系統權限執行，歷來是木馬替換可執行檔、提權的高風險目標。

透過角色導向配置、基線管理、帳戶強化與服務精簡，可將 Windows Server 2003 推向更高安全等級。