Windows Server 2003 伺服器安全配置實戰：從檔案系統到服務精簡

Windows Server 2003 雖較 2000 大幅增強安全性，但預設配置未必符合生產需求。過嚴導致應用跑不起來，過鬆則引狼入室。本文結合多年實戰經驗，提供一套可落地的安全強化體系。

第一招：奠基——NTFS 與乾淨安裝

• 全分區 NTFS：唯有 NTFS 支援 ACL、磁碟配額、EFS 加密。若為 FAT32，執行 convert X: /fs:ntfs 轉換。
• 最小化安裝：僅安裝必要元件，安裝後立即套用最新補丁（WSUS/Windows Update），確保基礎無已知漏洞。

第二招：核心——精細 NTFS 權限規劃

原則：最小權限、拒絕優先、分層管理。以下為關鍵路徑建議配置（以 ASP 應用為例）：

1. 系統盤 (C:) 關鍵路徑

2. 網站內容盤 (如 E:\wwwsite) 與虛擬主機隔離

• 建立 WebUsers 群組，每個虛擬主機對應一個帳號 vhost1~vhostN 加入該群組。
• E:\wwwsite\vhost1：Administrators、SYSTEM、vhost1 給「完全控制」；移除 Users、Everyone。
• 父目錄 E:\wwwsite：Administrators、SYSTEM、Service 完全控制；WebUsers 僅「讀取/執行、列出資料夾」。

3. 備份盤專屬化

備份磁碟 (如 F:) 僅授予特定備份管理員帳號「完全控制」，其餘無任何權限。

4. 危險系統工具鎖定

以下檔案僅保留 Administrators 存取，移除所有其他帳號：

5. IIS 攻擊面縮減

• 刪除 C:\Inetpub 預設內容（含 iissamples、scripts、printers 等範例虛擬目錄）。
• 移除不必要的腳本對應（如 .ida、.idq、.htr、.idc、.shtm、.shtml、.stm、.printer 等），僅保留 .asp、.aspx、.asmx 等業務必需對應。
• 建立陷阱帳號（如 Guest 改名、設強密碼、拒絕登入），修改 Administrator 描述欄位誤導攻擊者。

第三招：服務精簡——停用非必要服務

建議停用（設為「手動」或「停用」）的服務：

• Computer Browser（非網域主控制器無需維護瀏覽清單）
• Print Spooler（非列印伺服器）
• Remote Registry（極高風險，除非有跨機器遠程註冊表管理需求）
• Telnet（明文傳輸，禁用）
• IIS Admin Service（僅本機管理時啟用，平時停用）
• Simple TCP/IP Services（echo、discard、daytime 等古老服務）

每台伺服器角色不同，請以「不裝、不開、不留」為原則逐項評估。

持續運營建議

1. 建立基線快照（安全設定與檔案完整性），定期比對。
2. 啟用審核原則：登入事件、物件存取、原則變更，日誌轉送至集中伺服器。
3. 每月執行 MBSA (Microsoft Baseline Security Analyzer) 掃描。
4. 訂閱 Microsoft Security Bulletin，評估補丁 48 小時內部署策略。

安全非一蹴而就，而是持續的「配置→審核→修正→驗證」循環。願此配置清單能為您的 2003 伺服器築起堅實防線。