保障 Windows Server 2003 網域控制站安全的完整指南

前言

網域控制站 (DC) 擁有整個 Active Directory 網域的最高管理權限，是攻擊者最覬覦的目標。本文從物理安全、帳號防護、AD 資料庫重新定位、Syskey 加密四大面向，建構 DC 多層防禦體系。

一、物理安全：第一道防線

• 將伺服器置於上鎖機房，嚴格管制進出紀錄。
• 部署入侵偵測：門磁、紅外線感測器、警報系統。
• 移除所有可攜式儲存裝置（軟碟、光碟、USB、IEEE 1394），並在 BIOS 關閉對應埠口。
• 機箱上鎖，防止硬碟被竊或硬體遭破壞。
• 使用可鎖定機櫃，電源設備（UPS）同置機櫃內，防止斷電攻擊。

二、網域帳號安全：阻擋暴力破解

1. 重新命名內建 Administrator，並修改描述欄位，避免洩露特權帳號身分。（注意：SID 尾碼 500 不可變，進階攻擊者仍可透過工具識別）
2. 停用內建 Administrator 與 Guest 帳號，另建具備管理權限的專用帳號進行日常維護。
3. 強制強式密碼原則：≥8 字元、大小寫數字符號混合、非字典字、定期變更、禁止重複使用。
4. 防範社交工程：嚴禁書寫密碼、共用帳號、電話/郵件索取認證資訊。

三、重新定位 Active Directory 資料庫

預設 AD 資料庫 (Ntds.dit、Edb.log、Temp.edb) 位於系統磁碟，既易受攻擊又影響 I/O 效能。建議移至獨立實體磁碟（最佳為 RAID/鏡像卷）：

1. 重開機進入「目錄服務還原模式」(F8 選單)。
2. 以 DSRM 密碼登入，開啟命令提示字元執行 ntdsutil。
3. 依序輸入：files → move db to 目標路徑 → move logs to 目標路徑 → quit ×2。
4. 正常重開機完成遷移。

此舉同時提升 DC 效能與資料安全性。

四、啟用 Syskey 加密帳號密碼資料

Syskey 以 128-bit 金鑰加密 SAM/AD 中的密碼雜湊值，提供三種模式：

設定方式：執行 syskey → 「更新」 → 選擇模式 → 設定強式密碼/金鑰碟。警告：遺失金鑰碟或忘記密碼將導致 DC 無法開機，必須重建。

總結

DC 安全需兼顧物理、身分、資料、加密四層面。物理鎖定與帳號強化為基礎，AD 資料庫異地儲存兼顧效能與安全，Syskey 提供最後一道資料加密防線。建議定期演練災難復原，確保金鑰備份與程序可行。