Windows Server 2003 雖穩定，但預設配置仍存多處隱患。本文整理基線加固四大核心設定，並針對 Dr. Watson 洩密、資源共享、快速用戶切換誤判、頁面檔殘留四大隱患提供專項堵截方案，構建企業級伺服器安全基線。

基線加固四大核心

1. 強化管理員口令策略

• 長度 ≥ 8 碼 (建議 12+)，大小寫、數字、特殊符號混合 (如 psp53,@pq)。
• 禁用生日、電話、姓名等弱密碼。
• 啟用群組原則：密碼複雜性、歷程記憶、最大/最小壽命、鎖定閾值/時間。

2. 刪除預設隱藏共享並禁用 IPC$ 匿名連線

1. gpedit.msc → 使用者設定 → Windows 設定 → 指令碼 (登入/登出) → 登入 → 新增 delshare.bat：

net share ipc$ /delete
net share admin$ /delete
net share c$ /delete
net share d$ /delete
...（依分區新增）

2. 登錄：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous = 1 (禁用 IPC$ 空連線)。

3. 關閉所有磁碟機自動播放

1. gpedit.msc → 電腦設定 → 系統管理範本 → 系統 → 「關閉自動播放」。
2. 已啟用 → 「所有磁碟機」 → 確定。防止 USB/光碟自動執行惡意碼。

4. 清空遠程可存取登錄路徑

1. gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 安全性選項。
2. 「網路存取：可遠端存取的登錄路徑」與「...路徑和子路徑」→ **值全部清空**。

四大隱患專項堵截

① 堵住 Dr. Watson 自動儲存除錯資訊洩密

1. regedit → HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AeDebug\Auto = 0。
2. 刪除 Documents and Settings\All Users\Shared Documents\DrWatson\User.dmp、Drwtsn32.log。
3. 重開機生效。

② 堵住資源共享隱患 — 關閉檔案/列印共享服務 (無區網共享需求時)

1. 控制台 → 網路連線 → 本地連線右鍵 → 內容。
2. 取消勾選「Microsoft 網路的檔案和印表機共用」 → 確定。
3. 徹底切斷 SMB (TCP 445/139) 攻擊面，防範 EternalBlue 類漏洞利用。

③ 堵住快速用戶切換導致帳號誤判鎖定

1. 控制台 → 管理工具 → 電腦管理 → 使用者帳號 → 「變更使用者登入或登出的方式」。
2. 取消勾選「使用快速使用者切換」。

避免傳統登入被誤判為暴力攻擊導致合法帳號鎖定。

④ 堵住頁面交換檔隱私殘留 — 關機自動清除

1. regedit → HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\ClearPageFileAtShutdown = 1 (REG_DWORD)。
2. 重開機生效。關機時自動清除 pagefile.sys，防止記憶體敏感資料 (密碼、金鑰、Token) 殘留被離線分析。

持續安全運營建議

• 部署 SCW (Security Configuration Wizard) 依角色自動套用安全原則。
• 定期運行 MBSA (Microsoft Baseline Security Analyzer) 掃描缺失補丁/配置弱點。
• 啟用稽核原則 (成功/失敗登入、物件存取、特權使用)，日誌轉送至集中日誌伺服器 (SIEM) 分析。
• 建立基線快照 (登錄、檔案系統、服務、啟動項)，定期比對偵測異變。
• 訂閱微軟安全公告、CVE/NVD 漏洞資訊，建立補丁管理流程 (測試 → 部署 → 驗證)。

安全不是一次設定，而是持續的流程。將上述基線納入標準作業程序 (SOP)，每台新上線 Server 2003 必經加固、驗證、納管，才能在惡意威脅持續演進的環境中立足。