Windows Server 2003 繼承 Win2K/XP 易用穩定，強化硬體支援與安全功能，成中小企業首選。本文闡述帳號保護與系統監控兩大策略面向。
一、企業帳號保護安全策略
1. 提高密碼破解難度
透過「密碼原則」強制：複雜性 (大小寫/數字/符號)、最小長度、最大壽命、歷史記憶。可針對本機、網域、OU 分層設定。敏感帳號必須強制改變不安全習慣。
2. 啟用帳號鎖定原則
預設未啟用，暴力破解無限制。建議：
- 鎖定臨界值：3 次失敗。
- 鎖定時間：30 分鐘。
- 重設計數器：30 分鐘。
有效挫敗自動化猜解，兼顧人工嘗試容錯。
3. 限制使用者登入行為
「Active Directory 使用者與電腦」→ 使用者屬性→「帳號」：
- 登入時間： 僅允許工作時段。
- 登入工作站： 指定允許登入電腦清單。
- 智慧卡/指紋強制驗證： 杜絕純密碼驗證風險。
4. 限制外部連線 (遠端撥入)
- 嚴格控管撥入權限，非必要不給予。
- 關鍵用戶/分支機構啟用「回撥」：驗證後掛斷、回撥預存號碼，需開通來電顯示。
- 原生模式網域可用「遠端存取原則」精細控制 (IAS/RADIUS)。
5. 限制特權群組成員 (受限制的群組)
「網域安全原則」→「受限制的群組」加入 Administrators 等特權群組，鎖定成員名單。策略生效後自動移除非授權成員 (含駭客植入後門帳號)。
6. 防範網路竊聽
- 交換式網路： 每埠獨立廣播域，天然免疫傳統竊聽；仍防 ARP 欺騙、交換機/路由器被攻破。
- 加密會話： IPSec 為根本解決。Win2003 內建完整支援，整合於本地/網域/群組原則中。
IPSec 原則部署實作
mmc → 新增/移除管理單元 →「IP 安全性原則管理」。- 內建三種：「安全伺服器(要求安全)」、「用戶端(僅回應)」、「伺服器(要求安全)」。
- 最嚴格「安全伺服器」預設允許受信通訊不加密，需修改「所有 IP 通訊」規則→「篩選器動作」→選「要求安全性」強制全加密。
二、企業系統監控安全策略
(原文未展開，後續章節續述)。核心原則：稽核登入/物件存取/原則變更、集中日誌收集、異常行為基線比對、自動化告警。