為什麼要審視預設服務？

Server 版雖提供強大網管功能，但預設啟動大量服務，每個服務都是潛在攻擊面。掌握哪些服務必要、哪些可禁用，是伺服器加固的第一步。

十大高風險服務詳解

服務名稱	風險類型	風險等級	加固建議
Messenger	資訊騷擾 (垃圾彈窗)	★★★	禁用
Remote Registry	遠程注冊表竄改 (木馬後門最愛)	★★★★	強烈建議禁用
ClipBook	剪貼板內容洩露	★★★	設為手動或禁用
Computer Browser	網絡拓撲資訊洩露 (偵察跳板)	★★	一般用戶禁用
Indexing Service	IIS 緩衝區溢出根源 (Code Red、Nimda 溫床)	★★★★★	非 Web 伺服器必須關閉
DNS Client	DNS 快取洩露瀏覽歷史	★★	非必要禁用
Server (LanmanServer)	默認共享暴露、空密碼管理員風險	★★★★★	不共享文件/印表機即禁用
Workstation (LanmanWorkstation)	主動向外尋找網絡資源，邊界主機禁用	★★★	獨立 Web 伺服器禁用
TCP/IP NetBIOS Helper	NetBIOS 名稱解析暴露 139 埠弱點	★★★★	純 Internet 存取主機禁用
Terminal Services	3389 埠暴力破解、遠程桌面劫持	★★★★★	非遠程管理必須禁用

配置方法

1. Win+R → services.msc
2. 右鍵目標服務 →「內容」→「啟動類型」選「已禁用」/「手動」/「自動」。
3. 變更後建議重啟驗證業務無影響。

進階加固清單

• 為所有服務帳號設定強密碼，移除空密碼。
• 啟用 Windows 防火牆/邊界防火牆封鎖非必要入站埠 (135, 139, 445, 3389 等)。
• 部署主機入侵防禦 (HIPS) 監控關鍵服務進程異常行為。
• 定期審計服務啟動狀態，納入基線合規檢查。

結語

「服務即攻擊面」。精簡服務、最小權限、纵深防禦，將 Windows Server 從「功能豐富」轉變為「安全可控」，是每位系統管理員的必修課。