針對直接暴露於網路或承載關鍵業務的 Windows Server 2003，建立最小攻擊面的安全基線至關重要。本文整理連接埠精簡、服務停用、檔案系統權限、防火牆/IPSec、稽核原則五大面向的強化清單。注意：Server 2003 已停止支援，此配置僅為存量系統暫時緩解風險，不可視為長期方案。

一、連接埠精簡：僅開放業務必要埠

預設開放埠風險極高，僅保留下列業務必要埠，其餘全部封鎖 (Windows 防火牆 / IPSec / 邊界防火牆)：

修改 RDP 連接埠 (登錄檔)

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]
"PortNumber"=dword:00002683  ; 9859 (十進位)

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]
"PortNumber"=dword:00002683

修改後重啟伺服器或重新啟動 TermService 服務生效。

二、停用不必要的服務 (減少攻擊面與資源佔用)

啟用稽核原則 (配合 SIEM/日誌分析)

gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 稽核原則

• 稽核登入事件：成功、失敗 (追蹤暴力破解、異常登入)
• 稽核帳戶登入事件：成功、失敗 (網域控制站關鍵)
• 稽核物件存取：失敗 (檔案/登錄檔/印表機存取失敗)
• 稽核原則變更：成功、失敗 (安全性設定竄改)
• 稽核權限使用：失敗 (特權使用失敗)
• 稽核程序追蹤：失敗 (程式啟動失敗，偵測惡意軟體)
• 稽核系統事件：成功、失敗 (開機/關機/服務變更)

三、檔案系統權限精簡 (NTFS ACL 最小權限)

1. 系統磁碟區 (C:)：
   僅授予 Administrators、SYSTEM 完全控制。
   移除 Users、Power Users、Everyone、Creator Owner 等非必要主體。
2. 應用程式目錄 (如 C:\Program Files\Common Files)：
   授予 Users** 讀取/執行、Administrators/SYSTEM** 完全控制。
3. 暫存目錄 (C:\Windows\Temp、C:\WINNT\Temp)：
   授予 Users/Authenticated Users** 讀取/寫入 (CREATOR OWNER 完全控制)，防止權限提權但允許正常建立暫存檔。
4. IIS 相關目錄 (C:\Windows\System32\inetsrv、網站根目錄)：
   授予 IIS_WPG (IIS 工作者處理序群組) 必要讀取/執行；
   網站內容目錄：應用程式集區身分帳戶** 讀取/寫入 (視應用需求)，Administrators/SYSTEM** 完全控制。
5. 原則： 避免給予 Guests/Everyone 寫入/修改/完全控制；服務帳戶採用專用帳戶 + 最小權限 NTFS ACL。