前言

簡易網路管理協定 (SNMP) 讓管理站可遠端監控伺服器硬體、作業系統、應用程式指標。但 SNMPv1/v2c 以明文傳輸社群名稱 (Community String)，等同明文密碼，極易被竊聽、重放、暴力破解。Windows Server 2003 內建 SNMP 服務，本文詳述如何透過社群名稱管理、IP 篩選、IPsec 加密三層防護，安全啟用 SNMP 監控。

SNMP 架構與風險回顧

• 代理程式 (Agent)：運行於受監控伺服器 (Win2003)，收集 MIB 資料。
• 管理站 (Manager/NMS)：發送 GET/GETNEXT/SET 請求，接收 Trap。
• 社群名稱：驗證憑證，預設 public (唯讀)、private (讀寫) — 極度不安全。
• 風險： 明文傳輸、無加密、無完整性驗證、社群名稱易猜測、SET 指令可修改系統設定。

第一層防護：強化社群名稱與存取控制 (SNMP 服務內建)

1. 開啟「服務」 (services.msc) → 雙擊 SNMP Service。
2. 「安全性」索引標籤：

3. 接受的社群名稱：移除 public、private。新增強複雜度字串 (如 SnMp_ReAd_2024!@#) → 權限選 「唯讀」 (READ ONLY)。
   若需寫入 (SET)，另建社群名稱 (如 SnMp_WrItE_2024!@#) → 權限 「讀寫」 (READ WRITE)，極度謹慎。
4. 接受來自這些主機的 SNMP 封包：必須勾選 → 「新增」→ 僅輸入授權管理站 IP 位址 (如 192.168.1.100、10.0.0.5)。拒絕所有其他 IP 的 SNMP 請求。
5. 「陷阱」索引標籤：新增管理站 IP 作為 Trap 接收者，社群名稱同步設定。

第二層防護：IPsec 加密 SNMP 流量 (網路層加密)

SNMP 使用 UDP 161 (請求/回應) 與 UDP 162 (Trap)。IPsec 可提供機密性 (ESP 加密)、完整性 (AH/ESP-HMAC)、重放保護。

建立 IPsec 原則步驟 (本地安全性原則)

1. 執行 secpol.msc → 「本機電腦上的 IP 安全性原則」右鍵 → 「管理 IP 篩選清單和篩選動作」。
2. 建立篩選清單：「管理 IP 篩選清單」→「新增」→ 名稱：SNMP_UDP_161_162 → 「新增」兩次分別建立：
   • 來源：任何 IP / 目的地：我的 IP / 協定：UDP / 來源連接埠：任何 / 目的地連接埠：161 → 鏡像 (雙向)
   • 來源：任何 IP / 目的地：我的 IP / 協定：UDP / 來源連接埠：任何 / 目的地連接埠：162 → 鏡像
3. 建立篩選動作：「管理篩選動作」→「新增」→ 名稱：Require_ESP_AES_SHA1 → 勾選「協商安全性」→ 「自訂」→ 完整性演算法：SHA1、加密演算法：AES-256 (或 3DES 相容舊系統) → 「確定」。
4. 建立 IPsec 原則：「IP 安全性原則」右鍵 → 「建立 IP 安全性原則」→ 名稱：Secure_SNMP → 取消「啟用預設回應規則」→ 完成精靈 → 勾選「編輯內容」→「新增」規則：
   • 篩選清單：選 SNMP_UDP_161_162
   • 篩選動作：選 Require_ESP_AES_SHA1
   • 驗證方法：預先共用金鑰 (輸入強複雜字串，雙方相同) 或 憑證 (企業 CA 環境)。
5. 右鍵 Secure_SNMP → 「指派」。原則立即生效。

管理站同步設定：管理站同樣建立對應 IPsec 原則 (來源/目的地 IP 互換)，指派後雙向 SNMP 流量即受 ESP 加密保護。

第三層防護：網路邊界與主機防火牆限制

• 前端防火牆：僅允許管理網段 (如 192.168.10.0/24) 存取伺服器 UDP 161/162，拒絕所有其他來源。
• Windows 防火牆 (SP2+)：
  「例外」→「新增連接埠」→ 名稱：SNMP_UDP_161、連接埠：161、UDP → 「變更範圍」→「自訂清單」→ 僅輸入管理站 IP。同樣新增 162。

最佳實務總結表

層面	關鍵動作	風險降低
認證	移除 public/private，使用 20+ 字元複雜社群名稱，分離 READ/READ-WRITE	防暴力破解、竊聽後冒用
來源限制	SNMP 服務「接受主機」僅授權管理站 IP；防火牆同步限制	防未授權掃描/查詢
傳輸加密	IPsec ESP (AES-256/SHA1) 保護 UDP 161/162	防中間人竊聽/竄改/重放
最小權限	僅啟用必要 MIB 物件 (系統/介面/CPU/記憶體/磁碟)，停用設定類 SET	防惡意配置變更
稽核	啟用 SNMP 服務事件記錄 (服務屬性→「記錄」)；SIEM 收集分析	異常存取早期發現

遷移建議：SNMPv3

Windows Server 2003 SNMP 服務不支援 SNMPv3 (USM/VACM)。長期規劃應遷移至支援 SNMPv3 的監控代理 (如 Net-SNMP、商用代理) 或升級至 Windows Server 2008 R2+ 內建 SNMPv3 支援。過渡期務必落實上述三層防護。

結語

SNMP 是雙面刃：善用則是運維利器，失管則成駭客後門。在 Windows Server 2003 上部署 SNMP，必須完成：強社群名稱 + IP 白名單 + IPsec 加密 + 邊界防火牆限制 + 稽核記錄 五項基線。缺一不可。若環境無法部署 IPsec，至少確保前兩層 (強社群 + IP 白名單) 到位，並監控異常 SNMP 流量。