Win2003 上線前必做的五大強化動作，建立纵深防禦基線。

1. 關閉不必要埠口 / 啟用 Windows 防火牆

• TCP/IP 篩選功能有缺陷：FTP PORT/Passive 模式需動態高埠，篩選會導致連得上卻無法傳輸/列表。
• **改用 Windows 防火牆** (ICF)：有效攔截掃描、溢位攻擊 (如 Blaster/震盪波)、支援狀態檢測 FTP 動態埠。
• 若作虛擬路由器，開啟 ICF 可保護整個內網。

2. 停用非必要服務

Computer Browser、Task Scheduler、Routing and Remote Access、Removable Storage、Remote Registry、Print Spooler (無印表機)、IPSEC Policy Agent、Distributed Link Tracking Client。

3. 啟用稽核原則

本機安全性原則 → 稽核原則 → 七大類 (登入事件、物件存取、原則變更、帳號管理、程序追蹤、系統事件、目錄服務存取) 成功/失敗全勾選。

4. 更改遠端桌面埠 (預設 3389)

匯入登錄檔：

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]
"PortNumber"=dword:00002683   ; 十進位 9859

重開機生效。配合防火牆僅開放新埠，大幅降低暴力破解風險。

5. 服務列表參考

C:\Windows\System32\drivers\etc\services 記事本即可開啟查看所有埠號對照。

執行完畢，伺服器攻擊面縮減至最小，符合基線合規要求。