Windows Server 2008 內建多層防護機制，善用群組原則、進階防火牆與軟體限制原則，即可大幅提升伺服器安全性。本文實作五大高風險場景的對應策略，包含封鎖迅雷下載、防毒暫存資料夾、阻擋惡意 Ping、限制普通用戶上網與防火牆規則防竄改。
策略一：軟體限制原則封鎖迅雷等 P2P 下載工具
- 以管理員身分執行
gpedit.msc 開啟群組原則編輯器。
- 瀏覽至 電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則，右鍵選擇 建立軟體限制原則。
- 雙擊 強制執行，勾選 除本機系統管理員以外的所有使用者，其餘預設。
- 展開 其他規則，右鍵 新增路徑規則，瀏覽選取
Thunder.exe (或安裝目錄)，安全性等級設為「不允許」。
- 重新開機，普通帳號將無法執行迅雷，管理員帳號不受影響。
策略二：禁止程式在暫存資料夾執行，防範病毒藏匿
- 同樣進入 軟體限制原則 → 其他規則，新增路徑規則。
- 瀏覽選取系統暫存資料夾 (
%TEMP%、C:\Windows\Temp 等)。
- 安全性等級設為 不允許，確定儲存。
- 惡意程式無法在暫存區落地執行，大幅降低病毒倖存機率。
策略三：進階防火牆阻擋外部 ICMP Ping 攻擊
- 開啟 高階安全性 Windows 防火牆 → 輸入規則 → 新增規則。
- 規則類型選 自訂 → 所有程式 → 通訊協定選 ICMPv4。
- 動作選 封鎖連線，套用對象設為 任何 IP 位址 (或限定外部網段)。
- 命名規則 (如
Block_ICMP_External) 完成。
進階防護：防止駭客竄改防火牆規則，可透過登錄編輯器 (regedit) 設定權限：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules
編輯 → 權限 → 新增 Everyone → 完全控制設為「拒絕」，鎖定規則集。
策略四：群組原則限制普通用戶上網，管理員不受影響
- 以普通帳號登入，IE → 網際網路選項 → 連線 → 區域網路設定，勾選 使用 Proxy 伺服器，填入無效位址 (如
127.0.0.1:8080)。
- 切換管理員帳號，開啟
gpedit.msc，瀏覽 電腦設定 → 系統管理範本 → Windows 元件 → Internet Explorer → 網際網路控制台。
- 啟用 停用「連線」頁面，普通用戶無法修改 Proxy 設定，IE 將永遠指向無效 Proxy 而無法上網；管理員因群組原則不套用自身，仍可正常上網。
策略五：定期稽核與最小權限原則
- 啟用 稽核原則 (成功/失敗登入、物件存取)。
- 移除不必要的本機管理員群組成員。
- 關閉未使用的服務與連接埠 (如 SMBv1、Telnet)。
- 部署 AppLocker (Win2008 R2 以上) 取代軟體限制原則，提供發行者、雜湊、路徑三維度管控。
總結
Windows Server 2008 提供豐富的內建工具，無需第三方軟體即可構建多層防禦。關鍵在於「最小權限」、「預設拒絕」與「持續稽核」三大原則的落實。