Windows 2000 Server 安全強化完整指南：從安裝到稽核的企業級實務

Windows 2000 Server 雖已停止主流支援，但仍有舊系統在線運行。本文整理從安裝前規劃、安裝流程、服務精簡、帳號權限、稽核原則到防禦設定的完整強化清單，供維護舊環境的管理員參考。

一、安裝前規劃：最小化攻擊面

1. 語言版本選擇

首選英文版。中文版修補程式通常比英文版延遲 2~4 周釋出，且歷史漏洞數較多。若語言非障礙，英文版為最佳選擇。

2. 元件精簡安裝

預設安裝包含大量非必要服務（Indexing Service、FrontPage Extensions、HTML 管理介面等），均為高風險元件。典型 Web 伺服器最小安裝： 僅勾選 IIS Common Files、IIS Snap-In、World Wide Web Server 三項。

3. 遠端管理工具備援

• 主力：Terminal Services（RDP），速度快、整合佳。
• 備援：pcAnywhere / VNC / Radmin 等獨立桌面導向工具，避免 RDP 虛擬桌面限制導致安裝軟體/重啟服務異常。

二、磁碟分區與安裝順序

建議三分區架構

關鍵安裝順序

1. 全程離線安裝：輸入 Administrator 密碼後系統會建立無密碼保護的 ADMIN$ 共享，直到重開機才生效。安裝完成前絕不可接網路。
2. 修補程式最後安裝：應用程式安裝完畢後再套用 Hotfix/Service Pack，避免應用程式安裝程式覆蓋已修補檔案。

三、核心安全配置

1. IIS 硬化

• 刪除 C:\Inetpub，將網站根目錄移至非系統磁碟（如 D:\WebRoot）。
• 移除所有預設虛擬目錄（/scripts、/iisadmin 等）。
• 應用程式對應移除：僅保留 .asp、.asa 等必要副檔名，刪除 .htw、.htr、.idq、.ida 等高風險映射。
• 錯誤訊息設為「純文字」，避免洩露資料庫結構、實體路徑。
• 啟用 CPU 限制（效能頁籤），建議上限 70%，防止單一應用程式耗盡資源。
• 備份 IIS 設定（IIS 管理員 → 右鍵電腦名稱 → 備份/還原配置）。

2. 匿名連線限制（RestrictAnonymous）

路徑：本地安全性原則 → 安全性選項 → 網路存取：允許匿名 SID/名稱轉換（或註冊表 HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous）

3. Administrator 帳號重命名與隱藏

• 電腦管理 → 本地使用者與群組 → 重新命名 Administrator 為不可猜測名稱。
• 註冊表 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\DontDisplayLastUserName = 1，隱藏上次登入帳號。

4. 稽核原則（Audit Policy）

啟用下列項目（成功/失敗雙記）：

• 帳號管理、登入事件、原則變更、系統事件、目錄服務存取、帳號登入事件
• 物件存取、特權使用 → 僅記錄「失敗」以節省資源

日誌大小建議調大（如 50 MB 以上），並設定「覆寫超過 7 天的事件」。

5. 密碼與鎖定原則

6. 登錄表防禦 DoS / ICMP 攻擊

HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
SynAttackProtect       = 2 (啟用 SYN Flood 保護)
EnablePMTUDiscovery    = 0
NoNameReleaseOnDemand  = 1
EnableDeadGWDetect     = 0
KeepAliveTime          = 300000 (5 分鐘)
PerformRouterDiscovery = 0
EnableICMPRedirects    = 0

ICMP 風暴/碎片攻擊防禦：啟用 Routing and Remote Access → 輸入/輸出封包篩選器 → 丟棄 ICMP Type 255（所有 ICMP）或僅允許必要 Type（Echo Request/Reply）。

7. NTFS 權限最小化原則

• 移除 Everyone:Full Control 預設權限。
• 網站目錄：IUSR_*、IWAM_* 僅給「讀取/執行」；上傳目錄單獨給「寫入」。
• 系統目錄（%SystemRoot%、%SystemRoot%\System32）：僅 Administrators、SYSTEM、TrustedInstaller 具完全控制。
• 善用群組管理權限，避免直接指派給個別使用者。

四、持續營運建議

安全非一次性專案，而是持續流程：

• 訂閱 Microsoft Security Bulletin，48 小時內評估並部署修補程式。
• 每日審閱安全性日誌，建立基線行為模型，異常即警報。
• 定期進行弱點掃描與滲透測試（內部/外部）。
• 制定變更管理流程，所有設定變更留存紀錄並可回溯。