Windows 2000 FTP 伺服器安全加固六大實戰策略

前言：預設 FTP 服務風險極高

Windows 2000 內建 IIS 5.0 FTP 服務預設允許匿名登入、未啟用日誌、權限過度開放、無磁碟配額限制，極易造成資料外洩、惡意上傳、服務拒絕等安全事件。本文提供六大加固策略，構建纵深防禦體系。

策略一：停用匿名登入

1. 開啟「Internet 服務管理員」，展開本機 → 預設 FTP 站台 → 右鍵「內容」。
2. 切換「安全性帳號」頁籤，取消勾選「允許匿名連線」。
3. 點選「確定」，後續存取需合法帳號密碼。

策略二：啟用完整日誌稽核

1. 於「預設 FTP 站台內容」→「FTP 站台」頁籤，勾選「啟用日誌記錄」。
2. 日誌記錄：連線時間、用戶端 IP、登入帳號、檔案操作等，便於事後追蹤與入侵偵測。
3. 可於「事件檢視器」查看 FTP 服務日誌。

策略三：最小權限原則配置 NTFS 權限

範例：CCE 資料夾僅允許 CCEUSER 讀寫修改列舉，禁止其他用戶。

1. 右鍵資料夾 → 「內容」 → 「安全性」頁籤。
2. 移除 Everyone 群組。
3. 新增 CCEUSER，授予「修改」、「讀取與執行」、「列出資料夾內容」、「讀取」、「寫入」權限。

策略四：啟用磁碟配額防止濫用空間

1. 於磁碟機屬性 → 「配額」頁籤，勾選「啟用配額管理」。
2. 勾選「拒絕超過配額限制的用戶使用磁碟空間」。
3. 設定預設配額：限制 100 MB，警告門檻 96 MB。
4. 勾選「超過配額記錄事件」與「超過警告等級記錄事件」。
5. 點選「配額項目」→「新增配額項目」，針對 CCEUSER 套用相同參數。

策略五：IP 位址存取控制

1. 「預設 FTP 站台內容」→「目錄安全性」頁籤，選擇「授與存取權」。
2. 於「下列項目除外」點選「新增」，選擇「單一電腦」或「網域群組」，輸入欲封鎖的 IP 位址/網段。
3. 列表中 IP 將無法連線 FTP 服務。

策略六：群組原則強化帳號與稽核策略

1. 開啟「本地安全性原則」（secpol.msc）。
2. 稽核登入事件：本地原則 → 稽核原則 → 「稽核帳號登入事件」啟用「成功」與「失敗」。
3. 強制密碼複雜度：帳號原則 → 密碼原則 → 「密碼必須符合複雜性需求」啟用；設定「密碼最小長度」≥ 8 字元。
4. 帳號鎖定機制：帳號原則 → 帳號鎖定原則 → 設定「帳號鎖定臨界值」（如 5 次失敗）、「鎖定時間」（如 30 分鐘）、「重設鎖定計數器」（如 30 分鐘）。

結語

六大策略層層設防：身分驗證、行為稽核、資料權限、資源配額、網路存取、帳號策略。配合定期修補程式部署與日誌分析，可將 Windows 2000 FTP 伺服器安全性提升至企業級標準。