Windows 2000 伺服器鐵級安全配置全手冊：物理、系統、進階三層防禦

前言：安全無絕對，唯有纏深防禦

本手冊整理 Windows 2000 伺服器從物理環境到核心系統的三層級 30+ 項加固措施，適合對安全性要求極高的關鍵業務主機。操作前請完整備份系統與登錄檔。

第一層：基礎安全篇 (必做項)

1. 物理安全

• 主機置於監控機房，錄影保存 15 天以上。
• 機箱、鍵盤、桌面抽屜上鎖，鑰匙異地保管。

2. 停用 Guest 帳號 + 設定複雜密碼

「電腦管理」→「使用者」→ Guest → 停用 + 設 20 位以上含特殊字元密碼。

3. 精簡帳號：移除重複/測試/共用/離職帳號

帳號超過 10 個通常藏有弱口令；曾見 197 帳號中 180 弱口令。定期稽核，啟用群組原則管控權限。

4. 雙管理員帳號制

• 日常操作帳號：一般權限，收信、文書處理。
• 特權帳號：僅屬 Administrators 群組，需要時用 RunAs 提權。

5. 重命名 Administrator → 偽裝成普通帳號 (如 guestone)

防止鎖定暴力破解目標；禁用「Admin」等易猜名稱。

6. 建立蜜罐帳號

建立名為 Administrator 的本地帳號，權限最低、密碼超複雜 (20+ 字元)，登入腳本記錄警示。誘捕自動化攻擊工具，延緩駭客並觸發告警。

7. 共享權限：Everyone → 「授權使用者」

含列印共享，預設 Everyone 極度危險，逐一修改。

8. 強制強密碼策略

• 長度 ≥ 8 字元，含大小寫、數字、特殊字元。
• 密碼存活期 42 天，歷史記憶 5 代，首次登入強制變更。

9. 啟用螢幕保護程式密碼

簡單有效防內部人員惡作劇；建議純黑畫面，省資源。

10. 全磁碟 NTFS 格式化

已成常識，不再贅述。

11. 安裝防毒軟體 + 定時更新病毒碼

伺服器同樣需防毒，可查殺木馬/後門；選輕量級產品。

12. 備份盤異地離線保存

同機備份等於無備份；定期離線、異地、離機保存。

第二層：進階安全篇 (C2 級參考標準)

1. 善用 MMC 安全設定與分析工具

微軟官方 SCE 工具組，可匯入/匯出/比對安全範本，實現配置標準化。

2. 關閉非必要服務 (僅保留 C2 基準清單)

Computer Browser, TCP/IP NetBIOS Helper, Microsoft DNS, Spooler,
NTLM SSP, RPC Locator, WINS, RPC, Netlogon, Event Log

每日檢查服務清單，防範惡意程式偽裝服務運行。

3. 關閉非必要連接埠 (TCP/IP 篩選)

「網路連線」→「區域連線」→「內容」→「Internet 通訊協定」→「進階」→「選項」→「TCP/IP 篩選」→ 僅開放業務必需埠 (如 80, 3389, 21, 25, 53)。

4. 啟用完整稽核原則

5. 強化密碼/帳號鎖定原則

• 密碼複雜度：啟用
• 最小長度：8
• 強制歷史：5 次
• 最大存活：42 天
• 鎖定門檻：3 次錯誤
• 鎖定時間：20 分鐘
• 計數器重設：20 分鐘

6. 保護安全日誌：僅 Administrators + SYSTEM 可讀

7. 敏感資料離機儲存 (獨立檔案伺服器 + 定期備份)

8. 隱藏上次登入使用者名稱

登錄檔 HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\DontDisplayLastUserName = 1 (REG_SZ)

9. 禁止空連線 (Null Session)

登錄檔 HKLM\System\CurrentControlSet\Control\LSA\RestrictAnonymous = 1

10. 訂閱微軟安全公告，第一時間部署補丁

第三層：高階專家篇 (極致加固)

1. 停用 DirectDraw (登錄檔 HKLM\SYSTEM\CurrentControlSet\Control\GraphicsDrivers\DCI\Timeout = 0)

2. 登錄檔永久禁用預設共享 (AutoShareServer = 0)

3. 禁止核心記憶體傾印 (系統屬性→進階→啟動與故障修復→寫入偵錯資訊→無)

4. 啟用 EFS 加密檔案系統 (加密資料夾而非單一檔案)

5. 加密 Temp 目錄 (防安裝程式殘留敏感資料)

6. 鎖死登錄檔遠程存取 (僅 Administrators/Backup Operators，進一步收緊 ACL)

7. 關機清除分頁檔 (HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\ClearPageFileAtShutdown = 1)

8. BIOS 禁用軟碟/光碟開機 + 機箱上鎖

9. 評估智慧卡雙因子認證取代密碼

10. 部署 IPSec 保護 IP 層傳輸機密性/完整性/驗證

結語

安全是系統工程，非一次性動作。建議將上述清單轉為組織標準作業程序 (SOP)，每季執行一次完整稽核。記住：最安全的伺服器，是那台拔掉網路線、鎖在保險箱裡的——但在業務需求下，我們要做的就是無限逼近這個理想。