Windows 2000 Server 安全隱患深度分析與防範對策

Windows 2000 Server 廣泛用於企業伺服器，若安裝配置不當極易遭入侵。本文從安裝階段與執行階段兩大面向，系統性剖析風險並給出硬化方案。

一、安裝階段隱患與對策

二、執行階段隱患與對策

1. 關閉預設共享

• 批次檔法：建立 SHAREDEL.BAT 含 NET SHARE C$ /DELETE 等指令，排入「排程工作」每次開機執行。
• 登錄檔法：HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters 新增 DWORD AutoShareServer=0。

2. 移除多餘網路協定

僅保留 TCP/IP，移除 NWLink IPX/SPX、NetBEUI 等。

3. 停用不必要服務

建議停用：Telnet、DHCP Client、DNS Client、Print Spooler、Remote Registry、SNMP、Terminal Services 等 (視實際需求)。

4. 啟用安全性原則

• 帳戶鎖定：5 次失敗鎖定 30 分鐘。
• 密碼原則：複雜度啟用、最小 8 字元、最長壽命 90 天、最短壽命 3 天、記住 24 代密碼、停用可還原加密。
• 稽核原則：至少啟用「登入事件」、「帳戶登入事件」、「帳戶管理」失敗/成功稽核。
• 使用者權利指派：「從遠端系統強制關機」設為無人可用。
• 安全性選項：「對匿名連線的額外限制」設「不允許列舉 SAM 帳戶和共享」；或登錄檔 HKLM\System\CurrentControlSet\Control\LSA\RestrictAnonymous=1。

5. 強化 Administrator 與 Guest 帳戶

• 重新命名 Administrator，建立同名陷阱帳戶 (最低權限、複雜密碼、啟用稽核)。
• 停用 Guest，重新命名並設複雜密碼。

6. 頁面檔、傾印檔、共用權限、IIS/FTP 安全

• 關機時清除分頁檔：HKLM\System\CurrentControlSet\Control\Session Manager\Memory Management\ClearPageFileAtShutdown=1。
• 關閉核心傾印或限制讀取權限。
• 新建共用預設權限改為「讀取」，嚴格最小權限原則。
• IIS/FTP 若非必要請移除；必要時套用 URLScan、鎖定目錄權限、啟用稽核日誌。

落實上述硬化措施，可大幅提升 Windows 2000 Server 抗攻擊能力，建立基線安全環境。