Windows 2000 伺服器安全加固八大鐵律：從安裝到日常管理

Windows 2000 部署廣泛但攻擊面大，安全不僅靠補丁，更需系統性配置與管理紀律。本文從安裝階段、帳號管理、服務精簡、本地安全、補丁與防火牆八大面向，提供經實戰驗證的加固清單。

一、安全安裝：減少後顧之憂

1. 拒絕網路安裝：安裝期間勿接網路，避免 $ADMIN 共用帳號無密碼暴露、服務啟動前即被入侵。
2. 全盤採用 NTFS：至少系統分區必須 NTFS，啟用檔案級權限與加密 (EFS)；應用程式勿與系統同分區，防 IIS 等漏洞波及系統檔。
3. 優先選用英文版：核心為英文，編譯版本 (中文) 易引入額外漏洞 (如輸入法漏洞)。

二、妥善管理：人為因素是關鍵

1. 訂閱漏洞資訊、及時修補、部署防火牆：推薦 eEye；補丁永遠滯後於漏洞，防火牆非萬能，須纵深防禦。
2. 禁止空連線 (Null Session)：登錄 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\RestrictAnonymous = 1。
3. 停用管理共用 (C$, ADMIN$ 等)：登錄 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareServer = 0。
4. 強化密碼複雜度：≥8 字元、大小寫+數字+符號 (如 G1$2aLe^)；嚴禁純字典字或字典+數字；MSSQL sa 密碼不可為空。
5. 嚴控 Administrators 群組：僅保留單一自有帳號；每日稽核，異常帳號立即刪除；監控 Guest 啟用與加入管理員群組行為。
6. 停用非必要服務：不明用途服務一律關閉；無遠端管理需求時關閉所有遠端登入服務；特別注意停用 Task Scheduler、RunAs Service。命令列 net stop 服務名 快速關閉。
7. 管理員專機專用：勿用伺服器瀏覽網頁、收發郵件，防瀏覽器/Outlook 漏洞導致木馬或資料外洩。
8. 重視本地安全：
   • 修補輸入法漏洞 (若開終端服務更關鍵)。
   • 隱藏上次登入帳號：本機安全性原則 → 本機原則 → 安全性選項 →「登入畫面不顯示上次登入使用者名稱」→ 啟用。

核心心法：安全是流程而非產品。最小權限、最小安裝、持續監控、預設拒絕、定期稽核，八大鐵律貫徹執行，Windows 2000 仍可在今日網路環境存活。

雖 Windows 2000 已停止支援，但遺留系統若必須維運，嚴格落實上述措施可將風險壓縮至可接受範圍。