Windows 2000 作為多使用者、網路導向的伺服器作業系統，面臨駭客攻擊、內部洩密、病毒入侵等多重威脅。本文整理十二項實務防護措施，從系統安裝、檔案系統、權限控制、稽核追蹤到入侵偵測，構建纵深防禦體系。
十二大防護對策
- 及時備份系統
安裝完成後立即完整備份（含系統狀態），儲存至離線媒體（CD-ROM/磁帶）。定期比對檢驗系統完整性，高安全環境可設為開機驗證流程。
- 採用 NTFS 檔案系統
安裝時選擇 NTFS，啟用檔案/資料夾層級權限（ACL）、磁碟配額、EFS 加密。最小權限原則：僅授予必要存取權，移除 Everyone 完全控制。
- 加密敏感檔案與資料夾
資源管理器 → 右鍵屬性 → 進階 → 勾選「加密內容保護資料」。EFS 透明加密，防止實體存取竊取資料。
- 移除共享資料夾 Everyone 群組
新建共享預設含 Everyone 完全控制，立即移除或降為「讀取」。依群組/使用者精細授權。
- 建立緊急修復磁碟
執行 NTBACKUP.EXE → 建立緊急修復磁碟 (ERD)。記錄系統設定、啟動檔案、登錄檔備份，災難恢復關鍵。
- 獨立登入伺服器 / 強化登入機制
大型網路部署專用登入伺服器，無其他服務運行，強化日誌保護，防駭客竄改登入記錄隱藏蹤跡。
- 嚴格設計安全性原則
群組原則配置：密碼原則（長度、複雜度、存活期）、帳戶鎖定原則（錯誤次數、鎖定時間）、使用者權限指派、稽核原則（登入/物件存取/程序追蹤）、IPsec 原則。
- 啟用並保護稽核日誌
啟用安全性事件稽核（成功/失敗登入、物件存取、原則變更）。限制一般使用者讀取日誌，部署專用日誌分析工具（如 EventCombMT、Splunk 前身）偵測異常連線嘗試。保護 Administrator 密碼防日誌竄改。
- 部署登入腳本與系統原則
限制使用者桌面操作、可執行程式、登入時間/地點（僅上班時間/指定電腦）。降低攻擊面。
- 即時監控系統異常行為
Ctrl+Alt+Del 檢查執行中程序；系統資訊 → 軟體環境 → 執行中工作，尋找非預期程式（如 Back Orifice 等後門不顯示在工作管理器）。異常立即終止。
- 防範病毒與社交工程攻擊
不瀏覽非法網站、不執行不明來源附件（.exe/.scr/.bat）。可疑郵件附件直接刪除。部署防毒軟體並保持病毒碼更新。
- 精細設定 NTFS 與共享權限
本地 NTFS 權限 + 網路共享權限雙層控制。最小權限原則：拒絕存取 > 讀取 > 變更 > 完全控制。嚴禁非必要資源共享。
總結：安全非一次性設定，而是持續的「防護-偵測-回應-改進」循環。定期演練災難恢復、滲透測試、日誌審計，才能在威脅演進中保持防禦有效性。
