Windows 2000 C 槽安全權限設定標準範本

原則：最小權限、預設拒絕、必要開放

以下設定假設獨立伺服器/工作站，網域環境請配合群組原則部署。所有路徑以 C:\ 為根，請依實際磁碟代號調整。

權限矩陣

操作步驟

1. 以 Administrators 登入，開啟資料夾內容 → 安全性。
2. 依上表逐項設定：先處理「取消繼承 → 複製」的路徑，再添加/移除具體 ACE。
3. 完成後建議用 cacls 或 xcacls 匯出 ACL 備份：
   cacls C:\ /T > C:\ACL_Backup_C_Root.txt
4. 驗證：以一般用戶登入，確認無法存取 C:\WINNT\System32\cmd.exe、regedit.exe 等敏感程式；Web 應用正常讀寫 wwwroot、Temp。

關鍵防護重點

• System32 斷開繼承：預設 Everyone 可讀取 cmd.exe、net.exe、regedit.exe 等危險工具，斷開繼承後移除 Everyone，僅保留 SYSTEM/Administrators。
• Web 目錄僅給 IUSR 讀寫：杜絕執行權限，防範上傳腳本攻擊。
• Temp 資料夾隔離：Everyone 修改權限僅限 C:\WINNT\Temp，避免擴散至其他系統目錄。

維護建議

• 安裝新軟體/修補程式後重新檢查 ACL 是否被重置。
• 定期審核 C:\WINNT\Temp 大小與檔案類型，清理異常檔案。
• 網域環境請將此範本轉為群組原則「檔案系統」安全性設定，自動下發強制套用。