Windows 2000 伺服器安全硬化完整清單

1. 關閉 TCP 445 埠 (SMB 直接裝載)

登錄路徑：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters
值名稱：SMBDeviceEnabled (REG_DWORD) = 0
重開機後 netstat -an 驗證 445 不再 LISTENING

阻斷大多數蠕蟲（如 Sasser、WannaCry 前身）利用 SMB 漏洞傳播路徑。

2. 部署 IPSec 保護網路通訊

核心概念

• 驗證：Kerberos (同網域)、憑證 (跨網域/信任 CA)、預共用金鑰 (簡易但需定期換鑰)。
• 加密：ESP 封裝，確保機密性與完整性。
• 篩選器/篩選器清單/篩選器動作/規則/原則：MMC「本地安全性原則」→「IP 安全性原則」圖形化設定。

實作範例：保護 Alice (172.16.98.231) ↔ Bob (172.31.67.244) 的 TCP 6667/6668 通訊

1. 建立篩選器清單「Abczz to Bob」：來源 Alice IP、目的 Bob IP、TCP、目的埠 6667、6668（鏡像雙向）。
2. 建立篩選器動作「Encrypt Abczz」：協商安全、不與非 IPSec 機器通訊、高安全性、工作階段金鑰完美前向保密。
3. 建立 IPSec 原則「Alice's IPSec」：規則連結上述清單與動作、驗證用 Kerberos/預共用鑰、指派原則。
4. Bob 端對稱設定（IP 互換、清單名稱調整）。
5. 用 ipsecmon 驗證 SA (Security Association) 建立狀態。

限制：NAT 環境下 IPSec 失效（校驗和包含原始 IP），需端對端路由或使用 NAT-T (Win2K 不支援，需升級)。

3. 修改終端機服務埠 (預設 3389)

伺服器端註冊表 (兩處必須一致)：
HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp\PortNumber
HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber
類型：DWORD，值：新埠號 (如 53389)
重開機生效

客戶端：匯出 .cns 連線檔 → 記事本修改 "Server Port" → 匯入客戶端管理器

降低自動掃描器鎖定概率，非萬能但屬纵深防禦一環。

4. 禁止 Guest/匿名存取事件日誌

應用程式日誌：HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Application\RestrictGuestAccess = 1
系統日誌：      HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\System\RestrictGuestAccess = 1
安全性日誌：    HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Security\RestrictGuestAccess = 1

防止洩露系統操作軌跡、失敗登入帳號等偵察資訊。

5. 徹底移除管理共享 (C$, D$...)

伺服器：HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareServer = 0
工作站：HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareWks = 0
重啟 Server 服務或重開機
註：鍵值預設不存在，需手動新增 DWORD

6. 限制 FileSystemObject (FSO) 濫用

• 改名法：HKLM\SOFTWARE\Classes\CLSID\{0D43FE01-F093-11CF-8940-00A0C9054228}\ProgID 預設值改為隨機字串，僅知曉者可建立物件。
• 註銷法：regsvr32 scrrun.dll /u 完全禁用 (影響所有 ASP/腳本)。
• NTFS 權限法 (推薦)：cacls %systemroot%\system32\scrrun.dll /d guests 禁止匿名/Guest 存取；合法 ASP 應用以驗證用戶身分執行並給予讀取權限。

7. 隱藏上次登入用戶名

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\DontDisplayLastUserName = 1 (REG_DWORD)

登入畫面不顯示上次帳號，攻擊者需同時猜測帳號與密碼。

8. 限制匿名 IPC$ 連線

HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous = 1 或 2
1：匿名無法列舉用戶/共享清單
2：匿名無法建立 IPC$ 會話 (可能導致 SQL Server 等服務啟動失敗，慎用)

部署檢查清單

持續維護

• 每月執行 hfnetchk / MBSA 掃描缺失修補程式。
• 每季審核登錄安全性設定是否被軟體安裝/更新竄改。
• 保留乾淨系統映像 (Ghost/映像備份)，遭入侵可快速重建。