Windows 2000 登錄安全硬化 13 項關鍵參數

網路層防護參數 (Tcpip\Parameters)

網卡 MAC 位址修改 (防 MAC 綁定/追蹤)

路徑：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E972-E325-11CE-BFC1-08002BE10318}
展開子機碼 0000, 0001... 找到 DriverDesc 為目標網卡說明的分支
新增字串值：NetworkAddress = 004040404040 (12 位十六進位，不含分隔符)
重開機後 ipconfig /all 驗證

注意：部分驅動程式/硬體不支援軟體改 MAC；若導致網路失效，刪除該值重開機恢復。

部署自動化腳本 (anti_harden.reg)

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
"DefaultTTL"=dword:000000ff
"EnableICMPRedirects"=dword:00000000
"SynAttackProtect"=dword:00000002
"EnableDeadGWDetect"=dword:00000000
"IPEnableRouter"=dword:00000000
"IGMPLevel"=dword:00000000
"MaxUserPort"=dword:0000fffe
"DisableIPSourceRouting"=dword:00000002
"TcpTimedWaitDelay"=dword:0000001e

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters]
"AutoShareServer"=dword:00000000
"AutoShareWks"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"RestrictAnonymous"=dword:00000001

儲存為 harden.reg，regedit /s harden.reg 靜默匯入，重開機生效。介面層 PerformRouterDiscovery 需依實際 GUID 另行補充。

驗證清單

• net share：無 C$, ADMIN$ 等管理共享。
• net use \\127.0.0.1\IPC$ "" /u:""：拒絕存取 (RestrictAnonymous=1 效果)。
• route print：無 224.0.0.0 多播路由 (IGMPLevel=0)。
• ping -n 1 目標：封包 TTL=255 (DefaultTTL 生效)。
• netstat -an：無異常大量 TIME_WAIT (TcpTimedWaitDelay=30)。

維護提醒

• 修補程式/Service Pack 可能重置參數，建議納入基線稽核腳本定期比對。
• 參數調整具副作用 (如 SynAttackProtect=2 可能影響高併發正常連線)，必須在預演環境壓測驗證後再上生產。
• MAC 修改僅影響軟體層，實體網卡燒錄 MAC 不變；若環境有 802.1X/靜態 ARP 綁定，修改前協調網管。