Windows 2000 安全設定清單：從基礎到進階的 12+ 項防禦佈署指南

Windows 2000 雖已停止支援，但仍存活於部分舊系統環境。本文整理從物理安全、帳號管理、密碼策略、檔案系統、服務精簡、連接埠控制到稽核原則的完整防禦清單，助您將風險降至最低。

一、基礎安全篇 (必做項目)

1. 物理安全：伺服器置於監控機房、機櫃加鎖、鍵盤/滑鼠/機櫃抽屜上鎖、備份媒體離場保管。
2. 停用 Guest 帳號：「電腦管理」→「本地使用者和群組」→「使用者」→ Guest → 停用。並設定複雜密碼防萬一被啟用。
3. 精簡帳號：移除重複、測試、共用、離職帳號。帳號越少，弱口令被猜測機率越低。定期稽核帳號清單。
4. 建立雙管理員帳號：
   • 日常操作帳號：僅屬 Users 群組，收信、文書處理。
   • 專用管理帳號：屬 Administrators 群組，僅於需提權時使用 runas 或右鍵「以系統管理員身分執行」。
5. 重命名 Administrator：改為不顯眼名稱 (如 guestone、svc_backup)，避免暴力破解鎖定目標。勿改為 Admin、Root、Administrator1 等易猜名稱。
6. 建立蜜罐帳號：建立名為 Administrator 的假帳號，權限最低、密碼極長複雜，啟用稽核登入失敗事件，誘捕攻擊者並觸發告警。
7. 共享權限最小化：移除所有共享的 Everyone 權限，改為 Authenticated Users 或特定群組。印表機共享預設也是 Everyone，務必修改。
8. 強制複雜密碼策略：群組原則 → 帳號原則 → 密碼原則：長度 ≥ 12、複雜度啟用、最長壽命 42 天、歷史記憶 24 代。原則：安全期內無法破解即為好密碼。
9. 啟用螢幕保護鎖定：設定 15 分鐘無操作啟動、需密碼解鎖、黑畫面即可 (省資源)。全員強制套用。
10. 全分區格式化為 NTFS：支援檔案/資料夾級 ACL、EFS 加密、磁碟配額、稽核。FAT/FAT32 無法設定權限。
11. 安裝並更新防毒軟體：即時掃描、每日更新病毒碼、排程完整掃描。防毒軟體可攔截大量已知木馬/後門。
12. 備份媒體異地離線保管：備份不可只放在同一台伺服器，需異地、離線 (離線=勒索軟體加密不到)、定期驗證可還原。

二、進階安全篇 (深度防禦)

13. 套用安全性範本 / SCW (安全性設定精靈)：使用 secpol.msc 或 SCW 套用「高安全性」範本 (hisecws.inf / hisecdc.inf)，自動配置大量註冊表/原則設定。
14. 停用非必要服務：參考 服務優化指南，關閉 Terminal Services、IIS、RAS、Messenger、ClipBook 等未使用服務。每日稽核 services.msc 異常啟動項目。
15. 關閉非必要連接埠 (TCP/IP 篩選)：

    網路連線 → 區域連線 → 內容 → TCP/IP → 進階 → 選項 → TCP/IP 篩選 → 勾選「僅允許」 → 新增必要 TCP/UDP 埠 (如 80, 443, 3389, 25, 53)
    

    或部署 IPSec 封鎖規則、硬體防火牆 ACL。
16. 啟用稽核原則：群組原則 → 本地原則 → 稽核原則：啟用「稽核登入事件 (成功/失敗)」、「稽核物件存取 (失敗)」、「稽核程序追蹤」、「稽核原則變更」。定期匯出安全性日誌分析 (LogParser/Splunk/ELK)。
17. 限制匿名連線 (Null Session)：註冊表 HKLM\SYSTEM\CurrentControlSet\Control\LSA\RestrictAnonymous = 1 (DWORD)，阻止未驗證用戶列舉共享/帳號/原則。
18. 停用自動管理共享：註冊表 HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareServer = 0 (DWORD)，重開機生效。
19. 啟用 EFS 加密敏感資料夾：右鍵資料夾 → 內容 → 進階 → 「加密內容以保護資料」。備份 EFS 憑證 (cipher /x) 避免遺失金鑰導致資料永不可解密。
20. 部署入侵偵測 (HIDS/NIDS)：如 OSSEC、Snort、Windows 內建「安全性設定與分析」定期掃描偏差。

三、持續營運建議

• 每月：檢查 Windows Update (離線補丁包)、防毒軟體版本、備份還原測試、帳號稽核、日誌分析。
• 每季：滲透測試/弱點掃描、審查防火牆規則、更新應用程式 (IIS/SQL/Exchange 等)。
• 每年：評估遷移計畫 (Windows 2000 已停支援 14 年，極度建議規劃升級/虛擬化/容器化/隔離)。

核心心法：安全不是一個產品，而是一個持續的過程。Windows 2000 在現代威脅環境下極度脆弱，上述措施只能「降低風險」，無法「消除風險」。最佳對策是規劃退役/遷移/隔離。