保障 Windows 2000 安全的八大關鍵佈署策略：從安裝到營運的纵深防禦

Windows 2000 普及率高、攻擊面大，但經過合理配置與持續管理，仍可達到可接受的安全等級。本文從「安全安裝」、「人為管理」、「系統強化」三個維度，提煉八大關鍵策略，建構纵深防禦體系。

一、安全安裝：從源頭減少後顧之憂

1. 拒絕網路安裝，離線部署

安裝過程中 切勿連接網路 (特別是 Internet)。安裝輸入 Administrator 密碼後，系統會建立無密碼保護的 $ADMIN 共享，持續到首次重開機。此期間任何人可透過此共享入侵。同時安裝完成服務即啟動，漏洞暴露在無防禦狀態。

2. 全分區採用 NTFS，系統與應用分離

• 所有分區格式化為 NTFS，啟用 ACL、EFS、配額、稽核。
• 應用程式 (IIS、SQL、Exchange) 勿與系統同分區。Web 應用漏洞 (如 IIS Unicode 漏洞) 可能導致系統檔案洩露、提權。分離分區可限制損害範圍。

3. 優先選擇英文版核心 + 中文語言包

Windows 核心以英文開發，英文版核心漏洞修補最快、最完整。中文版為編譯衍生版，歷史曾出現輸入法漏洞、字型解析漏洞等獨有問題。建議：安裝英文版 → 套用中文 MUI (多語言使用者介面) 或語言包。

二、人為管理：堵住最大漏洞——人

4. 訂閱漏洞情報，即時修補，部署防火牆

• 訂閱 eEye、Microsoft Security Bulletin、CVE 等來源。
• 建立補丁測試 → 部署流程 (WSUS/SCCM/手動離線安裝)。
• 部署主機型防火牆 (如 ZoneAlarm、Tiny、Windows 內建 IPSec/TCP/IP 篩選) 及網路邊界防火牆。
• 銘記：補丁永遠滯後於漏洞公開，防火牆可被繞過，「道高一尺，魔高一丈」，無絕對安全。

5. 禁止空連線 (Null Session)，拒絕匿名枚舉

修改登錄檔：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
RestrictAnonymous = 1 (DWORD)

阻止未驗證用戶列舉帳號、共享、原則、登錄檔機碼。Windows 2000 SP3+ 預設為 0 (允許)，必須手動設為 1。

6. 禁止自動管理共享 (Admin$、C$、IPC$ 等)

修改登錄檔：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
AutoShareServer = 0 (DWORD)   ; Server 版
AutoShareWks = 0 (DWORD)      ; Professional 版

重開機生效。搭配批次檔開機刪除共享 (見 文章 85168) 雙重保險。

三、系統強化：縮減攻擊面

7. 精簡服務，關閉非必要連接埠

• 參考 服務優化指南，停用 Terminal Services、IIS、RAS、Messenger、ClipBook、SSDP 等未使用服務。
• 使用 netstat -an、掃描器 (Nmap/SuperScan) 定期稽核開放埠口，僅保留業務必要埠 (如 80, 443, 3389, 25, 53)。
• 部署 IPSec 封鎖規則或硬體防火牆 ACL 限制存取來源 IP。

8. 啟用完整稽核與日誌分析

群組原則 → 本地原則 → 稽核原則：

• 稽核登入事件：成功、失敗
• 稽核物件存取：失敗 (檔案/登錄檔/印表機)
• 稽核程序追蹤：成功、失敗
• 稽核原則變更：成功、失敗
• 稽核帳號管理：成功、失敗

日誌定期匯出 (LogParser/WinLogbeat/Splunk/ELK) 離線分析，設定關鍵事件告警 (如 Event ID 529/644/675/676/4720/4724/4738/4756)。

總結：八大策略對照表

Windows 2000 於 2010 年終止支援，上述措施屬「補救性防禦」，無法修補零日漏洞。根本對策：規劃遷移至受支援平台 (Windows 10/11, Server 2016/2019/2022, Linux)，或將舊系統完全隔離於無外網存取的獨立網段/虛擬機快照環境中。