前言：安全是持續過程，非一次性配置
Windows 2000 Advanced Server 流行但預設不安全。基於「最少服務 + 最小權限 = 最大安全」原則，分享實戰配置經驗。
一、版本與元件選擇：奠定安全基因
- 語言版本：強烈建議英文版。中文版 Bug 遠多於英文版，補丁延遲至少半個月 (漏洞公開後無防護窗口期)
- 安裝模式：拒絕「典型安裝」，選擇「自訂」僅安裝必要元件
- 伺服器角色單一化：一台伺服器只提供單一服務 (DC、檔案、備份、Web、FTP 等)，減少攻擊面與相依風險
二、合理安裝流程：避開預設陷阱
分區規劃
- 最少兩個分區：系統分區 (C:) + 應用程式/資料分區 (D:)
- 系統分區僅放作業系統，便於備份/還原/重灌
關鍵安裝順序與風險點
- 安裝完成前勿接網路：
- 輸入 Administrator 密碼後，系統立即建立
ADMIN$ 共享，但未受新密碼保護，持續至重新開機
- 安裝完成服務自動啟動，此時滿身漏洞極易入侵
- 補丁安裝在應用程式之後：
- 補丁會取代/修改系統檔，先裝補丁再裝應用可能導致補丁失效
- 順序：OS 安裝 → 應用程式安裝 → 修補程式/Service Pack → 安全配置 → 接入網路
三、安全配置核心領域
1. 連接埠篩選：只開必要埠
- 網卡屬性 → TCP/IP → 進階 → 選項 → TCP/IP 篩選 → 啟用
- 僅開放業務必要埠 (Web: 80/443、DNS: 53、AD: 389/636 等)
2. IIS 強化：漏洞最多元件的纵深防禦
- 移動網站根目錄離開系統碟：
DELTREE C:\Inetpub- 在非系統碟 (如 D:) 建立
Inetpub，IIS 管理器指向新路徑
- 刪除預設虛擬目錄：
scripts、iisadmin 等全部移除
- 應用程式對應極簡化：
- IIS 管理器 → 內容 → 主目錄 → 配置 → 應用程式對應
- 僅保留必要副檔名：
.asp、.asa 及確需項目 (如 .stm for SSI)
- 90% 主機僅需 ASP/ASA 兩項對應
- 備份安全配置：IIS 備份功能匯出配置，便於快速恢復/部署
結語：基線配置只是開始，持續修補與監控才是常態
英文版選擇、安裝隔離、補丁順序、連接埠極簡、IIS 根目錄遷移/虛擬目錄清理/對應極簡化，構成 Windows 2000 Advanced Server 安全基線。但記住：新漏洞每日出現，服務變更持續發生，安全配置不是終點，而是漫長防禦旅程的起點。
