Windows 2000 安全維護實戰與本地安全策略誤配置救援指南

電腦安全不僅關乎本機資料保護，更延伸至網路傳輸層面的資訊安全。Windows 2000 建立於成熟的 NT 核心架構之上，在穩定性與安全性上較 9x 系列有質的飛躍。本文以 Windows 2000 Professional 為例，系統梳理其核心安全機制，並詳細記錄一次「本地安全策略誤配置導致全域登入失效」的實戰救援過程，供管理員參考鑑戒。

Windows 2000 核心安全功能全景圖

1. 使用者帳戶與群組：存取控制的基石

透過「控制台 → 使用者和密碼」管理本機帳戶，內建群組（Administrators、Power Users、Users、Guests 等）預設權限涵蓋大多數業務場景。遵循最小權限原則，日常操作應使用標準使用者帳戶，僅在必要時提權。

2. 共用資料夾權限：網路層面的第一道防線

新建共用時預設加入 Everyone 且給予「完全控制」，極度危險。最佳實踐：建立共用後立即移除 Everyone，改為「已驗證的使用者」或特定群組，並按需給予「讀取」或「變更」權限；細粒度控制交由 NTFS 權限處理。

3. NTFS 檔案系統：深度防禦的核心

• 磁碟配額：限制使用者磁碟用量，防止單一帳戶耗盡空間。
• 檔案/資料夾 ACL：支援「允許/拒絕」精細權限，本機與網路存取同步生效。
• EFS 加密檔案系統：透明加密機密資料，即使實體硬碟被竊亦無法讀取。

強烈建議：所有業務磁碟分區均採用 NTFS 格式。

4. 印表機權限、稽核、使用者權利指派、本地安全策略

印表機權限分「列印」、「管理文件」、「管理印表機」三層。稽核需先在「群組原則 → 稽核原啟用「稽核物件存取」，再於個別物件 SACL 設定稽核對象與事件（成功/失敗），最後透過「事件檢視器 → 安全性日誌」追蹤。使用者權利指派（如「以服務身分登入」、「備份檔案與目錄」）透過群組原則統一管理。本地安全策略（secpol.msc）涵蓋帳戶原則（密碼/鎖定）、本地原則（稽核/使用者權利/安全性選項）、公開金鑰原則（IPSec）等，是單機安全基線配置的中樞。

實戰案例：拒絕本機登入誤配置導致全域帳戶鎖死

故障現場

某單位 Win2000 Professional 工作站，管理員在「本地安全策略 → 本地原則 → 使用者權利指派 → 拒絕本機登入」中加入 Users, Guests, Everyone。註銷後所有帳戶（含 Administrator）均無法登入，提示「無法進行互動式登入」。因包含 Everyone，導致所有主體被封鎖。

根因分析

本地安全策略資料儲存於 %SystemRoot%\System32\Config\SECURITY（Registry Hive）。誤配置寫入此 Hive 後，LSASS 在登入階段即拒絕所有 Token 包含 Everyone SID 的使用者。

救援方案一：FAT32 系統碟 — Win98 啟動盤覆蓋法

1. 使用乾淨 Win98 啟動軟碟/USB 開機至 DOS。
2. 複製 C:\WinNT\Repair\SECURITY 覆蓋 C:\WinNT\System32\Config\SECURITY。
3. 重開機進入系統，安全策略恢復預設，即可登入。

救援方案二：NTFS 系統碟 — 修復主控台

NTFS 環境下無法從 DOS 直接存取，必須使用 Windows 2000 安裝光碟/開機磁碟啟動「修復主控台」（Recovery Console）：

1. 光碟開機 → 選擇「修復」 → 「修復主控台」。
2. 選擇安裝目錄，輸入 Administrator 密碼。
3. 執行：copy C:\WinNT\Repair\SECURITY C:\WinNT\System32\Config\SECURITY。
4. 輸入 exit 重啟。

預防性部署：將修復主控台安裝為開機選單項目

# 以管理員身分執行
E:\i386\winnt32.exe /cmdcons

安裝完成後，開機選單將出現「Windows 2000 修復主控台」，無光碟也能進入命令列搶修。

安全策略管理黃金法則

• 變更前備份：secpol.msc → 動作 → 匯出原則 保存 .inf 基線。
• 測試環境先行驗證：勿在生產機直接調整敏感策略（拒絕登入、存取此電腦、從網路存取等）。
• 最小權限原則：優先調整「允許」權利，極少使用「拒絕」（拒絕優先級最高，易造成不可預期鎖死）。
• 隱藏入口：一般使用者環境建議從控制台隱藏「本地安全策略」，需時以 secpol.msc /s 呼叫。

Windows 2000 提供了企業級的安全基礎設施，但工具的威力取決於使用者的嚴謹度。建立「變更管理流程」、「定期備份基線」、「具備離線救援能力」三位一體的操作規範，才能真正駕馭這套系統的安全潛能。