Windows 2000 系統安全防護實戰：從安裝到日常管理的完整清單

一、安全安裝：從頭減少後顧之憂

1. 拒絕網路安裝： 系統未裝完前勿連網（含 Internet），甚至建議拔掉所有非必要硬體。安裝過程中會建立無密碼保護的 $ADMIN 共享帳號，持續到重開機為止，極易被入侵。
2. 全盤採用 NTFS： 至少系統分區必須為 NTFS，提供檔案層級權限控管。應用程式勿與系統同分區，防止 IIS 等漏洞導致系統檔案外洩。
3. 優先選擇英文版： 核心為英文，漏洞較少；中文版編譯較晚，且曾爆發輸入法漏洞。

二、日常管理：人為因素是關鍵

1. 訂閱漏洞資訊、即時打補丁、裝防火牆： 但記住「道高一尺，魔高一丈」，補丁永遠落後於漏洞，不可盲目信任。
2. 禁止空連線 (Null Session)：

   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA]
   RestrictAnonymous = DWORD:1

3. 停用管理共享：

   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters]
   AutoShareServer = DWORD:0

4. 強化密碼原則：
   • 長度 > 8 碼。
   • 大小寫、數字、特殊符號混合（例：G1$2aLe^）。
   • 拒絕純字典字或「字典+數字」模式。
   • MSSQL 7.0 sa 帳號密碼絕不可為空！
5. 嚴格控管 Administrators 群組： 僅保留一個 Administrator（自己），每日稽核，發現多餘帳號立即刪除。防駭客啟用 Guest → 改密碼 → 加入 Administrators。
6. 停用不必要服務： 尤其不明用途者。不需遠端管理時，關閉所有遠端登入功能。指令：net stop 服務名稱。
7. 管理員自律： 伺服器勿用於瀏覽網頁、收發郵件，防 IE/Outlook 漏洞引入木馬或洩漏機密。
8. 本地安全：
   • 修補輸入法漏洞（開啟終端服務時風險極大）。
   • 「本機安全性原則 → 安全性選項 → 登入畫面不顯示上次使用者」啟用。

三、快速檢查清單（七大核心動作）

1. 設定高強度密碼。
2. 防火牆封鎖高風險埠：139, 445, 135, 44 等。
3. 非必要移除 IIS、Serv-U、MySQL、MSSQL 等高風險服務。
4. 精細設定 TCP/IP、IIS、資料庫、POP 服務參數。
5. 使用路由器撥網，DMZ 指向空閒區域。
6. 開啟 Windows Update 自動更新。
7. 部署可靠防毒軟體並保持病毒碼最新。