Windows 2000 安全維護全攻略：從帳號權限到稽核原則的深度防禦

前言

電腦安全不僅是保護本地資料，更包含網路資料安全。Windows 2000 基於 NT 核心，在身分識別、資源存取控制、安全設定維護上提供完整機制。本文以 Win2000 Professional 為例，系統梳理核心安全功能並附實戰案例。

一、Windows 2000 七大核心安全功能

1. 使用者帳號與群組

「控制台」→「使用者和密碼」。內建群組（Administrators、Users、Power Users、Guests 等）預設權限涵蓋多數情境，遵循最小權限原則分配帳號至適當群組。

2. 共享資料夾權限

資料夾屬性→「共享」→「權限」。關鍵預設陷阱：新建共享自動加入 Everyone 且給予「完全控制」。必須立即移除 Everyone 或降為「讀取」，再精細授權具體使用者/群組。

3. NTFS 檔案系統（比 FAT/FAT32 安全）

• 磁碟配額：限制每用戶可用磁碟空間
• 檔案/資料夾 ACL：精細控制讀寫/執行/刪除/完全控制等權限，本機與網路同步生效
• EFS 加密檔案系統：使用者透明加密檔案/資料夾，資料外洩亦不可讀

強烈建議全盤使用 NTFS 分區。

4. 印表機權限

三層權限：「列印文件」、「管理文件」、「管理印表機」。屬性→「安全性」設定。

5. 稽核

追蹤「誰、何時、嘗試做什麼」。兩步驟啟用：

1. 群組原則（gpedit.msc）→「電腦設定」→「Windows 設定」→「安全性設定」→「本機原則」→「稽核原則」→ 啟用「稽核物件存取」（成功/失敗）
2. 檔案/資料夾屬性→「安全性」→「進階」→「稽核」→ 新增欲監控的用戶/群組與操作類型（讀取、寫入、刪除等）

檢視：「事件檢視器」→「安全性記錄」。僅限 NTFS 分區生效。

6. 使用者權利指派

控制用戶可執行的系統級操作（本地/網路登入、新增至群組、關機系統、變更系統時間等）。透過「群組原則」→「使用者權利指派」管理，建議以群組為單位授權。

7. 本機安全性原則（進階微調）

「管理工具」→「本機安全性原則」。包含：

• 帳號原則：密碼複雜度、長度、存活期、鎖定門檻
• 本機原則：稽核、使用者權利、安全性選項（如：拒絕網路存取軟碟/光碟、強制數位簽章驅動等）
• 公開金鑰原則 / IP 安全性原則 (IPSec)：加密通訊、封包篩選

建議在高階管理員指導下調整，避免誤鎖自己或業務中斷。

二、實戰案例：本機安全性原則誤設導致無法登入

錯誤操作

在「本機原則」→「使用者權利指派」→「拒絕本機登入」中加入 Users, Guests, Everyone。因 Everyone 包含所有帳號（含 Administrator），導致登出後無人能登入，提示「無法進行互動式工作階段」。

修復方法

• FAT32 分區：用 Win98 開機磁碟，將 C:\WINNT\REPAIR\SECURITY 複製覆蓋 C:\WINNT\SYSTEM32\CONFIG\SECURITY
• NTFS 分區：必須用 Win2000 安裝光碟/開機磁碟進入修復安裝控制台，同樣以 REPAIR 目錄備份檔覆蓋

預防建議

1. 修改安全性原則前先匯出登錄表備份（HKEY_LOCAL_MACHINE\SECURITY）
2. 善用「修復安裝控制台」特性，預先製作開機磁碟/光碟
3. 測試環境先行驗證原則變更影響
4. 關鍵伺服器實施「變更管理流程」，雙人複核

總結

Windows 2000 提供企業級安全架構，關鍵在於：NTFS + 最小權限 + 稽核追蹤 + 密碼/鎖定原則 + IPSec 加密通訊。安全是流程而非產品，持續審計與最小權限才是長久之計。