第一階段：怎麼裝（安裝決策決定安全上限）
1. 版本選擇：優先英文版
中文版漏洞更多、補丁延遲 ≥ 2 週。語言非障礙時，務必使用英文版。
2. 組件精簡：最小服務原則
預設安裝包含高風險組件，僅安裝確實需要的服務。重點排除：
- Indexing Service（索引服務）
- FrontPage 2000 Server Extensions
- Internet Service Manager (HTML 管理介面)
3. 遠端管理工具雙軌制
- Terminal Services (RDP)：速度快、操作便利，適合日常管理
- 輔助工具 (如 pcAnywhere)：Terminal Services 重啟服務/安裝軟體時常因虛擬桌面機制失效，需實體桌面工具互補
4. 磁碟分區策略：隔離風險
- 至少兩分區：系統盤 (C:) + 應用盤 (D:)
- 推薦三分區：C: 系統+日誌、D: IIS 網頁根目錄、E: FTP 根目錄
- IIS/FTP 漏洞被利用時，攻擊者無法直接觸及系統目錄
5. 安裝順序鐵律
- 全程離線安裝：Win2000 安裝過程中輸入 Administrator 密碼後，會建立無密碼保護的
$ADMIN 共享，持續到重開機。此期間任何人可入侵。配置完成前絕不接網
- 安裝所有應用程式 → 最後安裝補丁（補丁會替換系統檔，先裝補丁再裝應用可能失效）
第二階段：怎麼設（深度強化配置）
1. 連接埠封鎖：第一道防線
僅開放業務必要連接埠（80/443/3389/21 等），其餘全部在防火牆/TCP/IP 篩選/ IPSec 層面封鎖。
2. IIS 強化：重中之重
- 移動網站根目錄：刪除
C:\Inetpub，在 D: 建立 Inetpub，IIS 管理員指向新路徑
- 刪除預設虛擬目錄：
/scripts、/iisadmpwd 等高風險預設目錄全刪，需時再建
- 應用程式對應精簡：IIS 管理員 → 「主目錄設定」→「應用程式對應」→ 僅保留必要副檔名 (.asp, .asa, .aspx 等)，其餘全刪
- 錯誤訊息最小化：「應用程式偵錯」→「傳送純文字錯誤訊息」，避免洩露堆疊追蹤
- 備份 IIS 設定：用 IIS 備份功能匯出，異動前可秒級還原
- CPU 限制：效能頁籤啟用「限制 CPU 使用率」（如 70%），防止單一網站拖垮全機
總結
Win2000 伺服器安全配置核心口訣：英文版、最小組件、離線裝、補丁最後、三分區隔離、雙軌遠端管、IIS 移目錄/刪虛擬/精簡對應/限 CPU。安全是系統工程，每個環節疏失都是破口。
