Windows 2000 簡易安全設定指南

一、系統安裝精簡

安裝 IIS（網際網路資訊服務）時，僅勾選必要元件：Internet 服務管理器、World Wide Web 服務、公用檔案。附件與工具全不勾選，另加終端機服務即可，其餘全部取消，減少攻擊面。

磁碟分區建議：C 槽 10 GB 足夠系統使用，應用程式（如 Serv-U FTP）安裝至 D 槽，避免系統崩潰重裝時需備份 C 槽資料。

二、硬體驅動程式安裝

安裝驅動後常自動加載啟動項，可用「超級兔子」等工具清理。非常用的聲卡驅動可不裝；系統已能辨識的顯示卡亦無需額外安裝驅動。

三、修補程式部署

若安裝媒體未含 SP4，請先安裝 Windows 2000 SP4，再透過 Windows Update 線上更新所有修補程式。或下載修補程式合集（如 Chinaz 提供）依時間序套用，避免微軟官網下載緩慢。

四、必要檔案備份至 D 槽

將 Win2K 安裝目錄 I386 複製一份至 D 槽，方便日後重裝 IIS 等元件。D 槽新建 SOFT 目錄存放常用軟體安裝檔（PHP、MySQL、DUM、Serv-U、SQL Server 等）。

五、系統安全強化設定

1. 使用者帳號管理

• 刪除 TsInternetUser 帳號。
• 將 Guest 帳號重命名、停用，並設定複雜密碼。
• 修改 Administrator 帳號名稱與密碼。

2. 隱藏上次登入使用者名稱

修改登錄機碼：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\WinLogon\DontDisplayLastUserName，將 REG_SZ 值改為 1。

3. 禁止空連線

預設任何用戶可透過空連線列舉帳號猜測密碼，兩種方式禁止：

• 修改登錄：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA\RestrictAnonymous 值改為 1。
• 本地安全性原則 → 區域原則 → 安全性選項 →「匿名連線的額外限制」設為「不允許列舉 SAM 帳號和共用」。

4. 啟用安全稽核

管理工具 → 本地安全性原則 → 區域原則 → 稽核原則，建議設定：

• 稽核原則變更：成功、失敗
• 稽核登入事件：成功、失敗
• 稽核物件存取：失敗
• 稽核權限使用：失敗
• 稽核系統事件：成功、失敗
• 稽核目錄服務存取：失敗
• 稽核帳號登入事件：成功、失敗
• 稽核帳號管理：成功、失敗

不需全開（如物件存取成功），否則過度消耗系統資源。

5. IP 安全性原則匯入

可下載現成原則（如 此連結），在「本地安全性原則」→「IP 安全性原則」右鍵「所有工作」→「匯入原則」，匯入後指派為新原則，再於「安全性設定」右鍵「重新載入」生效。