Windows 2000 作為經典企業級作業系統，其安全性高度依賴正確的設定。本文從用戶帳號管理、密碼策略、系統核心設定、服務精簡四個面向，提供實務上的加固指南。

一、用戶帳號安全設定

1. 停用 Guest 帳號

無論工作群組或網域模式，皆應停用 Guest。唯一例外：少於 10 台電腦的純內部網路共享，且不連接公網。

2. 精簡不必要的預設帳號

• 工作群組模式： 預設 Administrator、Guest。若安裝 IIS，IUSR_電腦名（匿名存取）與 IWAM_電腦名（匿名執行腳本）為必要帳號，不可停用、刪除或更改密碼，否則 IIS 匿名功能將失效。終端服務啟用時，TsInternetUser 亦為必要帳號。
• 網域模式： Administrators 群組包含 Domain Admins、Enterprise Admins 成員。Krbtgt 為金鑰分發帳號，預設停用，請保持停用狀態。

3. 啟用帳號鎖定策略，設定合理閾值

登入驗證可能涉及 Kerberos、NTLM 等多種協定，若同時為 Outlook 用戶，單次密碼錯誤可能消耗多達 6 次鎖定計數。微軟技支中心建議將「帳號鎖定閾值」設為 13，以實現「輸錯 3 次鎖定」的實際效果。

二、密碼安全策略

• 密碼長度非越長越好：在符合複雜度要求（大小寫、數字、符號）前提下，7 碼與 14 碼 為最佳長度（由加密演算法特性決定）。
• 螢幕保護程式密碼不安全： 攻擊者可在 DOS 模式下將 cmd.exe 偽裝成螢幕保護程式，以 SYSTEM 權限執行。正確做法：離位時按 Ctrl+Alt+Del →「鎖定電腦」。

三、系統核心安全設定

1. 全盤採用 NTFS 檔案系統

NTFS 提供檔案/資料夾級權限控制、加密檔案系統（EFS）、磁碟配額、稽核追蹤等功能，FAT/FAT32 完全不具備。使用內建 convert x: /fs:ntfs 指令無損轉換（x 為磁碟代號）。

2. 關閉不必要的服務

預設啟動的服務過多，增加攻擊面。建議停用：Messenger、Remote Registry、Telnet、Task Scheduler、Server（關閉預設共享）、Print Spooler（無印表機時）等。

四、登錄與進階防護

• 限制匿名連線： 登錄 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\RestrictAnonymous = 1，禁止 IPC$ 空連線枚舉用戶/共享。
• 關閉預設共享： 登錄 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters 新增 AutoShareWks (REG_DWORD=0)（專業版）或 AutoShareServer (REG_DWORD=0)（伺服器版）。
• 關閉自動播放： 防止惡意光碟/USB 自動執行程式碼。
• 清除頁面檔案： 登錄 ClearPageFileAtShutdown = 1，關機時清除分頁檔，防止敏感資料殘留。

Windows 2000 安全加固是系統管理的基礎功課，定期稽核帳號、修補漏洞、精簡服務、監控日誌，方能構建穩健防線。