Windows 2000 Server 作為企業伺服器平台，需實施系統性強化措施。本文彙整 17 項涵蓋修補、檔案系統、服務精簡、加密、共享控制、登錄強化、帳號原則、稽核、備份、登入腳本、監控、安全原則等面向的關鍵實務。
基礎環境強化
- 套用最新 Service Pack (SP3+)：修補已知安全性缺口，包含核心、服務、協定層漏洞。
- 全磁區採用 NTFS：啟用檔案/目錄級 ACL、磁碟配額、EFS 加密、壓縮、稽核等進階功能。
- 自訂安裝，最小化服務與協定：僅安裝必要元件，停用/移除非必要服務 (如 Task Scheduler、RunAs Service)，以
net stop <service> 即時停止。
存取控制與加密
- EFS 加密敏感檔案/資料夾：總管 → 內容 → 進階 → 勾選「加密內容保護資料」。
- 移除共享資料夾預設 Everyone 群組：新建共享後立即刪除 Everyone 或調整為「讀取」，避免完全控制洩露。
- 限制匿名連接：登錄
HKLM\System\CurrentControlSet\Control\LSA\RestrictAnonymous=1，阻擋空會話列舉共享/使用者/原則。
- 停用管理共享：登錄
HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareServer=0，隱藏 C$、ADMIN$ 等預設共享。
帳號與密碼策略
- 強制複雜密碼、定期變更、歷史記憶、鎖定門檻：群組原則配置密碼原則與帳號鎖定原則。
- IPsec + 帳號雙因子：單純帳號/密碼易遭猜測、攔截、重放；結合 IP 位址限制或憑證驗證大幅提升強度。
基礎設施隔離與強化
- 獨立登入伺服器：大型網域部署專用登入伺服器，隔離驗證流量，保護日誌完整性，削弱入侵者竄改追蹤記錄能力。
- 完整安全原則配置：密碼/鎖定/稽核/IPsec/使用者權利指派/EFS 復原代理程式，透過
secpol.msc 統一管理 (非網域控制站適用)。
NTFS 權限精細設計
- 最小權限原則：依職能分組，僅授予必要「讀取/寫入/修改/完全控制」，謹慎授予完全控制。
- 網路共享權限疊加 NTFS：共享權限設定「讀取/變更」，NTFS 精細控制至檔案層級，最終生效權限為兩者交集中較嚴格者。
稽核與監控
- 啟用物件存取稽核：原則啟用「稽核物件存取」成功/失敗，配合 NTFS 目標檔案/資料夾 SACL 設定。
- 保護日誌完整性：限制日誌存取權限、集中轉送至專用日誌伺服器 (Syslog/SIEM)、防止本地竄改。
- 系統資訊監控：
Ctrl+Alt+Del 觀察異常進程，「系統資訊」→「軟體環境」→「執行中工作」檢視隱藏進程 (如 Back Orifice 後門)。
備份與災難復原
- 基準線備份：安裝完成即全機備份至唯讀媒體 (CD-ROM/離線磁帶)，定期比對驗證系統完整性。
- 可開機驗證媒體：高安全需求環境製作可開機光碟，啟動流程自動驗證系統檔案雜湊值，確保未被竄改。
持續營運建議
- 建立修補管理流程：測試 → 分階段部署 → 驗證 → 記錄。
- 定期滲透測試與弱點掃描，驗證防禦有效性。
- 資安事件回應 SOP 與演練，縮短偵測遏制時間 (MTTD/MTTR)。
Windows 2000 雖已結束支援，其安全強化原則 (最小權限、縮減攻擊面、纵深防禦、稽核問責、基準線管理) 仍為現代 Windows Server 安全治理的核心基因。