一、 定制專屬的 Win2000 Server

1. 版本選擇：優先英文版

微軟產品以「Bug & Patch」著稱，英文版核心代碼相同但漏洞較少、補丁釋出最早 (中文版常延遲半個月以上)。語言非障礙時，強烈建議部署英文版。

2. 組件精簡：最小服務 = 最大安全

• 預設安裝極度危險 (Mitnick 曾言可入侵任意預設安裝伺服器)。
• 僅安裝確定需要的服務。典型 Web 伺服器最小組件：IIS Common Files、IIS Snap-in、WWW 服務。
• 高風險組件勿裝：Indexing Service、FrontPage 2000 Server Extensions、Internet Service Manager (HTML)。

3. 遠端管理工具雙軌制

• Terminal Services (RDP)：速度快、操作便利，適合常規管理。但虛擬桌面機制導致安裝軟體/重啟服務等需真實桌面互動的操作常失敗 (甚至導致硬體廠商管理代理程式直接關機)。
• 輔助工具：pcAnywhere 等：提供真實桌面控制，與 TS 互補，確保關鍵操作可靠執行。

二、 正確安裝 Win2000 Server

1. 磁碟分區策略

• 嚴禁單一 C 槽裝所有軟體。IIS 漏洞 (原始碼洩漏/緩衝區溢位) 若與系統同槽，將導致系統檔洩漏甚至遠端取得 ADMIN 權限。
• 最少兩分區：系統盤 (含重要日誌)、應用程式盤。
• 推薦三分區：C: (>2GB) 系統+日誌、D: IIS、E: FTP。隔離對外服務，防 FTP 上傳惡意程式再經 IIS 執行。

2. 安裝順序鐵律

1. 全程斷網安裝：輸入 Administrator 密碼後系統建立 ADMIN$ 共享且無密碼保護，持續至首次重開機。安裝完成服務自動啟動時系統滿身漏洞。完全安裝配置好前絕不接網。
2. 修補程式最後裝：所有應用程式安裝完畢後再套用 Hotfix/SP。先裝補丁再裝應用可能導致補丁失效 (如 IIS Hotfix 要求每次變更配置後重裝)。

三、 精細安全配置

1. 連接埠鎖定

• 原則：僅開放必要埠。網卡屬性 → TCP/IP → 進階 → 選項 → TCP/IP 篩選 → 啟用並添加必要 TCP/UDP 埠。
• 缺點：Win2K 篩選僅支援「開放清單」，不支援「封鎖清單」，需開大量埠時較繁瑣。
• 停用「Microsoft 網路的檔案和印表機共享」綁定：網路撥號連線 → 進階 → 進階設定 → 介面卡與繫結 → 取消勾選。

2. IIS 硬化 (重中之重)

1. 移除預設內容目錄：刪除 C:\Inetpub，在 D 槳建立新 Inetpub (或自訂名稱)，IIS 管理器中將網站主目錄指向新路徑。
2. 刪除預設虛擬目錄：scripts、iisadmin、iissamples 等 (罪惡之源) 一律移除。
3. 停用不必要的副檔名對應：僅保留 .asp、.asa、.aspx 等必要映射，移除 .htr、.idc、.shtm 等高風險對應。
4. URLScan / IIS Lockdown：部署 URLScan 篩選惡意請求 (長 URL、非 ASCII、.exe 執行)，啟用記錄功能追蹤攻擊源。
5. NTFS 權限收緊：網站目錄僅授予 IUSR_<機器名> 讀取/執行、Administrators 與 System 完全控制，移除 Everyone/Users 寫入權限。

3. 登錄與審核強化

• 禁止空連線：HKLM\SYSTEM\CurrentControlSet\Control\LSA\RestrictAnonymous = 1。
• 停用管理共享：HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareServer = 0。
• 啟用完整審核 (登入/登出、物件存取、原則變更、特權使用、系統事件)。
• 安全日誌 ACL 僅限 Administrators/System。

持續運維鐵律

訂閱安全公告、每日掃描漏洞 (流光等工具)、月度套用補丁、季度滲透測試、年度架構審視。安全非一次性配置，而是持續的過程。