第一階段：安全安裝——奠定基石

1. 離線安裝，拒絕網路安裝

安裝期間系統會建立無密碼保護的 $ADMIN 共享帳號，持續到重新開機。全程斷網、拔網路線、甚至拔非必要硬體。

2. 全分區採用 NTFS

系統盤必須為 NTFS；應用程式勿與系統同分區，防 IIS 漏洞波及系統檔。

3. 優先選擇英文版核心

英文版核心漏洞較少（中文輸入法曾爆嚴重漏洞）。

第二階段：系統管理——持續防護

1. 訂閱漏洞資訊、即時打補丁、裝防火牆

推薦安全資訊站：CERT/CC。記住：補丁永遠落後漏洞，防火牆非萬能。

2. 封鎖空連線

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA]
RestrictAnonymous = DWORD:00000001

3. 關閉管理共享

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters]
AutoShareServer = DWORD:00000000

4. 強密碼策略

• 長度 ≥ 8 碼
• 大小寫+數字+特殊符號（如 G1$2aLe^）
• 禁用純單字、單字+數字模式
• MSSQL sa 帳號密碼絕不可為空！

5. 嚴控 Administrators 群組

• 僅保留一個 Administrator（自己）
• 每日稽核群組成員，刪除不明帳號
• 監控 Guest 帳號：啟用→改密→加入 Administrators 是常見手法

6. 關閉非必要服務

net stop 服務名 關閉服務。非遠端管理時關閉所有遠端登入服務。特別禁用 Task Scheduler、RunAs Service。

7. 伺服器專機專用

不在伺服器上網、收發郵件、裝非必要軟體。IE 漏洞多、Outlook 易中毒。

8. 本地安全同樣重要

• 修補輸入法漏洞（終端服務開啟時極危險）
• 隱藏上次登入帳號：本地安全性原則 → 安全性選項 → 「不顯示上次登入的使用者名稱」→ 啟用

結語

Win2K 安全非一蹴可幾，需「安裝時佈局、管理時經營、補丁時跟進」三位一體。沒有絕對安全，唯有持續經營。