IPsec 封包篩選：內建主機型防火牆

「路由與遠端存取」→ IP 篩選器 → 輸入/輸出篩選器。
範例：封鎖外部 ICMP Echo Request (Ping) → 新增篩選器：來源任何、目的地本機、協定 ICMP、類型 8 (Echo Request) → 動作「封鎖」。即時生效、無需重開機。
亦可用 netsh ipsec static 命令列批次管理。

系統安全性原則 vs 群組原則編輯器

• 本地安全性原則 (secpol.msc)：基本帳號、稽核、使用者權利、安全選項
• 群組原則編輯器 (gpedit.msc)：功能超集，含軟體限制、腳本、重導向、註冊表偏好設定等
• 建議：直接用 gpedit.msc 統一配置，避免遺漏

關鍵系統檔案 ACL 硬化 (必做項)

預設安裝大量檔案授權 Everyone: 讀取/執行，雖不可寫，但資訊洩露風險高 (如 cmd.exe 可被一般用戶執行)。

硬化標準流程

1. 右鍵檔案 → 內容 → 安全性
2. 移除 Everyone、Users、Power Users 等非必要主體
3. 僅保留：Administrators (完全控制)、System (完全控制)、必要服務帳號 (如 TrustedInstaller)
4. 啟用「稽核」：失敗的「寫入/刪除/變更權限」

優先硬化清單

• %windir%\system32\cmd.exe
• %windir%\system32\regedit.exe
• %windir%\system32\at.exe / schtasks.exe
• %windir%\system32\net.exe / net1.exe
• %windir%\system32\wbem\wmic.exe
• %windir%\system32\cscript.exe / wscript.exe
• %windir%\repair\sam / system / security (或刪除 repair 目錄內容)

自動化腳本範例 (xcacls.vbs / icacls)

' 移除 Everyone、Users，保留 Administrators+System
icacls "C:\WINNT\system32\cmd.exe" /inheritance:r /grant:r "Administrators:(F)" "SYSTEM:(F)"

結語

IPsec 篩選提供主機層網路存取控制；群組原則實現集中化安全基線；關鍵執行檔 ACL 硬化阻斷「拿到系統工具即拿到系統」的提權鏈。三者結合，構建 Windows 2000 主機纵深防禦核心。