TCP/IP 協議栈安全參數

路徑基底：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

值名稱	類型	建議值	預設值	功能說明
DefaultTTL	REG_DWORD	64 (或 128)	128	IP 封包存活躍數，限制路由躍點，亦可干擾 OS 指紋識別
EnableICMPRedirects	REG_DWORD	0	1	停用 ICMP 重導向回應，防路由表被惡意修改、中間人攻擊
PerformRouterDiscovery	REG_DWORD (介面下)	0	2	停用 ICMP 路由器發現 (IRDP)，防網路劫持、流量導向攻擊
SynAttackProtect	REG_DWORD	2	0	啟用 SYN Flood 保護：減少 SYN-ACK 重傳、延遲資源分配至三向交握完成

注意：PerformRouterDiscovery 位於 ...\Tcpip\Parameters\Interfaces\<介面 GUID>\ 下。

網路共享安全強化

目標	路徑	值名稱	類型	建議值	說明
停用預設磁碟共享 (C$, D$...)	HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters	AutoShareServer	REG_DWORD	0	伺服器角色適用，重啟 Server 服務生效
停用 ADMIN$ 共享	同上	AutoShareWks	REG_DWORD	0	工作站角色適用
限制 IPC$ 共享	同上	RestrictNullSessAccess	REG_DWORD	1	限制空會話存取 IPC$，需配合 RestrictAnonymous=1

綜合防護效果

• 協議層：TTL 控制、拒絕 ICMP 重導向/路由發現、SYN Flood 緩解
• 服務層：移除隱藏管理共享、限制匿名/空會話枚舉
• 配合項：RestrictAnonymous=1 (LSA)、防火牆封鎖 135/137-139/445、IPSec 政策限制管理存取來源

驗證指令

net share                  ' 確認 C$, D$, ADMIN$ 消失
nbtstat -A <目標IP>        ' 確認空會話無法列舉共享/用戶
ping -t <目標IP>           ' 確認 ICMP Echo Request 被封鎖 (若設定輸入篩選)

結語

Windows 2000 透過註冊表即可完成核心網路協議與服務的安全基線配置。修改前備份、修改後測試、納入基線管理，是生產環境落地的鐵律。