誤區澄清

NT 不比 Unix 不安全，關鍵在於管理員是否具備「在惡劣網路環境下維護系統」的能力與紀律。

七大核心安全措施

1. 全分區採用 NTFS + ACL

• FAT 僅支援共享層級權限；NTFS 提供檔案/目錄級 ACL
• 有效權限 = NTFS ACL ∩ 共享權限 (取交集)
• 建立新共享後，必須修改預設 Everyone:完全控制
• FAT 分區可用 convert c: /fs:ntfs 無損轉換

2. 重新命名 Administrator 帳號

• User Manager → 使用者 → 重新命名
• 攻擊者需同時猜測帳號名稱與密碼，難度指數級上升
• 原 Administrator 帳號無法刪除，但可重命名為無意義字串 (如 Admin_7X9K)
• NT 4.0 Resource Kit 提供網路封鎖 Administrator 登入工具 (僅阻擋網路登入，本地仍可)
• 廢止 Guest 帳號，移除/停用非必要帳號

3. 啟用稽核系統

• User Manager → 原則 → 稽核 → 勾選「登入/登出失敗」、「檔案/物件存取失敗」、「原則變更」、「重新開機/關機」
• 重點審視「失敗」事件 (量少、高價值)
• 定期自動備份日誌、離線保存或 Email 寄送管理員，防入侵者抹除蹤跡
• NTPerl 提供日誌解析模組可自動化分析

4. 解除 TCP/IP 上的 NetBIOS 綁定

• NetBIOS over TCP/IP (NBT) 讓 Internet 直接存取檔案/印表機共享、遠端管理
• 網路控制台 → 綁定 → 取消「伺服器/工作站」對 TCP/IP 的綁定
• 內部通訊改走 NetBEUI (非路由協議，不經 Internet)
• 副作用：管理員也無法遠端掛載磁碟/遠端管理，需權衡

5. 關閉非必要輸入向 TCP 端口 (邊界路由器/防火牆)

• 對外 Web/FTP 伺服器：僅開放 80 (HTTP) + 21 (FTP)
• 嚴禁為管理員保留 137/138/139 (NBT) 遠端管理後門
• 駭客取得管理員 IP 手法：社交工程誘導造訪惡意網頁 → JavaScript/ActiveX 取得 IP → 利用保留端口入侵

6. 移除「從網路存取」權限 (Everyone)

• 預設 Everyone 擁有「Access this computer from the network」
• 移除後：SMB/NetBIOS 共享全阻斷，但 IIS (以 SYSTEM/本地帳號運行) 與採本地驗證的 FTP 不受影響
• 折衷：僅保留管理員個人帳號的網路存取權

7. 不洩露伺服器身份資訊

• FTP 標語預設洩露：220 ftp Windows NT FTP Server (Version 3.51) / 220 Microsoft FTP Service (Version 2.0)
• 修改 FTP/IIS 標語為通用字串 (如 220 FTP Server Ready)
• 錯誤訊息、HTTP 標頭、Server 標頭同理最小化資訊

結語

七大措施環環相扣：檔案系統防護 (NTFS) → 身份匿名 (改名) → 可見度控制 (稽核) → 協議隔離 (解除 NBT) → 網路邊界收斂 (端口) → 存取權限最小化 (移除網路存取) → 資訊隱藏 (標語)。無捷徑，唯有紀律。