Windows 2000 內置豐富安全特性，合理配置即可構建高強度基線。本清單涵蓋物理、賬號、共享、策略四大維度 7 項核心控制點，適用於獨立服務器/成員服務器/域控制器的初始加固與定期複核。
🔒 物理安全：第一道防線
- 服務器置於**門禁+監控+環境監測**機房，監控錄像保留 **≥ 90 天** (合規常規要求)。
- 機箱鎖、鍵盤鎖、機柜鎖**三鎖合一**，鑰匙分管、異地備份、定期輪換。
- UPS+發電機雙路供電、精密空調雙機熱備、雙路上聯交換機 (VRRP/MLAG)。
- 資產標簽、機位記錄、CMDB 同步、變更管理單據關聯。
👤 賬號體系：最小權限、分級管理、陷阱誘捕
1. 禁用/重命名內建高風險賬號
| 賬號 | 動作 | 新名稱建議 | 備註 |
|---|
| Guest | 禁用 + 設置 20+ 位複雜密碼 | — | 永不啟用，密碼防萬一被啟用 |
| Administrator | 重命名 + 20+ 位複雜密碼 + 僅緊急使用 | `SvcAdmin01` `SysMgr01` `RootKeeper` | 偽裝為普通服務賬號，避開腳本掃描 |
| 建立陷阱賬號 | 創建名為 `Administrator` 的本地用戶 | 權限最低 (拒絕登錄/拒絕網絡訪問/無任何組隸屬) | 密碼 30+ 位極強、登錄腳本觸發告警、蜜罐誘捕掃描器/腳本小子 |
2. 雙賬號運維模式
- 日常賬號：標準用戶權限 (Users 組)，用於郵件、辦公、瀏覽、文檔。
- 特權賬號：單獨域賬號 (如 `admin.zhangsan`)，加入域管/本地管組，**僅在 Runas / PIM / JEA / PAW 環境下使用**，不用於日常登錄。
- Runas 實戰：`runas /user:domain\admin.zhangsan "mmc %windir%\system32\dsa.msc"` 以特權運行 ADUC。
3. 賬號清理基線
- 刪除：測試賬號、臨時賬號、離職賬號、共享賬號、重複賬號、服務安裝遺留賬號 (如 `SQLAgent` `IIS_WPG` 手動創建的)。
- 定期審計：`net user` / `dsquery user` / PowerShell `Get-LocalUser / Get-ADUser` 對比 CMDB 授權清單。
- 經驗法則：**本地賬號 > 10 個、域用戶弱口令比例 > 5% 即判定為不合規**。
📁 共享權限：拒絕 Everyone，擁抱授權用戶
- 所有共享 (含打印機) **移除 Everyone 組**，改為 **Authenticated Users / 特定安全組**。
- 共享權限通常給「完全控制」或「讀取/更改」，真正精細控制在 **NTFS ACL**。
- 隱藏共享 (`$` 結尾) 僅用於管理/服務，**不作為業務數據共享**。
- 啟用 **訪問基礎枚舉 (ABE)**：用戶僅見有權限的資料夾，減少信息洩露與橫向偵察面。
📋 檢查清單速查卡 (可打印貼機房)
| # | 檢查項 | 標準值 | 驗證命令/工具 | 狀態 |
|---|
| 1 | 機箱/機柜/鍵盤鎖狀態 | 全鎖定 | 現場目視 | ☐ |
| 2 | 監控錄像保留天數 | ≥ 90 天 | NVR/DVR 設置 | ☐ |
| 3 | Guest 賬號狀態 | 已禁用 | `net user guest` / `lusrmgr.msc` | ☐ |
| 4 | Administrator 重命名 | 非默認名 | `wmic useraccount where name='Administrator' get name` | ☐ |
| 5 | 陷阱 Administrator 存在 | 存在且受限 | `net user Administrator` 檢查組隸屬/權限 | ☐ |
| 6 | 雙賬號運維落地 | 日常/特權分離 | 訪談運維人員、檢查 Runas 使用日志 | ☐ |
| 7 | 本地賬號總數 | ≤ 10 (含內建) | `net user` 計數 | ☐ |
| 8 | 共享權限含 Everyone | 無 | `net share` + `Get-SmbShareAccess` | ☐ |
| 9 | ABE 啟用狀態 | 已啟用 | `Get-SmbShare | Where {$_.FolderEnumerationMode -eq 'AccessBased'}` | ☐ |
| 10 | 密碼策略 (長度/複雜度/歷史/鎖定) | ≥12/啟用/24/5次30分 | `secpol.msc` / `Get-ADDefaultDomainPasswordPolicy` | ☐ |
持續運營：從「一次配置」到「持續合規」
- 基線版本化：清單存入 Git，每次變更 PR 審批、標記版本 (v1.0, v1.1...)。
- 自動化掃描：PowerShell DSC / Ansible / SCCM CI / Intune 合規策略 / OpenSCAP 掃描，每日/每週自動核對。
- 漂移修復：檢測到偏差 → 自動生成工單 → 指派責任人 → SLA 內修復 → 關單驗證。
- 審計就緒：所有變更留痕 (誰、何時、什麼、為什麼、批准單號)，滿足等保/ISO 27001/SOX/PCI-DSS 審計取證。
Windows 2000 雖已退役，但這份清單的**邏輯骨架** — 物理→身份→訪問→審計 — 依然是現代 Windows Server / Linux / 雲原生節點安全基線的通用範式。將清單內化為代碼、自動化為流水線、固化為文化，才是安全運營的終局。