前言：為何需要安全工具包？

在先前的文章中我們探討過 Windows NT 時代的微軟安全工具包，如今隨著 Windows 2000 的普及，如何利用 Win2K 版安全工具包中的資源與建議，將系統防護推向最佳狀態，成為系統管理員的必修課。這套工具包不僅提供詳細的安裝與配置指南，更內建自動化掃描工具，能大幅簡化安全加固流程。

取得與啟動工具包

微軟安全工具包以光碟形式免費提供，可從微軟官網下載 ISO 或申請寄送。Win2K 部分包含三大核心資源：

• 全新安裝 Windows 2000 系統的防護指南
• 現有 Windows 2000 系統的防護指南
• 安全設定規則清單

此外，微軟另提供 網路安全補丁檢測器，能自動比對系統缺失補丁，詳情可參考「利用微軟網路安全補丁檢測器追蹤安全補丁最新發布情況」一文。

將光碟放入光碟機，若未自動執行，請用檔案總管開啟光碟並點選「自動播放」，即會出現歡迎頁面與目錄列表。在「保護當前系統」區塊點選「現在安裝」，工具即開始分析系統現況。重要提醒：執行前務必更新緊急修復磁碟並完成系統備份。

實測案例：未打補丁的 Win2K Server

筆者以一台未安裝任何 Service Pack、未直連網際網路、亦無運行其他應用的 Win2K Server 進行測試。工具立即偵測出需安裝 Service Pack 2 及多項關鍵更新（見圖 A），並建議安裝「Windows 2000 重要更新通知服務」以即時掌握新補丁，以及「網際網路資訊服務鎖定精靈」強化 IIS 安全。工具甚至依序列出補丁安裝順序，避免相依性衝突。

全新安裝 Windows 2000 的最佳實務

安裝前準備

微軟建議：新機器切勿直接接入生產網路，或至少確保網路環境無「紅色代碼」等蠕蟲病毒。首要任務是整合最新 Service Pack（撰文時為 SP2）進行安裝，並升級 IE 至 5.01 SP2、5.5 SP2 或 6.0 版。

IIS 抉擇

若需運行 IIS，請安裝對應的安全應用套件；否則務必從預設安裝中移除 IIS。若已誤裝，請立即透過「新增/移除程式」解除安裝。

套用安全設定規則

系統安裝完成後，須逐項對照微軟提供的「安全設定規則清單」進行配置。若因故無法完成某項設定，清單亦可作為風險評估依據，幫助發現系統弱點。這過程本身就是寶貴的實戰經驗累積。

現有系統的安全加固流程

防護現有系統的步驟與全新安裝類似，但務必先在實驗環境測試補丁，且實驗環境硬體應盡量與生產環境一致，以暴露潛在相容性問題。

工具包光碟中的「已有 Windows 2000 系統的安裝與防護」一文詳細記錄步驟，核心要素如下：

1. 掌握當前狀態：執行 Hfnetchk.exe（位於光碟 \Combined\Hfnetcheck 資料夾，執行 Nshc32.exe 安裝）。該工具會從微軟站點下載最新補丁清單（表 A 為筆者測試時下載的清單）。注意：並非所有補丁皆須安裝，部署前請詳閱相關文件。
2. 逐一部署補丁：依建議順序安裝，Service Pack 部署請遵循微軟官方文件。

持續性的安全維護：四大關鍵行動

系統防護沒有終點。完成上述配置僅是起點，建議長期執行：

• 定期造訪微軟更新網站，掌握補丁釋出資訊。
• 訂閱微軟安全公告，第一時間獲知新漏洞。
• 安裝「重要更新通知服務」，自動接收關鍵更新推播。
• 定期執行 Hfnetchk.exe 掃描遺漏補丁；搭配 Qchain 可讓多項更新僅需重開機一次。

總結

微軟透過指導方針、工具與核對清單，將 Win2K 系統防護標準化、流程化。資源已備妥，關鍵在於管理員是否嚴格遵循建議、持續執行。唯有將安全視為持續性工程，才能在惡意威脅日益演進的今天，守住企業資產的最後一道防線。