背景

Windows 2000 雖已停止支援，但仍在部分舊有系統、嵌入式設備、離線環境中運行。其預設啟用多項網路服務，若未妥善關閉或防護，極易成為攻擊跳板。以下列出十大高風險服務、風險說明與關閉方法。

十大高風險服務

服務名稱	顯示名稱	風險說明	建議動作
IISADMIN	IIS 管理服務	Web/FTP 伺服器核心，歷史漏洞眾多（WebDAV、解析漏洞），若非必要勿啟用。	停用並設為手動/停用；防火牆封鎖 80/443/21 埠。
RpcSs	遠端程序呼叫 (RPC)	DCOM/RPC 介面暴露於 135 埠，歷來為蠕蟲（Blaster、Sasser）傳播向量。	若非網域環境，防火牆封鎖 135、445、139 埠；必要時限制來源 IP。
NetBT	NetBIOS over TCP/IP	NetBIOS 名稱解析、會話服務，資訊洩露（nbtstat）、空會話列舉共享/使用者。	網卡屬性 > TCP/IP > 進階 > WINS > 停用 NetBIOS over TCP/IP。
LanmanServer	伺服器服務	提供檔案/列印共享（445 埠），IPC$、ADMIN$ 共享易遭暴力破解、Pass-the-Hash。	非檔案伺服器請停用；必須共享時限制存取控制、強制簽署 SMB。
LanmanWorkstation	工作站服務	客戶端重導向器，連接惡意共享可導致憑證竊取（NTLM Relay）。	非網域環境可停用；啟用「拒絕未簽署的 SMB 流量」群組原則。
Schedule	工作排程器	AT 排程服務，歷史漏洞（CVE-2003-0812）允許低權限使用者提權至 SYSTEM。	改用 Task Scheduler 2.0 (XP/2003 後)；2000 上限制 AT 命令權限。
RemoteRegistry	遠端登錄	允許遠端讀寫登錄，攻擊者可修改啟動項、服務、安全性設定植入後門。	停用服務；防火牆封鎖 445/135 埠；登錄 ACL 限制遠端存取。
TermService	終端機服務	RDP (3389 埠) 早期版本存在中間人、暴力破解、藍屏漏洞（如 CVE-2001-0540）。	非遠端管理需求請停用；必須啟用時強制 NLA、高加密、限制 IP、更改預設埠。
SNMP	簡易網路管理協定	預設 community string "public/private" 可讀寫系統資訊、修改設定。	停用服務；若需監控，改用 SNMPv3、複雜 community、限制來源 IP。
TlntSvr	Telnet 服務	明文傳輸帳號密碼，極易遭竊聽、暴力破解，預設允許 Administrator 登入。	停用並移除元件（控制台 > 新增/移除程式 > Windows 元件）。改用 SSH (OpenSSH for Windows)。

通用關閉與防護步驟

1. 開啟「服務」（services.msc），找到上述服務，右鍵「內容」>「啟動類型」設為「停用」>「停止」。
2. 群組原則 (gpedit.msc) > 電腦設定 > Windows 設定 > 安全性設定 > 系統服務，統一設定啟動類型與 ACL。
3. 防火牆 (IPsec 原則或第三方防火牆) 封鎖對應埠：135, 137-139, 445, 3389, 23, 161/162, 80, 443, 21。
4. 登錄編輯：`HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\` 修改 `Start` = 4 (停用)。
5. 定期掃描開放埠：`netstat -an | find "LISTENING"`、Nmap 掃描確認。

補充建議

• 安裝非官方修補包（如 Windows 2000 SP4 + Update Rollup 1 + 非官方延伸更新）。
• 啟用稽核原則：審核登入事件、物件存取、原則變更，並轉送至中央日誌伺服器。
• 移除不必要的協定/用戶端：Client for Microsoft Networks、File and Printer Sharing（非檔案伺服器）。
• 考慮隔離網段、跳板機、應用程式白名單 (AppLocker 前身 Software Restriction Policies)。

結語

Windows 2000 時代的服務架構設計並未預見現代威脅情勢。若必須維運，務必採取「最小服務、最小權限、網路隔離、持續監控」原則，將攻擊面壓縮至最低。長期規劃應為遷移至受支援平台（Linux、Windows 10/11 LTSC、Server 2019/2022）。