Windows 2000 搭配 IIS 5.0 曾是企業級 Web 服務的主流組合，但其預設配置存在大量安全隱患。本文整理出一套系統化的加固規範，涵蓋作業系統、文件系統、服務管理、帳號策略、註冊表、網絡過濾、關鍵程式遷移、防病毒部署與安全模板應用，助力管理員構建高可用、低風險的 Web 服務平台。

一、 作業系統層級加固

1. 磁碟與分區規劃

• 所有分區必須格式化為 NTFS，以支援細粒度權限控制與 EFS 加密。
• 作業系統、Web 站點主目錄、日誌文件應分別獨立分區，防止單一服務耗盡磁碟空間導致系統癱瘓。

2. 協議與組件精簡

• 移除非必要協議：IPX/SPX、NetBIOS 等。
• 嚴禁安裝其他作業系統（多重啟動會擴大攻擊面）。

3. 修補程式部署

• 安裝 Service Pack 1 以上版本。
• 部署關鍵 Hotfix（含 Q260347、Q262694、Q269049、Q269862、Q270676、Q272743、Q277873、Q278499、Q280322、Q285851 等），具體清單請參考 Microsoft 官網最新公告。

4. 服務精簡策略

建議停用服務： Alerter、ClipBook Server、Computer Browser、DHCP Client、Directory Replicator、FTP Publishing、License Logging、Messenger、Netlogon、Network DDE、Network DDE DSDM、Network Monitor、Plug and Play（硬體配置完成後）、Remote Access Server、RPC Locator、Schedule、Server、Simple Services、Spooler、TCP/IP NetBIOS Helper、Telephone Service。

視需求停用： SNMP Service、SNMP Trap、UPS。

必須設為自動啟動： Eventlog、NT LM Security Provider、RPC Service、WWW Publishing、Workstation（後續再禁用）、MSDTC、Protected Storage。

5. 移除 POSIX/OS/2 子系統

刪除註冊表鍵值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\OS/2 Subsystem for NT
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Environment\Os2LibPath
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems\Optional
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems\Posix
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems\Os2
並刪除目錄 c:\winnt\system32\os2。

6. 帳號與密碼策略

• 禁用 Guest 帳號。
• 重命名 Administrator 帳號為難以猜測名稱。
• 密碼歷史記錄：6 次；最短使用期限：2 天；最長使用期限：42 天；最小長度：8 字元；啟用複雜度要求；用戶必須登入才能更改密碼。
• 帳號鎖定閾值：6 次失敗；解鎖時間：720 分鐘。

7. 關鍵目錄權限收緊

對 C:\winnt、C:\winnt\config、C:\winnt\system32、C:\winnt\system 等目錄，移除 Everyone 寫入權限，限制 Users 組讀寫權限，僅保留 Administrators 與 System 完全控制。

8. 註冊表安全鍵值調整

項目	路徑/鍵值	設定值
移除登入對話框關機按鈕	HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\ShutdownWithoutLogon	0 (REG_SZ)
禁用登入緩存	同上\CachedLogonsCount	0 (REG_SZ)
隱藏上次登入用戶名	同上\DontDisplayLastUserName	1 (REG_SZ)
限制 LSA 匿名存取	HKLM\SYSTEM\CurrentControlSet\Control\LSA\RestrictAnonymous	1 (REG_DWORD)
禁用自動共享	HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\AutoShareServer	0 (REG_DWORD)

9. TCP/IP 過濾

僅開放 TCP 80、443（若啟用 SSL）；封鎖所有 UDP 端口；僅允許 IP 協議 6 (TCP)。

10. 關鍵系統工具遷移與加鎖

建立僅 Administrators 可存取的目錄，將 system32 下高風險工具（如 cmd.exe、regedit.exe、net.exe、ftp.exe、telnet.exe、at.exe、xcopy.exe、wscript.exe、cscript.exe 等 40 餘個）移動至該目錄，並設定嚴格 ACL。

11. 防病毒與安全模板

• 安裝企業級防病毒軟體（如 Norton 2000）並啟用即時掃描。
• 下載 Hisecweb.inf 安全模板至 %windir%\security\templates，使用「安全配置和分析」工具匯入、分析並套用。

二、 IIS 5.0 專項加固

1. 移除預設站點

刪除預設 FTP 站點、預設 Web 站點、管理 Web 站點。

2. 站點目錄與日誌隔離

• Web 內容置於非系統分區（如 D:\wwwroot）。
• 日誌統一導向 E:\Logfiles，權限設為 Administrators 與 System 完全控制。

3. 刪除高風險虛擬目錄

移除 IISHelp、IISAdmin、MSADC、C:\inetpub 等預設目錄。

4. 移除非必要腳本映射與擴展

在 IIS 管理器 → 站點屬性 → 主目錄 → 配置 → 應用程式對應中，刪除 .htw、.htr、.idc、.ida、.idq、.printer；若不使用 SSI，同步刪除 .shtm、.stm、.shtml。

5. 禁用父路徑

站點屬性 → 主目錄 → 配置 → 應用程式選項 → 取消「啟用父路徑」，防止 .. 目錄遍歷攻擊。

6. 依文件類型實施 ACL 最小權限

建議目錄結構：
D:\wwwroot\myserver\static（靜態頁 .html/.gif/.jpg）→ Everyone 讀取
D:\wwwroot\myserver\include（含檔 .inc/.shtm/.shtml）→ Everyone 讀取
D:\wwwroot\myserver\script（腳本 .asp）→ Everyone 執行
D:\wwwroot\myserver\executable（可執行 .dll/.exe）→ Everyone 執行
D:\wwwroot\myserver\images（圖片）→ Everyone 讀取
所有目錄均授予 Administrators、System 完全控制，權限繼承至子文件。

7. 啟用 W3C 擴展日誌

站點屬性 → Web 站點 → 啟用記錄 → 選擇 W3C 格式，記錄完整 HTTP 標頭與查詢字串，便於事後審計與入侵溯源。

結語

安全加固非一次性動作，而是持續的生命週期管理。建議建立基線配置文檔，定期以安全模板掃描偏差，同步部署微軟月度補丁，並結合 WAF、日誌審計平台構建纵深防禦體系。唯有將「預設不安全」轉化為「預設安全」，才能在惡劣的網絡環境中穩健運營。