伺服器上線前的基準配置決定生存率。針對常見的 Windows 2000 Server 與 FreeBSD，提供關鍵加固清單。

Windows 2000 Server 基準加固

高風險預設開放埠

• 135 (RPC)、139/445 (NetBIOS/SMB)、593 (HTTP RPC) —— 常被遠端利用（MS03-026、MS03-039）。
• 對策：防火牆封鎖來自 Internet 的 135-139、445、593 埠存取；內網僅允許管理 IP 存取。

補丁管理

• 安裝 SP4 後啟用 Windows Update 自動更新；訂閱 Microsoft Security Bulletin，優先部署「Critical」級補丁。

SQL Server 加固（若安裝）

1. 套用最新 SQL Server SP/累積更新。
2. 修改預設埠 1433 → 高位埠；防火牆封鎖對外存取。
3. sa 帳號強制設定強密碼，勿留空；啟用 Windows 驗證模式，停用混合模式。

防毒與服務精簡

• 安裝企業版防毒，排程每日全盤掃描、即時監控開啟。
• 移除非必要服務：IIS 若非 Web 伺服器請勿安裝。若必須安裝：
  — OS 補丁 ≥ SP3
  — Web 根目錄避開預設 C:\Inetpub\wwwroot
  — 刪除高風險 ISAPI 對應：.ida .idq .idc .shtm .shtml .printer

FreeBSD 基準加固

FreeBSD 安裝預設僅開 22 (SSH) 與 25 (Sendmail)。Sendmail 歷史漏洞多，建議停用。

關閉 Sendmail

# /etc/rc.conf
sendmail_enable="NO"
sendmail_submit_enable="NO"
sendmail_outbound_enable="NO"
sendmail_msp_queue_enable="NO"

SSH 強化

• PermitRootLogin no、PasswordAuthentication no（強制金鑰登入）、Port 2222（非預設埠）。
• 啟用 Fail2ban/PF 防暴力破解。

最小化服務與核心參數

• sysrc -a | grep _enable 檢視並停用無需 daemon。
• /etc/sysctl.conf 加入：
  net.inet.tcp.blackhole=2（丟棄關閉埠 SYN）
  net.inet.udp.blackhole=1
kern.securelevel=1（單用戶模式才能降低）

檔案系統與備份

• 關鍵分區掛載 nosuid,noexec,nodev（/tmp、/var/tmp、/home）。
• 定期 dump/rsync 異地備份，驗證可還原。

基準配置完成後，掃描驗證（Nessus/OpenVAS），建立基線快照，後續變更皆納入變更管理流程。