Windows 2000 Server 易用但常被詬病不安全。實則關鍵在於人為配置。遵循本指南，可構建抵禦絕大多數自動化攻擊與腳本小子的基線環境。

前言：四點聲明

1. 本文涵蓋面廣，難免疏漏，歡迎指正交流（ITS 論壇 www.itaq.org）。
2. 若對你有幫助，即是最大肯定。
3. 參考大量公開資料，致謝原作者。
4. 獻給支持我的「珍珠豬」，祝旅途愉快。

文章結構

• 版本選擇
• 安裝過程 9 大注意事項
• 基本配置
• IIS 安裝與進階配置
• 18 項進階加固重點
• 物理安全考量

一、版本選擇：強烈建議英文版

中文版補丁延遲釋出（通常滯後 2 周以上），漏洞公開期間系統處於「零防護」狀態。英文版可第一時間套用官方補丁。語言障礙可透過 MUI 包或語言包解決。

二、安裝過程 9 大注意事項

1. 離線安裝：全程斷網，安裝完成打補丁再聯網。
2. 分區規劃：C: 系統（NTFS，≥ 4GB）、D: 應用、E: 資料、F: 日誌/備份；全 NTFS。
3. 管理員密碼：安裝時即設定 ≥ 12 字元強密碼，避免預設空密碼。
4. 最小元件：僅安裝必要選項，拒絕「典型安裝」。
5. 檔案系統：全程選 NTFS，啟用 EFS 加密選項。
6. 網路設定：靜態 IP、正確 DNS、停用 NetBIOS over TCP/IP（若非必要）。
7. 授權模式：選「每伺服器授權」，避免 CAL 浪費。
8. 時區與時間同步：設定正確時區，指向可靠 NTP（如 time.windows.com、pool.ntp.org）。
9. 備份安裝映像：完成基線配置後，用 Ghost/Clonezilla 製作映像，未來重建只需 20 分鐘。

三、基本配置

• 安裝 SP4 + 所有 Critical 補丁（WSUS Offline/自建 WSUS）。
• 關閉非必要服務（參考 133477 第 4 節）。
• 本地安全性原則：密碼、鎖定、稽核、使用者權利指派（參考 133477 第 3 節）。
• 防火牆：啟用 IPsec 篩選器或協力廠商防火牆，預設拒絕入站。
• 防毒：安裝企業版，排程掃描、即時監控、郵件/網頁掃描。

四、IIS 安裝與安全配置（若需 Web 服務）

1. 自訂安裝：僅選「WWW 服務」、「FTP 服務」（如需），取消「FrontPage Server Extensions」、「SMTP/NNTP」等。
2. Web 根目錄移至非系統盤（如 D:\WebRoot），刪除 C:\Inetpub。
3. IIS 管理器 → 網站屬性 → 主目錄 → 配置 → 移除高風險應用程式對應：.ida .idq .idc .shtm .shtml .printer。
4. 啟用 W3C 擴充日誌：記錄 c-ip、cs-username、cs-method、cs-uri-stem、sc-status、sc-bytes、time-taken、cs(User-Agent)；每日審核。
5. 目錄權限：讀取 + 執行腳本，不給寫入、不給瀏覽、不給執行。NTFS ACL 精細控制。
6. URLScan 3.1 / IIS Lockdown Wizard 執行自動加固。

五、18 項進階加固重點（摘要）

1. 重命名 Administrator / Guest 帳號。
2. 建立假 Administrator 帳號（無權限）誘捕攻擊者。
3. 禁用匿名列舉（RestrictAnonymous=1/2）。
4. 關閉預設共享（AutoShareServer=0、AutoShareWks=0）。
5. 強制 SMB 簽名（RequireSecuritySignature=1）。
6. 停用 LM/NTLMv1，強制 NTLMv2/Kerberos（LmCompatibilityLevel=5）。
7. 啟用 Syskey（系統金鑰加密 SAM），金鑰存放於磁碟機/USB/密碼。
8. EFS 加密敏感資料夾，備份恢復憑證。
9. 配置 IPsec 原則：伺服器間通訊強制加密/驗證。
10. 登錄機碼：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\ClearPageFileAtShutdown=1。
11. 移除 POSIX、OS/2 子系統（若無需）。
12. 停用 DCOM（若無分散式應用）：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole\EnableDCOM = N。
13. 限制 cmd.exe、regedit.exe、at.exe、taskmgr.exe 存取（軟體限制原則/AppLocker 前身）。
14. 設定螢幕保護程式密碼、閒置 ≤ 15 分鐘。
15. 定時同步時間（W32Time 服務），日誌時間戳準確才可關聯分析。
16. 部署 HIDS（如 Tripwire、OSSEC）監控關鍵檔案完整性。
17. 建立應急響應預案：隔離、取證、通報、恢復流程文件化。
18. 物理安全：機房門禁、螢幕鎖定、備份媒體離站保管、UPS 防突電。

安全無終點，唯有持續修補、稽核、演練，才能在惡意代碼演化中保持領先。