Black Hat Windows 2002 - NIST Recommendations for System Admin: Securing Windows 2000 Professional

這支演講介紹了一份由NIST與Booz Allen Hamilton合作開發的Windows 2000安全加固文件。講者東尼·哈里斯指出，雖然經驗豐富的管理員能夠遵循NSA的安全準則，但初級管理員和普通使用者因其複雜度而難以執行。該團隊因此創建了一份更易理解的版本，目標受眾是具備基礎IT知識（能理解網路設置等概念）的人，使其既能服務高級使用者，也能供入門級管理員參考。

文件的核心原則是以最小權限和深度防護為基礎。講者強調應從全新安裝開始，安裝系統後立即安裝最新服務包和所有熱修復程式，但最重要的是：不要在打補丁前連接到網路，因為未修補的系統容易被入侵。微軟提供了實用工具協助此流程——HFNetChk可檢查系統或整個網域的修補狀態；Qchain允許使用 -Z 選項批量安裝多個修復而無需每次都重啟；QFCheck.exe則驗證已安裝的修復。此外，移除所有不必要的服務（如檔案共用、Telnet等），限制普通使用者對ping.exe、command.exe等工具的存取，確保只有管理員可執行系統管理工作。

應用程式層面的防護涵蓋多個面向。防毒軟體必須持續更新簽名、啟用自動保護、定期掃描所有檔案，以及啟用啟發式偵測（行為分析），因為病毒掃描器僅依賴簽名，無法偵測全部威脅。Outlook的設定特別重要：完全禁用郵件自動開啟和預覽窗格自動展開功能——預覽會執行郵件內容，可能觸發惡意程式。附件安全等級設為高時，任何執行檔都會觸發警告。巨集安全等級也設為高，未簽名的巨集完全不執行，已簽名且受信任的巨集才能運行。對於網頁瀏覽，講者介紹了四個安全區域概念：本機網路（內部網站，設中等）和受信任網站（管理員明確信任的外部網站，設中等）允許較多功能；互聯網（通用網站，設高）和受限區域（明確不信任的網站，設高）禁止所有活動內容。

密碼策略與帳戶安全的設定反映了實務折衷。文件將密碼更改週期從NSA建議的42天改為90天，因為過於頻繁的變更會導致使用者忘記密碼或寫在紙上，實際上降低安全性。最小密碼長度設為8字元——更長的密碼雖更安全，但使用者容易忘記。密碼歷史限制為24個舊密碼，防止使用者快速循環使用同一密碼。帳戶鎖定政策則相對嚴格：3次失敗登入後帳號自動鎖定15分鐘，15分鐘後自動解鎖。

網路層面，講者介紹了文件特有的設定。SYN ACK Protect防止SYN洪泛攻擊（攻擊者發送大量偽造連線請求）；半開連線監控設置閾值警告管理員可能的攻擊；PMTU Discovery自動探測工作站與遠端主機之間允許的最大資料包大小，避免網路碎片化。重要的是禁用ICMP重定向——這防止外部路由器惡意改變工作站的路由表。另外，講者強調禁用Windows的自動調試功能（Dr. Watson），因為崩潰轉儲檔案可能洩露密碼、系統資訊和當前執行程式等敏感資料，而大多數使用者根本不會將這些轉儲檔案發送給微軟。

演講最後，講者邀請社區下載此文件（當時仍為公開草稿）、仔細閱讀，並提供反饋以改進實用性。他提到未來可能涵蓋Windows XP Professional和Microsoft.NET等新技術，強調所有建議必須切實可行且真實有效。