本機安全性原則 (`secpol.msc`) 是 Windows 內建企業級安全配置中樞。本文詳細解析防暴力破解、Windows 防火牆進階規則、AppLocker 應用程式控制、軟體限制原則、全域物件存取稽核等實戰配置。
開啟方式
- Win+Q 搜尋 `secpol.msc` → 開啟
- 或 Win+R → `secpol.msc`
防暴力破解密碼：帳戶鎖定原則
路徑：`帳戶原則` → `帳戶鎖定原則`
- 「帳戶鎖定臨界值」：設為 5 次無效登入
- 「重設帳戶鎖定計數器」：15 分鐘
- 「帳戶鎖定時間」：15 分鐘 (或 0 = 永久鎖定需管理員解鎖)
阻止匿名枚舉 SAM/共享：本機原則 → 安全性選項
- 「網路存取：允許匿名 SID/名稱轉換」 → **停用**
- 「網路存取：不允許 SAM 帳戶和共用的匿名列舉」 → **啟用**
- 「網路存取：不允許 SAM 帳戶的匿名列舉」 → **啟用**
- 清空以下四項值：
- 「網路存取：可匿名存取的共用」
- 「網路存取：可遠端存取的登錄路徑」
- 「網路存取：可遠端存取的登錄路徑和子路徑」
- 「網路存取：可匿名存取的命名管道」
Windows 防火牆進階安全性 (內建最強防火牆)
兩種進入方式
- 控制台 → Windows 防火牆 → 左側「進階設定」
- `secpol.msc` → `Windows 防火牆與進階安全性` (右鍵空白處可建立新規則，但不列出現有規則)
實戰：封鎖 Photoshop 連網
- 「輸出規則」→ 右鍵「新增規則」
- 規則類型：「程式」→ 路徑指向 `Photoshop.exe`
- 動作：「封鎖連線」
- 設定檔：網域/私人/公用 全勾選
- 命名：「Block Photoshop Network」
連線安全性規則：更高階防護
- IPsec 驗證/加密特定連線
- 封鎖特定 IP/IP 範圍、封鎖 ICMP (Ping)、指定連接埠/程式/服務權限
- 功能不遜第三方防火牆
AppLocker：應用程式控制終極武器
- 路徑：`應用程式控制原則` → `AppLocker`
- 三大規則類型：
- 發行者：憑證簽發者 + 產品名稱 + 版本範圍。封鎖 QQ 即封鎖騰訊簽署的所有版本 (官方/定制/升級)
- 路徑：資料夾/檔案路徑規則 (易被繞過：改名/移動/複製)
- 檔案雜湊：SHA256 雜湊值精確匹配 (最嚴格，改名/改路徑/加殼均無效)
病毒隔離應用
系統中頑固病毒/木馬 (EXE/Script/DLL/BAT) → 建立「檔案雜湊」規則封鎖 → 無法再執行。殺毒軟體隔離功能鮮有此精細度。
軟體限制原則 (SRP) 配合使用
`軟體限制原則` → 新增規則：雜湊/憑證/路徑/網路區域。與 AppLocker 互補，提供雙重保障。
全域物件存取稽核
`全域物件存取稽核` → 設定各群組對登錄/檔案系統的存取審核 (成功/失敗)，配合事件檢視器 (`eventvwr.msc`) 追蹤敏感資源存取。
常見故障排除
無法開啟 `secpol.msc`：顯示「建立管理單元失敗」/ CLSID 錯誤
- 檢查環境變數 `Path` 包含：`%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\system32\wbem`
- 登錄 `HKEY_CURRENT_USER\Software\Policies\Microsoft\MMC\RestrictToPermittedSnapins` = 0
IP 安全性原則無法設定
確認服務 `IPsec Policy Agent` 狀態為「執行中」/「自動」
