Windows 8 專業版/企業版內建「本機安全性原則」(`secpol.msc`)，提供企業級安全性設定：帳戶鎖定原則防暴力破解、Windows 防火牆進階安全性封鎖特定程式連網、AppLocker 限制可執行程式、軟體限制原則、稽核原則等。本文以問答形式深度解析核心功能與實戰設定。
如何開啟本機安全性原則
Win + Q 搜尋 `secpol.msc` → 按 Enter，或 Win + R 輸入 `secpol.msc`。
核心功能與實戰設定
1. 防止密碼暴力破解：帳戶鎖定原則
路徑：`本機原則` → `帳戶鎖定原則`
- 帳戶鎖定閾值：設定失敗嘗試次數（建議 5-10 次），達到後鎖定帳戶。
- 帳戶鎖定時間：鎖定持續分鐘數（建議 15-30 分鐘），或設為 0 需管理員手動解鎖。
- 重設帳戶鎖定計數器：多久後重置失敗計數（建議 15-30 分鐘）。
進階阻擋匿名枚舉（關鍵）：`本機原則` → `安全性選項` → 啟用：
- 「網路存取：不要允許 SAM 帳戶和共用的匿名枚舉」
- 「網路存取：不要允許匿名 SID/名稱轉換」
並清空以下四項值（雙擊 → 刪除所有內容 → 確定）：
- 「網路存取：可匿名存取的共用」
- 「網路存取：可遠端存取的登錄路徑」
- 「網路存取：可遠端存取的登錄路徑和子路徑」
- 「網路存取：可匿名存取的具名管道」
2. Windows 防火牆進階安全性：超越第三方軟體的精細控制
兩種進入方式：
- 控制台 → Windows 防火牆 → 左側「進階設定」。
- `secpol.msc` → `Windows 防火牆進階安全性` → 右側空白處右鍵「新增規則」。
實戰範例：封鎖 Photoshop 連網
- 右鍵「輸出規則」→ 「新增規則」→ 「程式」→ 瀏覽選取 `Photoshop.exe` 完整路徑。
- 「封鎖連線」→ 套用設定檔：網域、私人、公用全選 → 命名（如「Block Photoshop Internet」）。
進階功能：「連線安全性規則」可實現 IPsec 加密傳輸、隔離特定 IP/連接埠/通訊協定，功能不遜第三方防火牆。
3. AppLocker：比群組原則「限制執行程式」更強大的應用程式控制
路徑：`應用程式控制原則` → `AppLocker` → `可執行檔規則`
- 支援四種條件：發行者（數位簽章，涵蓋升級版/改版）、路徑、檔案雜湊（精確到檔案版本）、存放區（Microsoft Store 應用）。
- 可針對特定使用者/群組（如 Guests）套用。
實戰優勢：選擇「發行者」條件，封鎖 QQ/迅雷/酷狗等軟體全系列（官方版、修改版、升級版一次搞定）；「檔案雜湊」可精準封鎖特定惡意檔案變體；可搭配「軟體限制原則」雙重防護。
4. 全域物件存取稽核：限制登錄/檔案系統存取權限
路徑：`進階稽核原則設定` → `全域物件存取稽核` → 設定特定群組對登錄機碼、檔案資料夾的存取審核/拒絕。
常見故障排除
無法開啟 `secpol.msc`（錯誤：建立管理單元失敗 / CLSID 錯誤）
- 確認環境變數 `Path` 包含：`%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\system32\wbem`。
- 登錄編輯機：`HKEY_CURRENT_USER\Software\Policies\Microsoft\MMC` → `RestrictToPermittedSnapins` 設為 `0`（或刪除該值）。
IP 安全性原則無法設定
確認服務 `IPsec Policy Agent` 狀態為「執行中」（`services.msc` → 啟動類型設為「自動」並啟動）。
總結
本機安全性原則是 Windows 內建的企業級安全性工具箱，善用帳戶鎖定防暴力破解、防火牆進階規則精準控制網路存取、AppLocker 強力限制可執行程式，配合稽核原則追蹤異常活動，足以應對大多數個人/中小企業安全需求，無需購買昂貴第三方套裝軟體。
