常規的系統安裝、帳號管理、關閉服務、審核原則、修改連接埠等基礎防護不再贅述。本文深入實作 Windows 系統目錄下關鍵資料夾的 ACL（存取控制清單）精細權限配置，搭配服務硬化、登錄檔調整、本機安全性原則強化，構建纵深防禦體系。
| 目錄路徑 | 配置動作 |
|---|
| C:\WINDOWS\Installer | 移除 Everyone；目錄下檔案授予 Everyone 讀取/執行 |
| C:\WINDOWS\system32\wbem | 關鍵目錄。授予 *.dll 檔 Users/Everyone 讀取/執行；授予 NETWORK SERVICE 完全控制；否則應用啟動緩慢、事件檢視器報錯 |
| C:\WINDOWS\WinSxS | 移除 Users；搜尋 *.tlb/*.policy/*.cat/*.manifest/*.dll 授予 Everyone/Users 讀取/執行；授予 NETWORK SERVICE 完全控制 |
| C:\WINDOWS\Temp (已重命名為亂碼路徑) | 唯一可寫入目錄，修改預設路徑名稱防 WebShell 寫入；需重啟生效 |
| C:\WINDOWS\Registration | 移除 Everyone；授予 NETWORK SERVICE；子目錄檔案授予 Everyone 讀取 |
| C:\WINDOWS\PCHEALTH\ERRORREP\QHEADLES / QSIGNOFF | 移除 Everyone 權限 |
完整目錄清單極長，實作時請逐一核對子目錄與檔案層級權限，建議先在測試環境驗證應用程式相容性。
服務與登錄檔硬化
- 啟用螢幕保護程式鎖定工作站，防遠程管理工具被劫持後直接操作。
- 關閉光碟/磁碟自動播放（群組原則），防 autorun.inf 提權攻擊。
- 停用 Server 服務 關閉預設共享 (C$, ADMIN$, IPC$ 等)，或用
net share c$ /delete 等指令逐一刪除。
- 修改 3389 遠程桌面連接埠：
登錄檔 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WDS\rdpwd\Tds\tcp\PortNumber 與 ...\WinStations\RDP-Tcp\PortNumber 修改為非常用埠（如 1989），十進位。防火牆同步開放新埠。
- 停用 Guest 帳號 並設定複雜密碼；建立陷阱 Administrator 帳號（低權限+超長密碼）誘捕攻擊者。
本機安全性原則關鍵設定
- 審核原則：登入/登出/物件存取/權限使用/系統事件/帳號管理 等啟用成功/失敗審核。
- 使用者權限指派：「關閉系統」僅保留 Administrators；「透過終端機服務允許登入」僅保留 Administrators, Remote Desktop Users。
- 安全性選項：互動式登入不顯示上次用戶名/啟用；網路存取匿名列舉/憑證儲存/共享/命令/登錄路徑 全部停用/清空；重命名 Administrator 與 Guest 帳號。
- 停用錯誤傾印檔（系統屬性→進階→啟動與修復→寫入偵錯資訊→無）；停用 Dr. Watson。
經上述配置，系統盤所有目錄不可瀏覽，唯一可寫入的 Temp 目錄已偽裝路徑。實測主流網站程式（CMS、論壇、商城）在此權限下正常運作。SQL Server 2000 尚待測試但理論相容。
