XP 預設設定也有安全隱患：必改的 10 項預設值

Windows XP 出廠預設為了相容性、易用性犧牲了部分安全性。本文列出 10 項必須修改的預設設定，涵蓋帳號、網路、服務、登錄檔、瀏覽器、檔案共享，助你建立基礎防護基準。

1. 重命名/停用 Guest 帳號並設定強密碼：
   控制台 → 使用者帳號 → Guest → 關閉帳號 / 重命名 / 設定複雜密碼。
   登錄檔：HKLM\SYSTEM\CurrentControlSet\Control\Lsa\LimitBlankPasswordUse = 1 (限制空密碼網路登入)。
2. 建立標準使用者帳號日常使用：
   Administrators 群組僅供管理任務，日常登入使用 Users 群組帳號，需管理權限時「以系統管理員身分執行」/ runas。
3. 停用不必要的危險服務：
   services.msc 停用並設為「停用」：
   　- Messenger (垃圾彈窗、漏洞利用載體)
   　- Remote Registry (遠端登錄檔存取)
   　- Universal Plug and Play Device Host (UPnP 漏洞)
   　- SSDP Discovery Service (UPnP 探索)
   　- Telnet (明文傳輸、遠端登入)
   　- Remote Desktop Help Session Manager (遠端協助服務，不需則停用)
4. 啟用 Windows 防火牆 (SP2+)：
   控制台 → Windows 防火牆 → 開啟 (建議) → 例外僅保留必要項目 (檔案共享、遠端桌面等)。
5. 關閉簡單檔案共享並設定權限：
   資料夾選項 → 檢視 → 取消勾選「使用簡單檔案共享 (建議)」 → 共享資料夾 → 內容 → 共享 → 權限 → 僅授予必要使用者/群組「讀取」或「變更」，移除 Everyone 完全控制。
6. 啟用資料執行防護 (DEP) 為 OptOut 模式：
   系統內容 → 進階 → 效能 → 資料執行防護 → 「為所有程式和服務開啟 DEP，除了我選取的」 → 加入相容性問題程式例外。需 CPU 支援 NX/XD 且 BIOS 啟用。
7. 限制匿名存取 (Null Session)：
   HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous = 1 (限制匿名列舉 SAM/共享)
   HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymousSam = 1 (限制匿名存取 SAM)
8. IE 安全性設定強化：
   工具 → 網際網路選項 → 安全性：
   　- 網際網路區域 → 自訂等級 → 「執行 ActiveX 控制項和外掛程式」→ 提示/停用
   　- 「下載未簽署的 ActiveX 控制項」→ 停用
   　- 「指令碼 ActiveX 控制項標記為安全」→ 停用
   　- 信任網站區域 → 僅加入必要網站、要求驗證 (HTTPS)
   　- 隱私權 → 進階 → 覆寫自動 Cookie 處理 → 拒絕第三方 Cookie
9. 啟用自動更新並設定通知模式：
   控制台 → 自動更新 → 「自動下載更新，並在安裝前通知我」 (平衡安全與業務連續性)。
10. 稽核關鍵事件：
    secpol.msc → 區域原則 → 稽核原則 → 啟用「稽核登入事件」(成功/失敗)、「稽核物件存取」(失敗)、「稽核原則變更」(成功/失敗)、「稽核系統事件」(成功/失敗)。

一鍵套用腳本 (匯入 .reg)

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"LimitBlankPasswordUse"=dword:00000001
"RestrictAnonymous"=dword:00000001
"RestrictAnonymousSam"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Messenger]
"Start"=dword:00000004
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteRegistry]
"Start"=dword:00000004
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\upnphost]
"Start"=dword:00000004
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SSDPSRV]
"Start"=dword:00000004
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TlntSvr]
"Start"=dword:00000004
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RDSessMgr]
"Start"=dword:00000004

驗證基準

• 使用 Microsoft Baseline Security Analyzer (MBSA) 掃描缺失更新、弱設定。
• 使用 Nessus / OpenVAS 進行弱點掃描。
• 檢查 net share、net session、netstat -an 無異常開放埠/共享/連線。

總結

「預設不安全」是作業系統的通病。修改這 10 項 XP 預設值，配合最小權限原則、持續更新、備份策略，即可建立符合基礎安全基準的 XP 環境。若為企業部署，建議透過群組原則/安全性範本 (Security Templates) 集中下發並定期稽核。