Windows XP 雖已停止支援，但仍有特定環境 (嵌入式系統、舊版應用相容、離線設備) 必須繼續使用。本文提供從安裝、帳號、服務、網路、登錄檔、瀏覽器、稽核、備份、應用程式白名單、持續監控 10 大面向的完整加固清單，建立纖深防禦基準。
1. 安裝階段加固
- 使用整合 SP3 + 所有修補程式的安裝媒體 (nLite/RT Seven Lite 製作)。
- 安裝時選擇 NTFS 檔案系統 (支援權限、加密、磁碟配額、稽核)。
- 分割區規劃：系統碟 (C:) 獨立、資料碟 (D:) 獨立、分頁檔碟 (E:) 獨立 (條件允許)。
- 安裝過程斷網，避免安裝階段感染蠕蟲 (如 Blaster, Sasser)。
- 安裝完成立即離線安裝防毒軟體、關鍵修補程式 (手動下載離線安裝包)。
2. 帳號與認證強化
- 重命名 Administrator 帳號 (群組原則/安全性範本)。
- 建立標準使用者帳號日常使用，Administrator 僅供維護。
- Guest 帳號：停用、重命名、設定強密碼。
- 密碼原則：
secpol.msc → 最小長度 12、複雜度啟用、最長壽命 90 天、歷史記憶 24 代、鎖定門檻 5 次、鎖定時間 30 分鐘。
- 啟用「互動式登入：不顯示最後使用者名稱」 (群組原則)。
- 限制空密碼帳號僅允許主控台登入：
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\LimitBlankPasswordUse = 1。
3. 服務最小化
僅啟用業務必要服務，核心保留清單：
- Remote Procedure Call (RPC) / DCOM Server Process Launcher / RPC Endpoint Mapper
- Plug and Play / Windows Driver Foundation
- Event Log / COM+ Event System
- Cryptographic Services / Windows Firewall/Internet Connection Sharing (ICS)
- Workstation / Server (視檔案共享需求)
- Automatic Updates (設為通知模式)
- System Restore Service (若啟用系統還原)
- Themes / Shell Hardware Detection (視介面需求)
必停用：Messenger、Remote Registry、Telnet、Universal Plug and Play Device Host、SSDP Discovery Service、Remote Desktop Help Session Manager (不使用遠端協助)、Indexing Service (少用搜尋)、Error Reporting Service。
4. 網路與防火牆
- Windows 防火牆 (SP2+)：開啟、例外僅保留必要 (檔案共享僅內網、遠端桌面僅管理 IP、列印共享僅內網)。
- 關閉 NetBIOS over TCP/IP (不需檔案共享時)：「網路連線」→ 區域連線 → 內容 → TCP/IP → 進階 → WINS → 停用 NetBIOS。
- 修改/停用預設共享 (C$, ADMIN$, IPC$)：
HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareWks = 0
HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareServer = 0
批次檔 net share C$ /delete 等配合排程工作每次開機執行。
- 使用 IPSec 原則 (
secpol.msc) 加密敏感通訊 (資料庫、管理流量)。
5. 登錄檔與系統設定加固
Windows Registry Editor Version 5.00
; 限制匿名存取
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"RestrictAnonymous"=dword:00000001
"RestrictAnonymousSam"=dword:00000001
"LimitBlankPasswordUse"=dword:00000001
; 關機清除分頁檔 (高安全環境，延長關機時間)
; [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management]
; "ClearPageFileAtShutdown"=dword:00000001
; 關機強制結束程式/服務超時縮短
[HKEY_CURRENT_USER\Control Panel\Desktop]
"AutoEndTasks"="1"
"WaitToKillAppTimeout"="2000"
"HungAppTimeout"="1000"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control]
"WaitToKillServiceTimeout"="10000"
; 禁止 LM 雜湊儲存
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"NoLMHash"=dword:00000001
; 限制快取登入次數 (行動裝置)
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"CachedLogonsCount"=dword:00000003
6. IE / 瀏覽器安全性
- IE 8 (XP 最高版本) 設定：網際網路區域 → 高安全性 / 自訂 → 停用 ActiveX、Java、指令碼存取剪貼簿、檔案下載提示。
- 信任網站區域：僅 HTTPS 網站、要求驗證。
- 隱私權：封鎖第三方 Cookie、啟用 P3P。
- 進階：勾選「檢查伺服器憑證撤銷」、「使用 TLS 1.0/1.1/1.2」。
- 強烈建議：改用支援 XP 的現代瀏覽器 (Firefox ESR 52、Chrome 49、Opera 36) 並啟用自動更新、uBlock Origin、HTTPS Everywhere。
7. 稽核與日誌管理
secpol.msc → 稽核原則：啟用登入事件 (成功/失敗)、物件存取 (失敗)、原則變更 (成功/失敗)、系統事件 (成功/失敗)、帳號管理 (成功/失敗)、目錄服務存取 (失敗)。- 事件檢視器 → 安全性日誌 → 最大大小 128MB、覆寫舊事件。
- 部署 Sysmon (System Monitor) (需 Win7+，XP 可用舊版 2.x) 記錄進程建立、網路連線、檔案建立、登錄檔修改、驅動程式載入等詳細事件。
- 集中日誌收集：Snare Agent、NXLog 將事件轉發至 SIEM/Syslog 伺服器。
8. 備份與災難恢復
- 系統狀態備份 (NTBackup/Windows Server Backup) 包含登錄檔、COM+、開機檔案、SYSVOL (DC)。
- 完整系統映像備份 (Macrium Reflect Free, Clonezilla, Veeam Agent) 每週/每日差異。
- 重要資料雲端/異地備份 (3-2-1 原則)。
- 定期演練還原測試 (季度)，驗證備份可用性與 RTO/RPO。
9. 應用程式白名單/受控執行
- XP/2003：Software Restriction Policies (SRP) → 規則：僅允許
%SystemRoot%\*, %ProgramFiles%\*, \\ApprovedServer\Apps\* 路徑執行 .exe/.dll/.bat/.cmd/.vbs/.ps1。
- 指定不允許執行的副檔名：.scr, .pif, .cpl, .msi (非信任來源), .jar, .wsf, .wsh。
- Vista+：AppLocker (企業版/旗艦版) 規則更精細 (發行者、檔案雜湊、路徑)。
10. 持續監控與事件響應
- 每日檢查：Windows Update 狀態、防毒軟體更新/掃描報告、事件日誌關鍵事件 (4625, 4720, 4722, 4724, 4725, 4726, 4738, 4740, 4767, 4776, 4778, 4779, 4780, 4781, 4794, 4798, 4799, 4800, 4801, 4802, 4803, 4816, 4817, 4818, 4819, 4820, 4821, 4822, 4823, 4824, 4825, 4826, 4864, 4865, 4866, 4867, 4868, 4869, 4870, 4871, 4872, 4873, 4874, 4875, 4876, 4877, 4878, 4879, 4880, 4881, 4882, 4883, 4884, 4885, 4886, 4887, 4888, 4889, 4890, 4891, 4892, 4893, 4894, 4895, 4896, 4897, 4898, 4899, 4900, 4901, 4902, 4903, 4904, 4905, 4906, 4907, 4907, 4908, 4909, 4910, 4911, 4912, 4913, 4914, 4915, 4916, 4917, 4918, 4919, 4920, 4921, 4922, 4923, 4924, 4925, 4926, 4927, 4928, 4929, 4930, 4931, 4932, 4933, 4934, 4935, 4936, 4937, 4938, 4939, 4940, 4941, 4942, 4943, 4944, 4945, 4946, 4947, 4948, 4949, 4950, 4951, 4952, 4953, 4954, 4955, 4956, 4957, 4958, 4959, 4960, 4961, 4962, 4963, 4964, 4965, 4966, 4967, 4968, 4969, 4970, 4971, 4972, 4973, 4974, 4975, 4976, 4977, 4978, 4979, 4980, 4981, 4982, 4983, 4984, 4985, 4986, 4987, 4988, 4989, 4990, 4991, 4992, 4993, 4994, 4995, 4996, 4997, 4998, 4999, 5000) —— 這裡列舉過多，實際部署請依據 MITRE ATT&CK 矩陣選擇關鍵事件 ID 設定告警。
- 建立事件響應手冊：隔離 → 取證 → 清除 → 恢復 → 事後分析 → 改進防禦。
- 定期滲透測試/紅隊演練 (年度)，驗證防禦有效性。
總結
XP 安全加固是系統工程，需從安裝源頭管控、帳號最小權限、服務最小化、網路邊界防護、登錄檔基準、瀏覽器替代、稽核可見性、備份可恢復、執行白名單、持續監控 10 面向落實。若環境允許，遷移至支援中作業系統 (Windows 10/11 LTSC, Linux) 才是根本解決之道。
