Windows XP 安全加固八大鐵律：從服務精簡到加密鎖機的實戰棧單

雖 Windows XP 已停止主流支援，但嵌入式系統、工控機、舊版軟體相容環境仍大量運行。面對無補丁的高風險環境，「縮小攻擊面、提高入侵成本、啟用纵深防禦」 是核心策略。本文提煉八大實戰加固措施，構建相對安全的 XP 執行基線。

一、 精簡服務：關閉非必要入口，縮小攻擊面

操作： services.msc 或控制台 → 管理工具 → 服務

原則：「預設拒絕，按需啟用」。每停用一項服務，即減少一個潛在遠端攻擊向量。

二、 啟用電源保護：防範意外斷電導致資料損壞與硬體損傷

路徑： 控制台 → 電源選項 → 進階 → 「按下電源按鈕時」選「休眠」或「詢問我該怎麼做」。
效果：誤觸電源鍵不會直接硬關機，系統進入休眠保留記憶體狀態至硬碟，再次開機秒級恢復工作現場。
補充：配合 UPS (不斷電系統) + PowerChute 類軟體，實現斷電自動安全關機。

三、 啟用 EFS 檔案加密：保護靜態資料機密性

適用： NTFS 分區專業版/企業版。
操作： 右鍵資料夾/檔案 → 內容 → 進階 → 勾選「加密內容以保護資料」。
關鍵點：

• 加密透明於用戶，登入即解密，他人竊取硬碟無法讀取。
• 必須備份 EFS 憑證與私鑰 (.pfx`)：cipher /x 或 certmgr.msc 匯出，否則重裝系統/忘記密碼將永久失去資料。
• 系統目錄、壓縮檔案、FAT32 分區不支援 EFS。

四、 一鍵鎖定工作站：離席秒級安全，免去頻繁開關機

建立捷徑： 桌面右鍵 → 新增 → 捷徑 → 位置輸入：rundll32.exe user32.dll,LockWorkStation → 命名「鎖定電腦」。
熱鍵替代： Win+L (XP 原生支援)。
效果：立即鎖定桌面，需輸入密碼解鎖，程序持續後台運行，避免開關機對硬碟/電源損耗。

五、 啟用內建防火牆：基礎網路邊界防護

路徑： 控制台 → 網路連線 → 右鍵連線 → 內容 → 進階 → 勾選「保護我的電腦和網路...」 → 設定。
關鍵設定：

• 例外清單：僅開放業務必須埠 (如內部管理 3389 限特定 IP、Web 服務 80)。
• ICMP：允許「傳入回應請求」 (Ping) 便於監控，拒絕其他。
• 日誌：啟用「記錄已捨棄的封包」「記錄成功的連線」，定期審計異常連線嘗試。

局限：XP 防火牆僅具備入站過濾，無出站控制、無 IPS、無應用層識別。生產環境必須前置硬體防火牆/下一代防火牆，或安裝第三方主機防火牆 (如 Comodo, Outpost, ZoneAlarm 歷史版本)。

六、 強化帳號與認證策略：提高暴力破解成本

本地安全性原則 (secpol.msc`)：

• 密碼原則：長度 ≥ 12、複雜度啟用、最長使用期限 90 天、歷史記憶 24 次。
• 帳號鎖定：閾值 5 次、鎖定時間 30 分鐘、重設計數器 30 分鐘。
• 重命名 Administrator → 隱蔽高權限帳號，建立誘餌 Administrator 帳號 (無權限、觸發告警)。
• 禁用 Guest、建立標準用戶日常使用，UAC 等效操作：RunAs / 右鍵「以其他用戶身分執行」。

七、 註冊表與系統核心加固：封堵常見利用路徑

; 禁用 DCOM (減少 135 埠攻擊面)
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole]
"EnableDCOM"="N"

; 限制匿名枚舉 (SAM/共享/命名管道)
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"RestrictAnonymous"=dword:00000001  ; 1=限制匿名存取 SAM/共享, 2=完全拒絕匿名 (可能破壞信任關係)
"RestrictAnonymousSAM"=dword:00000001

; 禁用自動執行 (防止 USB 蠕蟲 autorun.inf)
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000ff

; 同步刷新註冊表到磁碟 (減少崩潰資料遺失)
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager]
"GlobalFlag"=dword:00000000

八、 應用程式白名單與補丁管理：最後防線

• 軟體限制原則 (secpol.msc` → 軟體限制原則)：預設「不允許」，僅允許經簽名驗證/路徑/雜湊規則的可執行檔運行。有效阻擋未知惡意代碼執行。
• 內部 WSUS/離線補丁包：雖無官方補丁，但可部署內部 WSUS 分發 POSReady 2009 (嵌入式 XP 延長支援至 2019) 相容補丁、或購買微軟定制支援 (昂貴)、或應用第三方微補丁 (0patch 等)。
• 瀏覽器隔離：嚴禁 XP 直接上網。必須透過終端機/虛擬桌面/瀏覽器隔離平台 (如 Menlo Security, 轉碼瀏覽) 訪問外部 Web。
• 防毒軟體：部署仍支援 XP 定義庫的防毒 (ClamAV, ESET 舊版, Kaspersky 舊版)，啟用即時掃描、啟發式、雲端查殺。

總結：XP 安全生存法則

1. 物理/網路隔離：不聯網、不插不明 U盤、置於受控 VLAN/工控區。
2. 最小權限運行：標準用戶 + RunAs，禁止 Administrator 日常登入。
3. 服務/埠/協議極致精簡：只開業務必須項。
4. 資料加密備份：EFS + 定期離線備份 + 憑證私鑰異地保管。
5. 前置防護：硬體防火牆 + 應用白名單 + 防毒 + 微補丁。
6. 遷移規劃：制定明確淘汰時間表，評估虛擬化/容器化/重寫/替代方案，不要讓「臨時」變成「永久」。

Windows XP 在 2024 年仍存活於關鍵基礎設施中，安全不在於「多安全」，而在於「可控風險」與「有計畫退出」。以上八大措施，為您爭取寶貴的遷移緩衝期。