Windows XP 全方位安全強化策略：服務精簡、修補管理、加密、鎖定與最小權限

Windows XP 雖已停止主流支援 (2014 年)，但嵌入式系統、工控機、醫療設備、離線測試環境仍大量運行。面對無修補的 0-day 風險，唯有「縮小攻擊面、強化防禦深度、實施最小權限、離線/隔離運行」四大策略組合，才能將風險控制在可接受範圍。本文提供企業級強化清單。

一、服務與元件精簡：關閉非必要進入點

每個啟動服務都是潛在攻擊面。操作路徑：services.msc → 雙擊服務 →「啟動類型」設為「手動」或「停用」。
建議停用/手動服務清單 (視業務調整)：

核心服務保留自動： EventLog, PlugPlay, RpcSs, LanmanWorkstation, LanmanServer, Dhcp, Dnscache, CryptSvc, SharedAccess (防火牆), W32Time (同步時間), Wuauserv (自動更新, 若離線則停用)。

二、修補管理：離線/隔離環境的修補策略

• 基準線： 整合 SP3 + POSReady 2009 註冊表鍵值 (HKLM\SYSTEM\WPA\PosReady = 1) 獲取延伸更新至 2019 年 4 月。
• 離線修補： 使用 WSUS Offline Update (ctoffline) 下載所有關鍵/重要更新至 ISO/USB，在隔離環境離線安裝。
• 虛擬修補： 部署主機級 IPS/防火牆 (如 Trend Micro Deep Security Virtual Patching, Cisco AMP) 針對已知 CVE 簽名阻斷攻擊，彌補無修補缺口。
• 應用程式白名單： AppLocker (需 Enterprise) 或 Software Restriction Policies 限制僅允許簽名受信可執行檔運行，從執行層面阻斷未知惡意碼。

三、資料保護：EFS 加密與權限最小化

1. NTFS 權限精細化： 移除 Everyone, Users 對敏感資料夾的讀取/執行權限，僅授予特定安全群組 Read/Write。停用繼承，明確設定 ACL。
2. EFS 檔案級加密： 右鍵資料夾 →「內容」→「進階」→ 勾選「加密內容以保護資料」。
   關鍵： 立即備份 EFS 憑證 (cipher /x 導出 .pfx 含私鑰) 至離線安全儲存，避免重裝系統/帳戶損毀導致資料永久無法解密。
3. BitLocker (僅 Vista+ 支援，XP 需第三方如 TrueCrypt/VeraCrypt 容器加密)：敏感資料放入加密容器掛載使用，卸載後無痕跡。

四、工作站鎖定與實體安全

• 快捷鍵鎖定： Win+L (最快)、建立桌面捷徑 rundll32.exe user32.dll,LockWorkStation。
• 螢幕保護程式密碼保護： 等待 5-10 分鐘自動鎖定。
• BIOS/UEFI 密碼： 設定開機密碼 + 管理員密碼，防止修改啟動序從外部媒體啟動繞過系統登入。
• 機箱鎖/肯辛頓鎖： 實體防盜、防拆硬碟。

五、網路層面隔離與監控 (生產環境必做)

1. VLAN 隔離： XP 設備置於專用 VLAN，僅允許存取必要應用伺服器 IP/埠口，禁止直接上網、禁止存取管理網段。
2. 防火牆微分段： 防火牆策略：
   來源: XP_VLAN → 目的: App_Server_IP (TCP 1433/80/443) → 允許
   來源: XP_VLAN → 目的: Any (Internet) → 拒絕/記錄
   來源: Any → 目的: XP_VLAN → 拒絕 (除管理跳板機)
3. 流量監控： 部署流量分析 (NetFlow/sFlow/Zeek) 持續監控 XP_VLAN 異常連線 (掃描、異常埠口、大量外傳)。
4. 端點檢測回應 (EDR)： 輕量級 Agent (支援 XP 最後版) 回傳行為遙測至 SIEM，異常提權、進程注入、排程任務建立即時告警。

六、帳戶與認證強化

• 重命名內建 Administrator → 隱藏帳戶 (net user NewAdmin /add /active:yes + net user Administrator /active:no)。
• 所有帳戶強制複雜密碼 (GPO: 密碼長度 ≥ 12, 歷史記憶 24, 最長壽命 90 天)。
• 停用 Guest 帳戶 (net user Guest /active:no)。
• 建立「遠端桌面使用者」群組，僅授權特定帳戶，移除「管理員」直接遠端登入權限。
• 啟用帳戶鎖定原則：錯誤 5 次鎖定 30 分鐘。

驗收基線檢查腳本 (PowerShell 2.0 相容)

# 檢查關鍵服務狀態
$critical = @("EventLog","RpcSs","LanmanWorkstation","LanmanServer","Dhcp","Dnscache","CryptSvc","SharedAccess")
$disabled = @("RemoteRegistry","Messenger","WebClient","Schedule","Browser","Alph")
Get-Service $critical | Where-Object {$_.Status -ne "Running"} | Select-Object Name, Status
Get-Service $disabled | Where-Object {$_.StartType -ne "Disabled"} | Select-Object Name, StartType
# 檢查防火牆啟用
netsh firewall show state | Select-String "Operational mode"
# 檢查 EFS 憑證備份
cipher /u /n | Select-String "No encrypted files" -NotMatch

Windows XP 安全強化不是單一設定，而是「服務精簡 + 離線修補 + 加密權限 + 實體鎖定 + 網路隔離 + 帳戶強化」的纏繞體系。每項措施單獨看可繞過，組合後將攻擊成本推高至攻擊者不願承擔。對於必須繼續運行 XP 的關鍵系統，請依清單逐項落實，並建立定期複查機制，將殘留風險納入風險登記簿持續追蹤。