雖然 Windows XP 已於 2014 年停止支援，但其核心安全架構 (基於 Windows 2000/NT 核心) 仍具參考價值。XP 內建四大安全支柱：完善的用戶管理與 ACL、透明的軟體限制原則 (SRP)、支援 NTFS 與 EFS 加密檔案系統、內建網際網路連線防火牆 (ICF)。理解這些機制有助於在無法升級系統的舊設備上建立纵深防禦。
一、完善的用戶管理與存取控制列表 (ACL)
- 採用 NT 核心安全模型：每個物件 (檔案、登錄鍵、程序、Token) 擁有 SID、DACL (隨意存取控制列表)、SACL (系統存取控制列表)。
- 登入時顯示所有使用者帳號，無隱藏後門帳號 (Win2000 曾有此問題)。
- NTFS 權限：對資料夾/檔案設定「安全性」頁籤，精確控制 允許/拒絕 讀取/寫入/執行/完全控制 等權限。
- 稽核功能：啟用物件的 SACL 稽核 (成功/失敗)，將存取事件寫入「安全性事件記錄」，事後追蹤異常存取。
二、透明的軟體限制原則 (Software Restriction Policies, SRP)
- 以「透明」方式隔離不可信代碼：依據 雜湊值、憑證簽章、路徑、網路區域 四種規則判斷程式是否允許執行。
- 預設「不受限制」規則允許所有程式運行；管理員可新增「禁止」規則封鎖特定惡意檔案/資料夾/簽章。
- 有效阻擋郵件附件、網頁下載的病毒/蠕蟲/木馬自動執行，保護使用者資料安全。
- 設定路徑：「控制台」→「管理工具」→「本地安全性原則」→「軟體限制原則」。
三、支援 NTFS 與加密檔案系統 (EFS)
- EFS 架構：基於公開金鑰基礎建設 (PKI)，利用 CryptoAPI、DPAPI 保護檔案加密金鑰 (FEK)。
- 演算法支援：DESX (預設)、3DES、AES (XP SP3+)。
- 操作透明：右鍵檔案/資料夾 →「內容」→「進階」→ 勾選「加密內容以保護資料」 → 確定。資料夾加密會自動遞迴套用至子項目。
- 金鑰備份：
cipher /x 匯出 PFX 憑證備份，避免使用者憑證遺失導致資料永久無法解密。
四、安全的網路存取特性與內建防火牆 (ICF)
- 自動更新：Windows Update / Automatic Updates 服務自動下載安裝安全修補程式，減輕管理負擔。
- ICF (Internet Connection Firewall)：狀態式封包檢查防火牆，支援 LAN/VPN/撥號介面。
✅ 「自訂設定」開放特定連接埠/服務 (如遠端桌面 3389、Web 伺服器 80)。
✅ 「記錄檔檢視」記錄丟棄/成功連線，便於審計。
⚠️ 僅具備輸入方向防護，無輸出攔截 (木馬外連無法阻擋)。
圖：Windows XP 四大安全支柱
現代環境下的 XP 防禦建議
- 🛡️ 離網/隔離網段使用：切斷直接連網路徑，透過閘道/防火牆統一出口。
- 🛡️ 第三方即時防毒：火綿、360、MSE (已停更但特徵碼仍可用)、ClamAV 等維持掃毒能力。
- 🛡️ 應用程式白名單：SRP 或 AppLocker (需 Win7+) 僅允許授權程式執行。
- 🛡️ 虛擬機/沙箱隔離：在現代宿主機上運行 XP VM，快照/還原輕鬆應對感染。
- 🛡️ 定期離線備份：重要資料定期複製至離線媒體，防範勒索軟體。
Windows XP 的安全機制在當年屬於先進水準，但在零修補環境下已無法抵禦現代威脅。理解其架構優缺點，配合隔離、防毒、白名單、備份等補償性控制，才能在不得不使用 XP 的場景將風險降至最低。
