Windows XP 基於 NT 核心，穩定性與網路功能大幅提升，但也繼承了 NT 核心的複雜攻擊面：RPC 漏洞、遠端桌面暴力破解、終端服務未授權存取、開放埠口掃描入侵。單靠裝防毒軟體遠遠不夠。本文建構三大防護支柱：常規防護（補丁+防毒+禁 Ping）、封鎖遠端入口（禁用遠端協助、TCP/IP 篩選封埠）、關閉終端服務（阻斷最高權限遠端入侵），構建纵深防御體系。
支柱一：常規安全防護（基礎中的基礎）
- 安裝防毒軟體並開啟即時掃描、每日更新病毒碼。
- 系統升級至 Service Pack 3（SP3）：含所有至 2008 年的安全更新，大幅減少漏洞面。注意：SP3 會增加資源佔用，低規格機器（<512MB RAM）需評估。
- 安裝 MS08-067 (KB958644)、MS04-011 (KB841873) 等關鍵補丁（若未含於 SP3）。
- 禁止 ICMP 回應（禁 Ping）： 防火牆/TCP/IP 篩選封鎖 ICMP Echo Request，降低被掃描發現機率。
支柱二：禁止遠端協助 + TCP/IP 篩選封鎖閒置埠口
1. 禁用「遠端協助」（RPC 服務攻擊面）
「遠端協助」允許 MSN 好友遠端連線協助，實為 RPC (Remote Procedure Call) 服務在 XP 的表現形式，正是「衝擊波」蠕蟲攻擊目標。
操作： 右鍵「我的電腦」→「內容」→「遠端」索引標籤 → 取消勾選 「允許從這台電腦傳送遠端協助邀請」 → 確定。
補充： 安裝 Microsoft RPC 漏洞修補工具與「衝擊波」免疫程式雙重保障。
2. TCP/IP 篩選服務：只開必要埠，其餘全關（最強網路層防護）
- 「網路連線」→ 右鍵「區域連線」→「內容」→ 選「Internet 協定 (TCP/IP)」→「內容」→「進階」→「選項」→「內容」。
- 在「TCP/IP 篩選」視窗，三類協定（TCP、UDP、IP）皆選 「只允許」。
- 逐一新增允許的埠號：
TCP：80 (HTTP)、443 (HTTPS)、53 (DNS)、25/110/995 (郵件)、3389 (遠端桌面-若需)
UDP：53 (DNS)、67/68 (DHCP)、123 (NTP)
IP：必要協定編號（如 1=ICMP、6=TCP、17=UDP）
- 確定全部視窗 → 重開機生效。
效果： 核心網路層面直接丟棄非白名單封包，任何掃描/攻擊封包在進入應用層前即被阻擋，極大縮小攻擊面。若不提供任何網路服務（純客戶端），可「只允許」留空，全埠封鎖，最極致防護。
支柱三：禁止終端服務遠端控制（阻斷最高權限入侵）
「終端服務」為 Win2000 遺留服務，XP 預設開啟。若攻擊者取得任一有效使用者帳號密碼 + IP，即可透過遠端桌面 (RDP) 以該使用者權限完全控制電腦，無需受邀、無視本機使用者。
操作： 右鍵「我的電腦」→「內容」→「遠端」索引標籤 → 取消勾選 「允許使用者遠端連線到這台電腦」 → 確定。
差異：「遠端協助」需受邀、權限受限；「終端服務/遠端桌面」獨立登入、完整權限、隱蔽性高，危害性遠大於遠端協助。
進階建議：纵深防御清單
- 啟用 Windows 防火牆（SP2 內建），設定「例外」僅開必要程式/埠。
- 使用非管理員帳號日常操作，需提權用 RunAs/UAC。
- 停用/移除不需服務：Messenger、Remote Registry、SSDP Discovery、Universal Plug and Play 等。
- 登錄檔強化：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous=1 限制匿名列舉。
- 定期審核事件檢視器（安全性日誌），關注登入類型 3/10（網路/遠端互動登入）。
- 重要提醒： XP 於 2014/4/8 終止支援，無安全更新，建議離線隔離使用或升級至受支援系統（Win10/11/Linux）。
三大支柱落地，XP 系統將具備企業級基礎防護能力。安全無絕對，唯有持續修補、最小權限、纵深防御，才能在惡意網路環境中生存！
