XP 系統安全十大鐵律：從分區格式到權限管理的完整防護

前言：普及帶來風險，主動防護不可少

Windows XP 普及率極高，漏洞與攻擊隨之而來。以下十招從底層架構到日常管理，構建多層防禦體系。

1. 全分區採用 NTFS 格式

NTFS 提供檔案級權限、加密 (EFS)、磁碟配額、稽核等安全特性。系統盤必須為 NTFS；資料盤建議同步轉換 (convert X: /fs:ntfs)。應用程式勿與系統同分區，防 IIS 等服務漏洞導致系統檔洩露或提權。

2. 精簡元件安裝：最小服務原則

預設安裝包含大量非必要服務 (如 IIS、通用即插即用等)。「控制台」→「新增/移除程式」→「新增/移除 Windows 元件」，僅保留業務必需項目。最少服務 + 最小權限 = 最大安全。

3. 嚴格管控使用者與資源權限

預設群組權限階層：
Administrators：完全控制，最高權限。
Power Users：可修改電腦設定、安裝程式，但不可提權至 Administrators。
Users：僅能執行驗證過的程式、建立本地群組、修改自建群組。
Guests：權限同 Users 但限制更多。
原則： 日常使用標準用戶帳號，管理任務才用「執行身分」或切換管理員。

4. 禁用/重命名 Administrator 帳號

內建 Administrator 是暴力破解首選目標。建議重命名並設強密碼，或建立新管理員帳號後禁用原帳號。

5. 強化密碼策略 (透過群組原則)

gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 帳戶原則 → 密碼原則：
✓ 密碼必須符合複雜性需求 → 啟用
✓ 密碼最小長度 → 8 字元以上
✓ 密碼最長使用期限 → 42 天 (強制換密)
✓ 密碼最短使用期限 → 1 天 (防立即改回舊密碼)
✓ 強制密碼歷程記錄 → 記住 5 次

6. 啟用 SysKey 雙重加密 SAM 資料庫

執行 syskey → 「更新」 → 選「啟動金鑰」→ 「儲存在軟碟」或「本機」。啟用後，SAM 加密金鑰不在硬碟，離線破解極難。軟碟模式每次開機需插入金鑰盤，安全性最高。

7. 建立密碼重設磁碟：防自己忘記

控制台 → 使用者帳號 → 選帳號 → 「防止遺忘密碼」→ 依精靈建立 USB/軟碟重設磁碟。登入失敗時可用此磁碟重設密碼，不致被鎖門外。

8. 關閉不必要的網路服務與連接埠

服務 (services.msc) 禁用：
- Universal Plug and Play (SSDP 發現服務)
- Remote Registry (遠端登錄存取)
- Telnet / FTP / IIS (非伺服器環境)
防火牆僅開放業務必要埠。

9. 開啟 Windows 防火牆並設例外規則

SP2 內建防火牆預設開啟。控制台 → Windows 防火牆 → 例外頁籤，僅勾選必要服務 (如檔案和印表機共用僅限信任子網)。

10. 保持修補程式與防毒軟體最新

啟用「自動更新」→「自動下載並安裝」。防毒軟體每日更新病毒碼，掃描排程每週一次。補丁與防毒是最後防線，不可缺一。

結語

安全非一蹴而就，需從安裝分區、元件精簡、帳號權限、加密、防火牆、修補程式等多層面持續經營。落實上述十點，XP 系統即可在支援結束前維持相對安全的運行環境。