前言
Windows XP 預設為易用性優先，開啟大量網路服務與共享功能，直接連接網際網路極度危險。本文整理企業級/個人進階使用者的 XP 安全基線設定，涵蓋帳號、服務、連接埠、登錄、群組原則、稽核等層面，建立纏深防禦體系。
一、帳號與密碼策略
- 密碼複雜度：8 字元以上，大小寫、數字、符號混合，每 30-60 天輪換。
- 重命名 Administrator：本地用戶和群組 → 重新命名為難以猜測名稱。
- 停用 Guest 帳號：控制台 → 用戶帳號 → Guest → 關閉。
- 日常使用標準帳號：非 Administrators 群組，需提權時使用「執行身分」。
- 刪除預設帳號：
Support_388945a0、HelpAssistant（本地用戶和群組中刪除）。
二、網路共享與 IPC$ 強化
| 項目 | 設定方法 | 註冊表/命令 |
|---|
| 刪除預設共享 (C$, ADMIN$, IPC$ 等) | 命令列執行 | net share admin$ /delete
net share c$ /delete... |
| 禁止 IPC$ 空連線 | 登錄編輯器 | HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous = 1（需重開機） |
| 完全停用 Server 服務 | services.msc | 停用並設為「已停用」（會失去檔案/列印共享功能） |
| 禁止自動建立預設共享 | 登錄編輯器 | HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareWks = 0（專業版）
AutoShareServer = 0（伺服器版） |
三、高危連接埠關閉
| 連接埠 | 服務/協定 | 關閉方法 |
|---|
| 139 (NetBIOS) | 檔案/列印共享 | 網路連線 → 區域連線 → TCP/IP 內容 → 進階 → WINS → 「停用 TCP/IP 上的 NetBIOS」 |
| 445 (SMB) | 直接裝載 SMB | HKLM\SYSTEM\CurrentControlSet\Services\NetBT\Parameters\SMBDeviceEnabled = 0 (DWORD) |
| 3389 (RDP) | 遠端桌面 | 系統內容 → 遠端 → 取消「允許遠端協助/遠端桌面」 |
四、建議停用的 17 項高風險服務
路徑：services.msc → 雙擊服務 → 啟動類型設為「已停用」
- Alerter（系統管理警示）
- ClipBook（剪貼簿共享）
- Distributed Link Tracking Server（Client 改為手動）
- Indexing Service（索引服務，耗資源且洩露檔案資訊）
- Messenger（訊息服務，垃圾彈窗來源）
- NetMeeting Remote Desktop Sharing
- Network DDE / Network DDE DSDM（舊式 DDE 網路共享）
- Performance Logs and Alerts（效能記錄，非必要）
- Remote Desktop Help Session Manager（遠端協助）
- Remote Registry（遠端登錄修改，極高風險）
- Routing and Remote Access（路由/遠端存取，非閘道器勿開）
- TCP/IP NetBIOS Helper（若不使用 NetBIOS/WINS）
- Telnet（明文遠端登入，極度不安全）
- Terminal Services（終端機服務，非終端機伺服器勿開）
- Windows Image Acquisition (WIA)（掃描/相機，按需啟用）
- Server（若不需共享檔案/列印）
- Workstation（若不需存取遠端共享，但通常需保留）
五、本地安全策略進階設定
路徑：secpol.msc → 本地原則
稽核原則（建議值）
- 稽核原則變更：成功、失敗
- 稽核登入事件：成功、失敗
- 稽核物件存取：失敗
- 稽核程序追蹤：無
- 稽核目錄服務存取：失敗
- 稽核特權使用：失敗
- 稽核系統事件：成功、失敗
- 稽核帳號登入事件：成功、失敗
- 稽核帳號管理：成功、失敗
安全性選項（關鍵項）
- 互動式登入：不需 Ctrl+Alt+Del → 啟用（方便遠端管理）
- 互動式登入：不顯示上次用戶名 → 停用（不洩露帳號）
- 網路存取：不允許 SAM 帳號匿名列舉 → 啟用
- 網路存取：可匿名存取的共享 → 清空值
- 網路存取：可匿名存取的命名管道 → 清空值
- 網路存取：可遠端存取的登錄路徑 → 清空值
- 裝置：限制 CD-ROM 存取權給本地登入用戶 → 啟用
用戶權限指派
- 從網路存取此電腦：移除非 Administrators 群組
- 從遠端系統強制關機：移除所有帳號
- 拒絕從網路存取此電腦：加入
Support_* 帳號
六、TCP/IP 篩選與防火牆
- 啟用 Windows 防火牆（SP2 以上），例外清單最小化。
- 進階 TCP/IP 篩選：僅允許必要 TCP/UDP 連接埠（如 80, 443, 53, 123 等）。
- 安裝第三方主機型防火牆（如 Comodo、Outpost、ZoneAlarm 免費版）提供出站控制。
七、日常操作習慣
- 離開座位：Win + L 鎖定電腦。
- 定期檢視開啟連接埠：
netstat -an。
- 定期檢視共享：
net share。
- 保持補丁更新（雖 XP 已停止支援，仍可安裝 POSReady 2009 更新延續至 2019）。
- 使用受限帳號瀏覽網頁、開啟郵件附件。
結語
安全無絕對，唯有分層防禦。XP 時代的這套強化清單，其核心邏輯——最小權限原則、預設拒絕、縮小攻擊面、啟用稽核——在現代 Windows 10/11、Linux 伺服器強化中依然完全適用。對於必須維護 XP 的嵌入式/工控環境，建議搭配網路隔離（VLAN、單向閘道）、應用程式白名單（AppLocker/Software Restriction Policies）、虛擬化沙箱等補償性控制措施。
