背景
雖 Windows XP 已於 2014 年停止支援，但嵌入式系統、工控電腦、舊版軟體相容性等原因，仍有大量 XP 系統在線運行。本文整理 7 大核心防護策略，將風險降至最低。
1. 停用不需要的服務與元件 (縮小攻擊面)
- 開啟
services.msc，針對非必要服務 (如 Messenger、Remote Registry、Telnet、Universal Plug and Play 等) 設為「已停用」。
- 「新增/移除程式」→「新增/移除 Windows 組件」移除未使用的子系統 (MSN Messenger、傳真、索引服務等)。
- 參考「XP 可安全停用的服務完整清單」文章執行詳細精簡。
2. 持續修補：離線安裝所有安全更新
- XP 官方更新伺服器已關閉，無法使用 Windows Update 線上更新。
- 下載 WSUS Offline Update 或 Microsoft Update Catalog 手動下載所有關鍵/重要更新 (截至 2014 年 4 月 + POSReady 2009 更新至 2019 年)。
- 在隔離網路環境下離線安裝完整修補程式套件 (SP3 + 所有後續更新)。
- 啟用 自動更新服務 僅供本地 WSUS/內部更新伺服器使用，不連公網。
3. 加密重要資料 (EFS / BitLocker 替代方案)
- 使用 NTFS EFS (加密檔案系統)：右鍵檔案/資料夾 →「內容」→「進階」→ 勾選「加密內容以保護資料」。僅當前使用者可存取。
- 第三方替代：VeraCrypt 建立加密容器/加密整個分區，跨平台、開源、抗強制解密。
- 備份加密憑證 (
cipher /x) 以防重裝系統後無法解密。
4. 鎖定工作站 (防止實體存取)
- 快捷鍵：Win + L 立即鎖定電腦 (需設定帳號密碼)。
- 建立桌面捷徑：右鍵桌面 →「新增」→「捷徑」→ 位置輸入
rundll32.exe user32.dll,LockWorkStation → 命名「鎖定電腦」。雙擊即鎖定。
- 設定螢幕保護程式：「等候」時間 → 勾選「繼續時顯示登入畫面」。
5. 啟用 Windows 防火牆 + 第三方防火牆 (雙層防護)
- XP SP2/SP3 內建「Windows 防火牆」：僅具備入站封包過濾，**無出站控制、無應用程式層防護**。
- 必須安裝第三方防火牆：Comodo Firewall、ZoneAlarm Free、Outpost Firewall、TinyWall (輕量、規則型)。
- 關鍵功能：出站連線攔截詢問、HIPS (主機入侵防護)、自動規則學習模式。
6. 部署完整端點防護套件 (防毒 + HIPS + 網頁防護)
- 防毒軟體：Kaspersky、ESET NOD32、Bitdefender、Avast/AVG (擇一安裝，切勿多套防毒並存)。
- 關鍵模組：即時檔案監控、行為偵測 (HIPS)、網頁/郵件掃描、反勒索軟體、可開機救援碟建立功能。
- 定期離線更新病毒碼 (下載完整病毒碼包手動導入)。
7. 實踐最小權限原則 (標準使用者 + UAC 替代)
- 日常操作使用 標準使用者 (Users 群組) 帳號，非 Administrators 群組。
- 需安裝軟體/修改系統設定時：右鍵安裝檔 → 按住 Shift →「執行身分」→ 輸入管理員帳號密碼 (RunAs)。
- 或使用 SuRun、RunAsTool 等第三方工具模擬 Vista+ UAC 體驗，提升操作便利性。
額外建議：網路隔離與虛擬化
- 將 XP 系統置於 **隔離 VLAN/網段**，禁止直接存取公網。
- 在支援虛擬化的宿主機 (Windows 10/11 Pro + Hyper-V、VMware Workstation、VirtualBox) 中運行 XP 虛擬機，快照備份、網路隔離、隨時還原乾淨狀態。
- 僅透過 RDP/共用資料夾與宿主機交換必要資料。
