雖 Windows XP 穩定可靠，但隨著漏洞持續曝光，未加固的系統極易遭攻擊。以下五大支柱構建纵深防禦體系。
1. 全分區採用 NTFS 檔案系統
- 系統盤必須為 NTFS，資料盤強烈建議 NTFS。
- NTFS 提供檔案/資料夾級權限 (ACL)、EFS 加密、磁碟配額、稽核追蹤，FAT32 全無。
- 應用程式勿與系統同分區，防止 IIS 等應用漏洞導致系統檔案洩露或提權。
2. 元件精簡：最小安裝原則
- 安裝時僅選擇確實需要的元件/服務。
- 原則：最少服務 + 最小權限 = 最大安全。
- 事後可用「新增/移除 Windows 元件」移除多餘項目（如 IIS、MSN Explorer、遊戲等）。
3. 嚴格管理系統與資源權限
預設群組與權限：
| 群組 | 權限描述 |
|---|
| Administrators | 完全不受限控制，最高權限 |
| Power Users | 可修改電腦設定、安裝程式，不可加入 Administrators，次高權限 |
| Users | 僅能執行通過驗證的程式、建立/修改本地群組，不可改系統設定/登錄檔 |
| Guests | 權限同 Users 但限制更多 |
依職責最小授權，避免日常操作使用 Administrators 帳號。
4. 使用者帳號安全設定
- 檢查並停用不需帳號，建議重命名預設帳號名。
- 停用 Guest，並設定複雜密碼防萬一被啟用。
- 清理測試/重複/共用帳號，定期審核帳號清單。
- 建立雙管理員帳號：一組一般權限（日常收信/辦公），一組 Administrators 權限（僅系統維護時使用）。
- 重命名內建 Administrator（無法停用），偽裝為普通帳號名（如
Guesycludx），阻斷暴力破解鎖定目標。
- 隱藏最後登入用戶名：登錄檔
HKLM\Software\Microsoft\Windows\CurrentVersion\Winlogon\DontDisplayLastUserName = 1。
5. 封鎖匿名連線 (Null Session)
- 預設允許匿名用戶列舉帳號/共用清單，暴力破解跳板。
- 登錄檔：
HKLM\System\CurrentControlSet\Control\LSA\RestrictAnonymous = 1（禁止列舉）。
- 或「本地安全性原則→本地原則→安全性選項→網路存取：匿名連線的額外限制」設為「已啟用」。
- 網域環境請在網域控制器群組原則設定。
持續防護
- 啟用自動更新或定期手動修補。
- 部署可信防毒/反惡意軟體，保持病毒碼最新。
- 定期稽核安全事件日誌（失敗登入、權限使用、原則變更）。
