Windows XP 預設設定安全性硬化指南：七大風險點與對應對策

前言：易用性與安全性的博弈

Windows XP 為了「開箱即用」的易用性，預設啟用了許多降低安全門檻的功能。在網路普及的今天，每台電腦都是潛在攻擊目標。本文針對七大預設風險點提供具體硬化步驟，打造更安全的 XP 環境。

風險一：簡易檔案共享 — 開放 NetBIOS 攻擊面

風險：預設啟用，允許無密碼存取共享資料夾，暴露 NetBIOS 服務於網路。

對策：

1. 開啟「我的電腦」→ 工具 → 資料夾選項 → 檢視
2. 捲動至「進階設定」，取消勾選「使用簡易檔案共享 (建議)」
3. 按「確定」，之後設定共享需指定具體使用者與權限

風險二：FAT32 檔案系統 — 無權限控制、無加密支援

風險：FAT32 不支援檔案/資料夾層級權限 (ACL)、EFS 加密、磁碟配額。

對策：轉換為 NTFS

1. 備份重要資料（轉換過程雖非破壞性，但建議備份）
2. Win+R → cmd → Enter
3. 執行：convert C: /fs:ntfs (C: 為系統盤代號)
4. 系統提示重開機轉換，選 Y 確認
5. 重開機後自動完成，資料保留

效益：獲得 ACL 精細權限、EFS 檔案加密、壓縮、大檔案支援、日誌式防毀損。

風險三：Guest 帳號啟用 — 匿名存取入口

風險：Guest 允許無密碼登入，受限但仍可列舉共享、嘗試提權。

對策：

• XP Professional： 控制台 → 管理工具 → 電腦管理 → 區域使用者和群組 → 使用者 → Guest → 勾選「帳號已停用」
• XP Home： 無法停用，但可設定強密碼：
  net user guest "強密碼" → 控制台 → 使用者帳號 → 設定 Guest 密碼

風險四：Administrator 帳號名稱固定 — 暴力破解首選目標

風險：駭客優先嘗試 "Administrator" 帳號進行密碼猜測。

對策：

1. 建立新管理員帳號 (如 Admin_JW)，加入 Administrators 群組
2. 以新帳號登入，停用原 Administrator 帳號
3. XP Home：控制台 → 使用者帳號 → 變更「電腦擁有者」名稱
4. 所有帳號務必設定強密碼（≥12 字元、大小寫數字符號）

風險五：分頁檔 (Pagefile) 殘留機密資料 — 關機時未清除

風險：記憶體內容交換至 pagefile.sys，包含明文密碼、金鑰、憑證片段。關機時預設不清除，實體存取者可讀取。

對策：啟用關機清除分頁檔

1. Win+R → regedit
2. 瀏覽：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management
3. 新建/修改 DWORD ClearPageFileAtShutdown = 1
4. 重開機生效（關機時間會略微增加）

風險六：核心傾印/Dr. Watson 記錄敏感資訊

風險：系統當機/程式錯誤時寫入 memory.dmp / user.dmp，含程式記憶體映像，可能洩漏加密金鑰、密碼。

對策：停用錯誤傾印

1. 控制台 → 系統 → 進階 → 啟動與修復 → 設定
2. 「偵錯資訊寫入」選擇 「(無)」
3. 停用 Dr. Watson：
   regedit → HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AeDebug
   修改 Auto = 0
4. 刪除既有紀錄：%ALLUSERSPROFILE%\Documents\DrWatson\user.dmp 與 drwtsn32.log

風險七：不必要的服務預設啟用 — 擴大攻擊面

風險：多項服務開放網路埠、本地提權路徑，若不需用應停用。

建議停用服務清單：

操作：控制台 → 管理工具 → 服務 → 雙擊服務 → 啟動類型設「手動」 → 按「停止」。

總結：分層防禦觀念

單一設定無法保證絕對安全，需結合：

• 系統硬化（本文七大項）
• 網路防火牆（XP 內建/第三方/硬體防火牆）
• 防毒軟體（即時掃描+定期全盤）
• 修補程式管理（自動更新/WSUS）
• 最小權限原則（日常使用限制帳號，非必要不登入管理員）
• 資料備份與加密（EFS/TrueCrypt/外接備份）

結語

Windows XP 雖已停止支援，但若因特殊原因必須繼續使用，完成上述七大硬化設定可大幅降低被攻擊風險。安全不是產品，是持續的過程——定期審核設定、追蹤威脅情報、演練應變流程，才是長久之計。