Windows XP 用戶端安全設定指南（二）：使用者權利細節與安全性選項全覽

使用者權利指派逐項深度解析

從網路存取這台電腦

控管 SMB/NetBIOS/CIFS/HTTP/COM+ 等網路協定連線。預設常被加入「Everyone」，導致匿名/來賓存取。建議僅限 Administrators, Users，兩環境一致。

允許透過終端機服務登入

遠端桌面/遠端協助所需。企業環境僅授予 Administrators（或另建 Help Desk 群組）；高安全環境設 No One，徹底封鎖遠端登入面。

備份檔案與目錄

允許繞過 NTFS 權限備份（如 NTBACKUP）。企業環境「未定義」；高安全環境限 Administrators。

略過周遊檢查

允許直接存取深層資源而不檢查父資料夾「周遊」權限。預設含 Everyone，必須透過 GPO 替換為 Users，防止匿名繞過限制。兩環境一致。

變更系統時間

影響事件日誌時間戳記與 Kerberos 時間同步（誤差超 5 分鐘將導致驗證失敗）。企業環境「未定義」；高安全環境限 Administrators。

偵錯程式

可附加偵錯器至任意處理序/核心，提取記憶體雜湊密碼等機密。預設僅 Administrators，兩環境均設 No One 進一步降低風險。

拒絕透過終端機服務登入

明確禁止群組透過遠端桌面登入。高安全環境設 Everyone（含 Administrators），企業環境「未定義」。

從遠端系統強制關機

遠端關機易造成 DoS。高安全環境限 Administrators，企業環境「未定義」。

在本機登入

互動式登入（Ctrl+Alt+Del）、終端機服務、IIS 均需。預設含 Guest（已停用），建議明確限定 Administrators, Users，兩環境一致。

設定單一處理序

效能監視器採 WMI 時所需。高安全環境限 Administrators，企業環境「未定義」。

還原檔案與目錄

還原備份時繞過權限、可設定物件擁有者。高安全桌機限 Administrators；筆電加入 Users 方便離線還原。企業環境「未定義」。

關閉系統

本機關機命令。高安全環境授予 Administrators, Users；企業環境「未定義」。

安全性選項完整對照表

路徑：電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 安全性選項

重點設定補充說明

• 重新命名 Administrator/Guest：雖標示「建議」，實務上必須執行，並同步修改說明文字，增加攻擊者枚舉難度。
• 裝置存取差異：筆電需攜帶外接裝置，故「允許未登入移除」、「防止安裝印表機驅動」較寬鬆；高安全桌機全鎖死。
• 快取登入次數：高安全桌機設 0（離線不可登入），筆電設 1（保留一組離線快取），平衡安全與行動需求。
• 需要網域控制站解鎖：高安全桌機啟用，確保鎖定工作站只能由網域驗證解鎖；筆電離線時須停用。
• LAN Manager 驗證等級：高安全環境全面拒絕 LM/NTLMv1，僅允許 NTLMv2，並要求 128-bit 工作階段金鑰，防禦重送/降級攻擊。
• 關機清除分頁檔：高安全環境啟用，關機時覆寫分頁檔，防止記憶體殘留敏感資料（會延長關機時間）。
• 復原主控台：企業環境啟用「允許磁碟機複製」方便維護；高安全環境全關，防止實體接觸者繞過檔案系統權限。

將上述設定封裝至對應 .inf 範本或 GPO，即可實現「企業用戶端」與「高安全性」兩種基準的自動化、一致性部署。後續請搭配《威脅與對策：Windows Server 2003 與 Windows XP 安全性設定》參考手冊，依組織風險承受度微調個別鍵值。