Windows XP 客戶端安全設定指南（一）：帳戶、裝置與互動式登入原則

概述

本文詳細說明 Windows XP 專業版在企業客戶端與高安全性環境下的核心安全設定建議，涵蓋帳戶原則、裝置存取控制、互動式登入行為及網路通訊安全等關鍵領域。透過群組原則套用這些設定，可有效降低未授權存取、惡意程式碼安裝與認證竊取風險。

帳戶原則

限制空白密碼本地帳戶僅允許控制台登入

設定項目：「帳戶：使用空白密碼的本地帳戶只允許進行控制台登錄」

建議值：已啟用（適用於企業客戶端與高安全性環境的桌上型/可攜式電腦）

啟用此設定可防止具有空白密碼的本地帳戶透過網路（如 SMB、終端服務）遠端連線。空白密碼帳戶極易遭受暴力破解，僅知帳戶名即可入侵。此設定僅影響本地帳戶，不影響網域帳戶。最佳實務是完全避免使用空白密碼帳戶。

重新命名系統管理員帳戶

設定項目：「帳戶：重命名系統管理員帳戶」

環境	建議
企業客戶端桌上型電腦	建議
企業客戶端可攜式電腦	建議
高安全性桌上型電腦	建議
高安全性可攜式電腦	建議

內建 Administrator 帳戶名稱公開已知，是攻擊者首要目標。建議重新命名為不具備管理暗示的名稱（避免使用 root、su、admin、adm、supervisor 等字眼），並同步修改預設描述「管理電腦（網域）的內建帳戶」。若允許匿名列舉使用者，重新命名的保護效果將大打折扣。注意：安全範本未預設新名稱，建議各組織自行定義唯一名稱。

重新命名來賓帳戶

設定項目：「帳戶：重命名來賓帳戶」

環境	建議
企業客戶端桌上型電腦	建議
企業客戶端可攜式電腦	建議
高安全性桌上型電腦	建議
高安全性可攜式電腦	建議

「Guest」同樣為已知帳戶名。即使已停用來賓帳戶，仍建議重新命名以增加攻擊者偵察難度。同樣不提供預設新名稱，請自行規劃。

裝置存取控制

允許不登入即移除電腦（針對擴充座）

設定項目：「裝置：允許不登錄移除」

環境	桌上型電腦	可攜式電腦
企業客戶端	已停用	已啟用
高安全性	已停用	已停用

此設定僅適用於具擴充座的可攜式電腦。啟用時允許使用者在未登入/解鎖狀態下移除電腦；停用則要求先登入並具備「從擴充座移除電腦」使用者權限。高安全性環境下一律停用以強制驗證身分。

允許格式化與彈出可移動媒體

設定項目：「裝置：允許格式化和彈出可移動媒體」

環境	允許的群組
企業客戶端（桌上型/可攜式）	Administrators、Interactive Users
高安全性（桌上型/可攜式）	Administrators

限制此權限可防止未授權使用者取出媒體並在擁有本地管理員權限的另一台電腦上讀取資料。高安全性環境僅保留 Administrators 群組。

防止使用者安裝印表機驅動程式

設定項目：「裝置：防止用戶安裝打印機驅動程序」

環境	桌上型電腦	可攜式電腦
企業客戶端	已啟用	已停用
高安全性	已啟用	已停用

惡意程式常偽裝成印表機驅動程式。桌上型電腦建議啟用（僅允許管理員安裝）；可攜式電腦因需在不同地點安裝印表機，建議停用以利流動辦公。

僅允許本地登入使用者存取 CD-ROM / 軟碟機

設定項目：「裝置：只有本地登錄的用戶才能訪問 CD-ROM」與「裝置：只有本地登錄的用戶才能訪問軟盤」

環境	CD-ROM	軟碟機
企業客戶端	已停用	已啟用
高安全性	已啟用	已啟用

啟用後僅允許互動式登入使用者存取光碟/軟碟；無人登入時仍可透過網路存取。啟用 CD-ROM 限制會阻擋 Windows Installer 服務從光碟安裝 MSI 套件。高安全性環境為提升防護均啟用；企業客戶端環境考量軟體部署需求，CD-ROM 保持停用。

未簽署驅動程式安裝行為

設定項目：「裝置：未簽名驅動程序的安裝操作」

環境	設定選項
企業客戶端（桌上型/可攜式）	允許安裝但發出警告
高安全性（桌上型/可攜式）	禁止安裝

理想情況下所有驅動程式皆應簽署，惟現實廠商支援度不一。企業環境採「警告模式」平衡相容性；高安全性環境採「禁止模式」並要求部署前完成所有標準軟體安裝以避免錯誤。

網路與驗證強化

要求強式工作階段金鑰（128 位元）

設定項目：「網域成員：需要強 （Windows 2000 或以上版本） 會話密鑰」

建議值：已啟用（所有環境）

啟用後僅與支援 128 位元加密的網域控制站建立安全通道。所有網域控制站必須執行 Windows 2000 或更新版本。若需與 NT 4.0 網域通訊則需停用。

互動式登入安全性

不顯示上次登入使用者名稱

設定項目：「交互式登錄：不顯示上次的用戶名」

建議值：已啟用（所有環境）

防止入侵者從登入畫面直接取得有效帳戶名稱，增加暴力破解難度。

要求按 Ctrl+Alt+Del 才能登入

設定項目：「交互式登錄：不需要按 CTRL+ALT+DEL」

建議值：已停用（所有環境）

Ctrl+Alt+Del 建立受信任路徑，防止仿冒登入畫面竊取憑證。停用此設定即強制要求該組合鍵。

登入訊息文字與標題（法律警告）

設定項目：「交互式登錄：用戶試圖登錄時消息文字」與「交互式登錄：用戶試圖登錄時消息標題」

項目	建議內容
訊息文字	此系統限制為僅授權用戶。嘗試進行未經授權訪問的個人將受到起訴。
訊息標題	繼續在沒有適當授權的情況下使用是違法行為。

於登入前顯示法律警告，強化安全政策意識。建議先經法務部門審核文字內容。

快取登入次數（網域控制站無法連線時）

設定項目：「交互式登錄：可被緩存的前次登錄個數 （在域控制器不可用的情況下）」

環境	桌上型電腦	可攜式電腦
企業客戶端	2	2
高安全性	0	1

設為 0 可提供最大安全性（離線無法登入），但可攜式電腦常離線工作，企業環境建議保留 2 組快取；高安全性環境桌上型電腦設 0，可攜式電腦設 1 兼顧安全與可用性。

密碼到期前提醒天數

設定項目：「交互式登錄：在密碼到期前提示用戶更改密碼」

建議值：14 天（所有環境）

給予使用者足夠時間更換密碼，避免帳戶鎖定影響生產力。

解鎖工作站需網域控制站驗證

設定項目：「交互式登錄：要求域控制器身份驗證以解鎖工作站」

環境	桌上型電腦	可攜式電腦
企業客戶端	已停用	已停用
高安全性	已啟用	已停用

啟用時解鎖需即時連線網域控制站驗證；停用則允許使用快取憑證。可攜式電腦常離線，兩環境均停用；高安全性桌上型電腦啟用以強化驗證。

智慧卡移除時動作

設定項目：「交互式登錄：智能卡移除操作」

建議值：鎖定工作站（所有環境）

使用者拔除智慧卡時自動鎖定工作站，確保離座即受保護。可選項另有「無動作」與「強制登出」。

SMB 客戶端/伺服器簽名與加密

SMB 客戶端：數位簽名（若伺服器同意）

設定項目：「Microsoft 網絡客戶端：數字簽名的通信（若服務器同意）」

建議值：已啟用（所有環境）

與支援簽名的 SMB 伺服器通訊時自動執行封包簽名，防止中間人攻擊。需全網路啟用才有完整效力。

SMB 客戶端：拒絕傳送未加密密碼給第三方 SMB 伺服器

設定項目：「Microsoft 網絡客戶端：發送未加密的密碼到第三方 SMB 服務器」

建議值：已停用（所有環境）

防止明文密碼傳輸至不支援加密的非 Microsoft SMB 伺服器。除非有強烈業務需求，否則勿啟用。

SMB 伺服器：閒置逾時掛起會話

設定項目：「Microsoft 網絡服務器：在掛起會話之前所需的空閒時間」

建議值：已啟用，15 分鐘（所有環境）

自動掛起閒置 SMB 會話釋放資源，用戶恢復活動時自動重建連線。

SMB 伺服器：永遠要求數位簽名

設定項目：「Microsoft 網絡服務器：數字簽名的通信（總是）」

建議值：已啟用（所有環境）

強制 SMB 伺服器執行封包簽名。純 Active Directory + Windows XP 環境建議啟用；若需與 NT 4.0 網域共存則需停用。

SMB 伺服器：數位簽名（若用戶端同意）

設定項目：「Microsoft 網絡服務器：數字簽名的通信（若客戶端同意）」

建議值：已啟用（所有環境）

當用戶端要求簽名時伺服器回應簽名。搭配上一項設定可達成雙向簽名保護。需全網路啟用才有完整效力。