Windows XP 客戶端安全設定指南（三）：FIPS 加密、系統物件、軟體限制與事件日誌

概述

本文為系列最終篇，涵蓋聯邦資訊處理標準 (FIPS) 加密合規、系統物件預設擁有者、軟體限制原則憑證規則，以及事件日誌完整配置建議。這些設定著重於法規遵循、審計追蹤與應用程式執行控制。

加密與系統物件

FIPS 相容加密演算法

設定項目：「系統加密：使用 FIPS 兼容的算法來加密、哈希和簽名」

建議值：已停用（所有環境）

啟用後 TLS/SSL、EFS 等將強制使用 FIPS 核准演算法（如 AES、3DES），符合美國聯邦標準。但 3DES 需對每個資料區塊執行三次加密，嚴重影響效能。除非組織必須符合 FIPS 合規（如政府機關），否則建議停用以維持效能。

系統管理員建立物件的預設擁有者

設定項目：「系統對象：由管理員 （Administrators） 組成員所創建的對象默認所有者」

建議值：物件建立者（所有環境）

預設 Administrators 群組為擁有者會模糊責任歸屬。設為「物件建立者」可明確追蹤哪位管理員建立特定系統物件，強化可稽核性。

軟體限制原則

啟用 Windows 執行檔的憑證規則

設定項目：「系統設置：為軟件限制策略對 Windows 可執行文件使用證書規則」

建議值：已停用（所有環境）

啟用後嘗試執行 .exe 時會驗證 Authenticode 數位簽章並檢查 CRL（憑證撤銷清單），確保軟體來源可信。但會導致啟動效能下降。僅在已部署軟體限制原則並使用憑證規則時才建議啟用。詳細配置請參閱模組 6「Windows XP 客戶端的軟體限制策略」。

事件日誌安全設定

日誌容量規劃原則

事件日誌包含應用程式、安全性、系統三類。組策略路徑：電腦設定 \ Windows 設定 \ 安全性設定 \ 事件日誌。

• 建議三類日誌總大小不超過 300 MB（實測上限），雖 UI 允許設至 4 GB。
• 每筆事件約 500 Bytes，依每日事件量與保留天數估算所需容量，且必須為 64 KB 倍數。
• 範例：安全性日誌日均 1,200 事件，保留 28 天 → 500×1200×28 ≈ 16.8 MB，設定 16,896 KB（64 KB 倍數）。
• 定期檢視日誌填滿速度並微調大小或封存策略。

建議日誌大小配置表

高安全性環境安全性日誌加大至 20 MB，因應額外稽核原則產生更多事件。

限制本地來賓群組存取日誌

預設安裝允許來賓/空登入查看應用程式與系統日誌（安全性日誌預設已限制）。啟用此三項可全面封鎖未驗證使用者讀取任何事件日誌，屬最佳安全實務。

日誌保留天數與覆寫方式

「依需求覆寫」表示日誌滿時自動覆寫最舊事件。若選擇「天數保留」，則對應的「保留 XX 日誌」會自動設為具體天數；選「依需求」則自動設為「未定義」。建議採「依需求」搭配足夠大小的日誌容量，並依業務/法規需求定期匯出封存。

總結

本系列三篇文章完整涵蓋 Windows XP 專業版在企業與高安全性環境下的群組原則安全配置：

1. 帳戶與裝置控制：空白密碼封鎖、內建帳戶重命名、可移動媒體/光碟/軟碟存取限制、未簽署驅動程式阻擋。
2. 互動式登入強化：隱藏上次使用者、強制 Ctrl+Alt+Del、法律警告横幅、快取登入數、密碼到期提醒、解鎖驗證、智慧卡移除鎖定。
3. 網路通訊安全：SMB 簽名/加密、匿名連線全面封鎖、認證儲存禁止、LM/NTLM/NTLMv2 等級選擇、NTLM SSP 會話安全需求。
4. 系統韌體與關機：復原主控台密碼保護、磁碟存取限制、禁止未登入關機、分頁檔清除。
5. 合規與稽核：FIPS 加密選擇、物件擁有者追蹤、軟體限制憑證規則、事件日誌容量/保留/存取控制。

部署建議：先於測試環境驗證相容性，再分階段推廣至生產環境；高安全性設定可能影響舊版應用程式或跨網域信任，務必完整測試。定期檢視事件日誌與安全性稽核報告，持續調整參數以因應威脅演進。