Windows XP 客戶端安全設定指南（六）：系統日誌、受限制群組、系統服務與檔案系統防護

系統日誌保留策略

「系統日誌保留方法」決定當日誌達到最大容量時，作業系統如何處理系統事件。此設定可配置為：在特定天數後覆寫事件、日誌滿時按需覆寫，或僅手動清除。前兩個選項允許最新事件依需求覆蓋最舊事件。若發現重要事件被過快覆蓋，建議調整日誌管理策略——例如將事件備份至其他位置，或增加日誌最大容量。

在本指南定義的「企業客戶端」與「高安全性」兩種環境中，此設定均建議配置為「按需覆寫」。

受限制群組設定

「受限制群組」功能可集中管理 Windows XP Professional 中的群組成員資格。企業應依需求決定哪些群組需受限。以「高安全性」環境為例，「Power Users」群組即被列為受限制群組。雖然其權限低於「Administrators」，但成員仍擁有相當大的系統存取權。若組織使用此群組，應嚴格控管成員，並套用「受限制群組」設定指導原則。

設定路徑

可透過「群組原則物件編輯器」於下列路徑配置：

電腦設定 \ Windows 設定 \ 安全性設定 \ 受限制群組

操作步驟

1. 開啟「安全性範本管理主控台」（預設不在「系統管理工具」中，需透過 mmc.exe 加入「安全性範本」嵌入式管理單元）。
2. 展開範本目錄，雙擊目標範本。
3. 雙擊「受限制群組」項目。
4. 右鍵點選「受限制群組」→ 選擇「新增群組」。
5. 點選「瀏覽」→「位置」，選取本機電腦，確定。
6. 於「輸入物件名稱」輸入群組名稱並點選「檢查名稱」，或點選「進階」→「立即尋找」列出所有可用群組。
7. 選取欲限制之群組，連續點選「確定」關閉對話框。

設定生效後，非列表成員將被移除，列表成員將被強制套用。僅能透過安全性範本使群組生效。本指南中為完全限制「Power Users」，已刪除其所有成員；對於組織未使用的內建群組（如「Backup Operators」），微軟建議同樣限制。「企業客戶端」環境無特別建議，「高安全性」環境則限制「Power Users」，因其在 Windows XP 上擁有近似管理員的權限。

系統服務強化

Windows XP Professional 預設會啟動多項系統服務，其中許多在指定環境中並非必要。額外可選服務（如 IIS）預設不安裝，可透過「新增/移除程式」或自動化安裝加入。重要原則：任何服務或應用程式皆為潛在攻擊面，環境中不需要的服務或可執行檔應停用或移除。

設定路徑

電腦設定 \ Windows 設定 \ 安全性設定 \ 系統服務

管理員可設定服務啟動模式（自動、手動、已停用）及各服務的安全性權限。

服務設定建議總表

關鍵服務說明

• Alerter：傳送管理警示至指定用戶/電腦。兩環境均停用以防網路資訊洩露。注意：停用將導致 UPS 警示功能失效。
• BITS：背景智慧傳輸服務，利用閒置頻寬傳輸檔案。企業環境設「手動」，高安全性設「已停用」。注意：停用將導致 SUS、Windows 自動更新等修補管理解決方案失效，需手動部署修補程式。
• ClipBook：支援剪貼簿檢視器跨電腦共享資料頁。兩環境均停用。
• Fax Service：提供傳真功能。企業環境設「手動」，高安全性設「已停用」。
• FTP/IIS/WWW Publishing：大多數 XP 客戶端不需網站服務，兩環境均建議停用。
• Messenger：傳遞 Alerter 服務訊息，非 Windows Messenger。兩環境均停用。
• NetMeeting Remote Desktop Sharing：允許未授權遠端存取。高安全性停用，企業環境保留「手動」。
• Network DDE / DSDM：提供 DDE 網路傳輸與共享管理，屬自動網路服務，高安全性停用，企業環境保留「手動」。
• Remote Registry：允許遠端修改登錄。企業環境設「自動」以利管理，高安全性停用以封鎖遠端登錄存取。同樣會影響修補管理服務。
• Telnet：提供 ASCII 終端會話，多數客戶端不需，兩環境均停用。

檔案系統保護（NTFS 權限強化）

NTFS 預設權限對多數組織足夠，本節針對「高安全性」環境的桌上型與可攜式電腦提供進階強化建議。透過「群組原則」修改檔案系統安全性設定：

電腦設定 \ Windows 設定 \ 安全性設定 \ 檔案系統

部署前務必於實驗室環境完整測試，權限變更可能導致受影響電腦需重建。

進階權限說明

繼承模式術語

• 傳播：將可繼承權限傳遞給所有子資料夾/檔案；子物件明確權限優先。
• 取代：以父物件權限完全取代子物件現有權限。
• 忽略：不對該物件及其子物件配置或分析安全性。

建議檔案系統權限設定

核心邏輯：移除「Everyone」群組權限（因其包含未驗證帳戶），改授予本地「Users」群組；同樣策略可套用至「Power Users」，但建議改用「受限制群組」管理更容易。