打造 Windows XP 鐵壁帳戶防線：權限、密碼、原則三層防禦實戰

前言：XP 帳戶預設隱憂

Windows XP 安裝完成後，預設建立的第一個使用者擁有「電腦管理員」權限，且內建 Administrator 帳戶密碼為空、隱藏於歡迎畫面。若不修改預設值，任何人均可透過安全模式或第三方工具以 Administrator 空密碼登入，取得最高權限。本文建構三層防禦：權限最小化 → 強制密碼策略 → 帳戶鎖定防暴力破解。

第一層：權限最小化 — 關閉高風險帳戶與服務

1. 停用並重命名 Administrator / Guest

1. 以非 Administrator 的管理員帳戶 登入
2. Win+R → compmgmt.msc (電腦管理)
3. 「系統工具」→「本機使用者和群組」→「使用者」
4. 右鍵 Administrator → 「屬性」 → 勾選「帳戶已停用」 → 「隸屬於」移除 Administrators 群組
5. 右鍵重命名 Administrator 為無法猜測名稱 (如 SysAdmin_2024)
6. 同樣處理 Guest：停用 + 重命名

替代方案 (本機安全性原則)：
secpol.msc → 「本機原則」→「安全性選項」→「管理員帳戶狀態」/「來賓帳戶狀態」設為「已停用」；「重新命名系統管理員帳戶」/「重新命名來賓帳戶」修改名稱。

2. 封鎖安全模式進入 (防止 net user 重置密碼)

1. Win+R → regedit
2. 定位 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot
3. 將 Minimal、Network 重新命名為 Minimal1、Network1
4. 效果：按 F8 進入任何安全模式，系統自動重啟

3. 限制普通使用者存取登錄 (防竄改 SafeBoot 回復)

1. regedit → 右鍵 HKEY_LOCAL_MACHINE → 「權限」
2. 選中 Users 群組 → 取消勾選「讀取」權限
3. 普通使用者無法讀取/修改登錄，無法自行恢復 SafeBoot

4. 控制管理員帳戶數量

• 原則：系統管理員帳戶僅保留 1 個 (已重命名、強密碼)
• 日常操作使用「高級使用者」或「一般使用者」帳戶
• 需提權時使用 RunAs 或 runas /user:AdminAccount cmd
• 若一般使用者需要特定權限，透過「本機安全性原則」→「使用者權利指派」精確授予 (如「作為批次工作登入」、「關閉系統」等)，而非提升為管理員

第二層：強制密碼複雜度策略

1. secpol.msc → 「帳戶原則」→「密碼原則」
2. 啟用並設定：
   • 密碼必須符合複雜性需求：啟用 (需含大寫、小寫、數字、符號三類以上，不含使用者名稱，最少 6 字元)
   • 密碼長度下限：建議 8 字元以上 (預設 0)
   • 密碼最長使用期限：42~90 天 (強制定期輪換)
   • 密碼最短使用期限：1~2 天 (防止立即改回舊密碼)
   • 強制密碼歷程記錄：記住 5~10 組舊密碼 (禁止重複使用)
   • 可還原的加密儲存密碼：停用 (除非特殊應用需求)

複雜性需求詳細規則

• 至少 6 個字元 (建議 8+)
• 不包含使用者帳戶名稱完整或部分 (超過 2 連續字元)
• 包含以下四類中 三類以上：
  • 英文大寫 (A-Z)
  • 英文小寫 (a-z)
  • 數字 (0-9)
  • 非英數字元 (!、@、#、$、%、^、&、*、_、-、+、= 等)

第三層：帳戶鎖定原則 — 防禦暴力破解

1. secpol.msc → 「帳戶原則」→「帳戶鎖定原則」
2. 設定建議值：
   • 帳戶鎖定閾值：5 次 失敗嘗試 (0 表不鎖定，極度危險)
   • 重設帳戶鎖定計數器：30 分鐘 (鎖定後多久重新計算失敗次數)
   • 帳戶鎖定持續時間：30 分鐘 或「永遠鎖定直到管理員解鎖」 (視管理便利性決定)

效果：攻擊者嘗試 5 次錯誤密碼後，帳戶自動鎖定 30 分鐘，暴力破解成本指數級上升。

補充防禦：稽核原則與實體安全

啟用稽核登入事件

1. secpol.msc → 「本機原則」→「稽核原則」
2. 「稽核登入事件」→ 勾選「成功」、「失敗」
3. 事件檢視器 → 安全性記錄，定期檢視 Event ID 4625 (登入失敗) 異常激增

實體安全基本原則

• BIOS 設定開機密碼、禁止從 USB/光碟開機
• 機箱加鎖、防竄改標籤
• 螢幕鎖定熱鍵 Win+L 養成習慣

總結：三層防禦檢查清單

結語

Windows XP 雖已停止支援，但在隔離網路、舊系統相容、工控設備等場景仍有存續。透過「權限最小化 + 強制密碼策略 + 帳戶鎖定」三層防禦，配合稽核與實體安全，可將 XP 帳戶系統安全性提升至企業基本防護水準。**記住：沒有絕對安全，只有持續管理。**