Windows XP 系統安全實戰手冊：從安裝到日常防護的完整策略

前言：XP 穩定不代表安全

Windows XP 擁有優異穩定性，但隨著漏洞不斷被發現，裸奔風險極高。本文從安裝前決策、帳號策略、應用防護、網路封鎖四大面向，建構一套分層防禦體系。

一、安裝階段安全策略（源頭把關）

1. 拒絕網路安裝、安裝期間斷網

微軟雖支援線上安裝，但極度危險：輸入 Administrator 密碼後，系統會建立無密碼保護的「ADMIN」共享帳號，持續到重啟為止；服務啟動時漏洞全開。全程離線安裝，裝好防護再聯網。

2. 全分區採用 NTFS，系統與應用分盤

• NTFS 提供檔案級權限、加密、配額、稽核，安全性遠超 FAT32。
• 應用程式（特別是 IIS 等服務）勿與系統同分區，防止應用漏洞導致系統檔案洩露或提權。

3. 優先選擇英文版

中文版補丁通常比英文版延遲半個月以上釋出，同樣漏洞下中文版暴露窗口期更長。語言非障礙時，強烈建議英文版。

4. 組件最小化安裝

預設安裝許多無用服務。「最少服務 + 最小權限 = 最大安全」。僅安裝確定需要的組件。

5. 多重分區策略

至少兩個分區：系統盤 + 應用/資料盤。病毒/駭客多攻擊系統盤，分離可保護資料與應用完整性。

二、帳號與口令鋼鐵防線

用戶帳號硬化清單

1. 停用 Guest，並設定複雜密碼雙重保險。
2. 清理冗餘帳號：Duplicate User、測試帳號、共享帳號全刪除；定期稽核刪除不用帳號。
3. 建立雙管理員機制：日常用一般權限帳號；僅在需管理時切換 Administrator 權限帳號。
4. 重命名內建 Administrator：改為無特徵名稱（如 Guesycludx），防暴力破解鎖定目標。
5. 建立蜜罐帳號：新增名為「Administrator」的一般帳號，權限最低、密碼 10 位以上超複雜，誘騙攻擊者浪費時間。
6. 共享權限移除 Everyone：所有共享（含印表機）僅授權特定用戶/群組。
7. 隱藏上次登入帳號：登錄檔 HKLM\Software\Microsoft\Windows\CurrentVersion\Winlogon\DontDisplayLastUserName = 1。
8. 封鎖匿名枚舉：本地安全策略 → 「匿名連接的額外限制」設為 1（不允許列舉 SAM 帳號與共享）；或登錄檔 LSA\RestrictAnonymous = 1。值 2 最嚴格但可能破壞合法共享。

口令策略強制執行

• 啟用「密碼必須符合複雜性需求」
• 最小長度 8 字元
• 記住最近 5 次密碼歷史
• 最長使用期限 42 天

三、應用層防護三件套

1. 防毒軟體：即時掃描 + 定時全盤 + 每日自動更新病毒碼。不僅殺毒，更能查殺木馬/後門。
2. 個人防火牆：監聽外部攻擊、異常連出，即時警示。
3. 系統修補程式：唯一長久安全之道。頻繁造訪 Microsoft Update 與安全公告站點，套用 Service Pack 與所有關鍵更新。

四、系統細節硬化

1. 啟用電源按鈕保護

控制台 → 電源選項 → 進階 → 「按下電源按鈕時」選「詢問我」或「休眠」。防止誤觸強制關機導致資料遺失或檔案系統損壞。

2. 螢幕保護程式即時鎖定

• 搜尋 *.scr 找到螢保程式，建立桌面捷徑。
• 離座時雙擊即刻啟動，並勾選「恢復時需輸入密碼」。

3. 停用不必要服務

控制台 → 管理工具 → 服務。對暫不用服務：右鍵「內容」→「停止」→「啟動類型」設「手動」或「已停用」。減少資源佔用與攻擊面。

五、網路層封鎖策略

1. 關閉非必要連接埠

用連接埠掃描器掃描開放埠口，對照 %SystemRoot%\system32\drivers\etc\services 判斷風險。TCP/IP 篩選功能（網路連線內容 → 進階 → 選項 → TCP/IP 篩選）僅開放必要 TCP/UDP 埠。防火牆後雖較安全，但永遠別高枕無憂。

2. 保護安全事件日誌

預設無保護。設定 NTFS 權限，僅 Administrators 與 SYSTEM 可讀取，防止入侵者清除蹤跡。

3. 棄用 Outlook/Foxmail 等用戶端收信

改用 Webmail。郵件附件是病毒/木馬主要傳播管道；陌生人附件絕不開啟。

結語

安全不是裝個軟體就完事，而是安裝決策、帳號管理、修補紀律、網路封鎖的系統工程。本手冊提供的每一項設定都經實戰驗證，建議逐項落實、定期複查。Windows XP 陪伴你更久，前提是你替它穿上這套盔甲。