善用 Windows XP「本地安全性原理」強化系統防護

啟動本地安全性原理

依序點擊「控制台」→「管理工具」→「本地安全性原理」進入主介面，可透過選單列指令設定各類安全性原理，支援檢視方式切換、列表匯出與原理匯入等操作。

核心防護設定詳解

1. 禁止列舉帳號，抵禦蠕蟲掃描

部分蠕蟲病毒會掃描 Windows 2000/XP 指定連接埠，透過共享會話猜測管理員密碼。啟用「網路存取：不允許 SAM 帳戶和共享的匿名列舉」可有效阻擋此類入侵。

操作路徑： 本地原理 → 安全性選項 → 「網路存取：不允許 SAM 帳戶和共享的匿名列舉」 → 右鍵內容 → 啟用「已啟用」 → 套用。

2. 帳號管理：重命名管理員與停用來賓

為防止入侵者利用漏洞登入，建議重命名系統管理員帳號並停用來賓帳號。

• 停用來賓： 本地原理 → 安全性選項 → 「帳戶：來賓帳戶狀態」 → 設為「已停用」。
• 重命名管理員： 同目錄下找到「帳戶：重命名系統管理員帳戶」，在屬性對話框中自訂新名稱。

3. 指派本地用戶權利，落實最小權限原則

系統管理員可在「本地原理」→「用戶權利指派」中，針對特定群組或用戶分配精確權限。例如允許某用戶取得檔案或其他物件的所有權（預設僅限管理員），可編輯「取得檔案或其他物件的所有權」原理，添加目標用戶或群組。

4. 活用 IP 安全性原理封鎖高危連接埠

駭客程式多透過連接埠作為通道。透過 MMC 添加「IP 安全性原理管理」嵌入式管理單元，建立自訂規則封鎖可疑連接埠（如 Telnet 的 23 連接埠）。

步驟：執行 mmc → 檔案 → 新增/移除管理單元 → 添加「IP 安全性原理管理」 → 在「IP 安全性原理，在本機電腦」建立新規則 → 設定來源位址為「任何 IP 位址」，目的地為「我的 IP 位址」 → 協議類型選 TCP，連接埠範圍設為 23 → 篩選器動作選「阻擋」 → 最後指派該原理生效。

設定完成後，外部嘗試 Telnet 連線將失敗，掃描工具雖顯示連接埠開放但實際無法建立連線。同理可封鎖其他高危連接埠。

5. 強化密碼原理，定期更新降低破解風險

在「帳戶原理」→「密碼原理」中設定「密碼最長使用期限」（1-999 天），強制定期更換密碼。另可啟用「稽核物件存取」追蹤檔案存取、登入嘗試、系統關機等事件，全方位提升安全性。