Windows XP 關閉自動更新後的安全防護指南：封鎖高危埠、停用共享、批次腳本自動化

背景：拒絕自動更新 ≠ 裸奔

因盜版偵測、相容性等原因關閉自動更新的使用者，必須手動建立防護層。本文整理零散對策為系統性清單。

一、封鎖高危埠與遠端協助

1. 封鎖 TCP 139 (NetBIOS Session)
   區域連線內容 → TCP/IP → 進階 → WINS → 「停用 TCP/IP 上的 NetBIOS」。
2. 解除 Microsoft 網路用戶端與檔案共享綁定
   區域連線內容 → 取消勾選「Microsoft 網路用戶端」、「Microsoft 網路檔案和印表機共享」。
3. 封鎖 TCP 445 (SMB 直接託管)
   登錄 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters 新增 DWORD SmbDeviceEnabled=0，重開機生效。
4. 關閉遠端協助邀請
   我的電腦右鍵 → 內容 → 遠端 → 取消「允許從這台電腦傳送遠端協助邀請」。

二、徹底停用檔案共享

方法 1：解除安裝共用元件（永久）

網路連線 → 區域連線內容 → 選取「Microsoft 網路檔案和印表機共享」 → 「解除安裝」。

方法 2：批次腳本每次開機關閉行政共享 (C$, ADMIN$, IPC$ 等)

@echo off
net share ipc$ /delete /y
net share admin$ /delete /y
net share c$ /delete /y
net share d$ /delete /y
net share e$ /delete /y
rem 依實際分區新增行

存為 NotShare.bat → 放入「啟動」資料夾。需恢復共享時編輯腳本刪除對應行。

方法 3：電腦管理手動停止共享（暫時，重開機失效）

右鍵我的電腦 → 管理 → 共用資料夾 → 共享 → 右鍵各項 → 「停止共享」。適合永不關機的伺服器。

三、其他補強建議

• 安裝離線可更新的防毒軟體（如 ClamAV、可手動更新病毒碼的商業版）。
• 啟用 Windows 防火牆（SP2 內建），設為「例外」最小化。
• 使用非管理員帳號日常操作，需提權用 RunAs。
• 定期手動下載關鍵修補程式（KB 編號）安裝。
• 瀏覽器改用 Firefox/Chrome 並裝廣告攔截、腳本阻擋擴充套件。

結語

關閉自動更新後，「封埠、關共享、降權、手動修補、換瀏覽器」五管齊下，仍能維持可接受的安全基線。但長期建議合法授權並開啟自動更新，才是根本之道。