Windows XP 提供強大的安全機制，但逐項設定極為繁瑣。「安全範本」以 .inf 文字檔形式封裝所有安全性設定（帳戶原則、本機原則、事件記錄、受限群組、系統服務、登錄、檔案系統等），支援匯入/匯出、複製/貼上，實現安全性設定的快速批次部署與管理。
一、認識內建安全範本
預設儲存於 %Systemroot%\Security\Templates，主要包含：
- Compatws.inf：相容性導向，鬆綁權限以支援未驗證應用程式。
- Hisec*.inf：高安全性用戶端/伺服器原則，強制加密與簽章通訊。
- Rootsec.inf：確保系統根目錄權限正確，可用於修復權限異常。
- Secure*.inf：增強安全性且兼顧相容性，限制 NTLMv1 等弱式驗證。
- Setupsecurity.inf：安裝時的預設安全設定，災難復原時可重新套用。
二、在 MMC 中管理安全範本
- 執行
mmc 開啟主控台，「檔案」→「新增/移除管理單元」→「加入」→ 選擇「安全範本」。
- 儲存主控台設定（
.msc），下次可直接開啟。
- 在主控台樹狀圖中，右鍵資料夾選「新增範本」可建立自訂範本；右鍵範本選「刪除」可移除。
三、套用安全範本
需透過「安全性設定與分析」管理單元：
- 在 MMC 中加入「安全性設定與分析」單元。
- 右鍵該節點選「開啟資料庫」，輸入資料庫名稱。
- 選擇欲匯入的安全範本（
.inf），按「開啟」。
- 右鍵節點選「立即設定電腦」，確認錯誤記錄路徑後即套用完成。
四、關鍵安全性設定項目詳解
1. 帳戶原則
- 密碼原則：強制密碼歷史記錄、最長/最短使用期限、最小長度、複雜度需求。
- 帳戶鎖定原則：鎖定閾值（失敗次數）、鎖定時間（分鐘）、重設計數器時間。
- Kerberos 原則：票據存活時間、更新容許時鐘誤差等（網域環境適用）。
2. 本機原則
- 稽核原則：建議啟用「稽核登入事件」（成功/失敗）、「稽核物件存取」（失敗）、「稽核系統事件」（成功/失敗）等。
- 使用者權利指派：控制誰可登入本機、存取網路、關機、變更系統時間等特權。
- 安全性選項：如「裝置：防止使用者安裝印表機驅動程式」（啟用）、「裝置：未簽署驅動程式的安裝行為」（設為「預設安裝」以取消警告）、「互動式登入：使用者嘗試登入時的訊息文字」（設定法律聲明）等。
3. 事件記錄
設定應用程式、安全性、系統記錄的最大容量（64KB~4GB）、保留天數（建議 14 天）、覆寫方式（依需求選擇依天數/依需求/不覆寫）、限制來賓存取。
4. 受限群組
強制指定敏感群組的「成員」與「隸屬群組」，未列入名單的成員將被移除，確保權限不被竄改。
5. 系統服務
定義服務啟動模式（自動/手動/停用）與存取權限（讀取/寫入/啟動/停止等）。注意：停用關鍵服務可能導致無法開機，請先在測試環境驗證。
6. 登錄與檔案系統
可針對特定登錄機碼或檔案/資料夾設定 DACL（任意存取控制清單）與 SACL（系統存取控制清單），支援權限繼承傳播或取代現有權限，實現批次權限管理。
善用安全範本，能將繁複的安全性設定標準化、模組化，大幅提升管理效率與系統安全等級。
