為什麼本地管理員帳號是頭號標靶？
企業網路中，擁有本地管理員帳號（RID 500）即擁有域內每台電腦的完全控制權：存取所有檔案/應用、甚至自我授權存取受保護資源。Windows 安裝自動建立此帳號，駭客人人知曉其預設名稱與空密碼。保護它，能大幅提升企業系統安全基線。
四步速效硬化方案
1. 修改帳號名稱 + 設定強複雜密碼
- 所有 Windows 版本通用第一步。
- 密碼：足夠長、混合大小寫數字符號（如
k3d8a^!ka76），但必須能記住——寫在便利貼貼螢幕等同零防護。
- 必須書面記錄時：鎖入帶鎖檔案櫃，鑰匙嚴格管控。
2. 不使用時禁用帳號
- 視同不需服務：不用即禁用。
- 禁用本地管理員帳號或拒絕其透過網路/工作站/伺服器登入，重擊企圖濫用超級帳號的黑帽駭客。
- 前置條件：系統至少保留一個其他有效管理權限帳號，否則操作不可逆！
3. Windows 2000：無法禁用，改用「拒絕網路存取」達到同等效果
- 以管理員登入。
- 「開始→程式→管理工具→本地安全性原則」。
- 「本地原則→用戶權限指派」→ 雙擊「拒絕從網路存取這台電腦」。
- 「添加」→ 選擇 Administrator 帳號 → 確定兩次 → 關閉視窗。
- 重啟生效。
4. Windows XP / Server 2003：直接禁用
- 管理員登入。
- 右鍵「我的電腦」→「管理」→「本地用戶和群組」→「用戶」。
- 雙擊「Administrator」→ 勾選「帳號已停用」→ 確定。
- 登出即生效。
最佳實踐總結
- 絕大多數管理員日常使用具管理權限的個人帳號，非萬不得已不動用本地管理員帳號。
- 立即稽核全網：檢查每台電腦本地管理員帳號狀態，落實委派責任。
- 若有人需每日使用本地管理員帳號完成工作，必須重新評估授權模型與網路架構。
作者簡介
Mike Mullins，前美國經濟情報局資料庫管理員/助理網管，現任國防資訊系統署 (DISA) 網絡安全管理員。