風險背景：Remote Registry 服務的雙面刃

Windows 預設啟用「遠端登錄服務」，允許經過驗證的遠端使用者讀寫登錄檔。駭客若取得有效憑證（或利用空連線 IPC$），即可遠端啟停服務、修改安全原則、植入後門。單純在「服務」中停用不夠，駭客可用 sc config RemoteRegistry start= auto 及 sc start RemoteRegistry 指令重新啟用。

根治方案：刪除服務註冊鍵值

1. Win+R → regedit 開啟登錄編輯器。
2. 定位至：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteRegistry
3. 右鍵點選 RemoteRegistry 鍵 → 選擇「刪除」→ 確認。
4. 重新開機生效。

原理說明

Windows 服務控制管理器（SCM）啟動服務時，會讀取 HKLM\SYSTEM\CurrentControlSet\Services\<ServiceName> 鍵值。刪除該鍵值後，SCM 找不到服務定義，sc、net start、服務管理單元均無法啟動該服務，達到「物理級」停用效果。

補充防護建議

• 同步停用/刪除 RemoteRegistry 服務對應的 HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous = 1，限制匿名列舉 SAM/共享。
• 啟用 Windows 防火牆/邊界防火牆封鎖 TCP 135/139/445 埠對外暴露。
• 定期稽核 HKLM\SYSTEM\CurrentControlSet\Services 下是否出現異常服務鍵值。

結語：乾淨的登錄檔，是防禦的基石

刪除 RemoteRegistry 鍵值屬於「破壞性防禦」，雖犧牲合法遠端管理便利性，但在高安全需求環境（如 DMZ 前端伺服器、核心資料庫主機）極具價值。配合最小權限原則與網路分段，構建纏深防禦體系。