前言：預設 Administrator 是駭客首選目標

駭客攻擊鏈常見第一步：列舉有效帳號 → 針對 Administrator 進行密碼噴灑/暴力破解/社交工程。預設 Administrator 帳號：SID 固定 (RID 500)、無法鎖定、擁有最高權限。建立具名、可審計、可鎖定的次級管理員帳號，將 Administrator 保留為緊急備援，大幅降低風險。

圖文實操：建立並授權次級管理員

1. 開啟本機用戶和群組： Win+R → lusrmgr.msc（或「我的電腦」右鍵 → 管理 → 系統工具 → 本機用戶和群組）。
2. 新增使用者： 右鍵「使用者」 → 「新增使用者」 → 填寫：
   使用者名稱：itcso（建議具業務意義命名）
   完整名稱：IT Security Officer
   密碼：符合複雜度要求 → 取消勾選「使用者下次登入時必須變更密碼」（服務帳號建議勾選）→ 「建立」。
3. 加入 Administrators 群組： 右鍵 itcso → 「內容」 → 「隸屬於」標籤 → 「新增」 → 「進階」 → 「立即尋找」 → 選取 Administrators → 確定 → 確定。
4. 驗證： 登出，以 itcso 登入，開啟「電腦管理」確認具備完整管理權限。

進階強化建議

• 重命名/停用預設 Administrator： lusrmgr.msc → Administrator 右鍵 → 重命名為無規則名稱（如 Admin_Backup_2024）→ 內容 → 勾選「帳號已停用」。
• 部署細粒度密碼策略 (PSO)： 對管理員帳號套用更嚴格密碼長度（≥15）、歷史記錄（24 代）、存活期（30 天）。
• 啟用管理員帳號登入稽核： 群組原則 → 稽核登入事件（成功/失敗），串接 SIEM 告警。
• 使用「受保護的使用者」群組 (Win 2012 R2+)： 自動強制 Kerberos AES、禁用 NTLM、禁止委派、TGT 有效期 4 小時。
• 採用專屬管理工作站 (PAW)： 管理員僅從經過強化、離線管理的 PAW 登入伺服器，斷絕工作站被植入木馬竊取憑證風險。

結語：分權、審計、最小暴露

建立次級管理員非終點，而是「身分治理」起點。配合 PAM（特權存取管理）、Just-In-Time 提權、會話錄影，將管理員操作納入可視、可控、可追溯軌道，才是現代資安運營的標準姿態。