效果：阻擋 enum4linux、rpcclient、NetBIOS 空連線列舉使用者/群組/共享資料夾，切斷駭客偵察鏈第一環。

2. 重命名 Administrator、停用 Guest

• 來賓帳戶狀態： 停用（預設即停用，雙重確認）。
• 重命名系統管理員帳戶： 設為無規則名稱（如 SysAdmin_Prod_01）。
  注意：不可設為當前登入管理員同名，否則報錯「無法儲存本機原則資料庫」。

二、 使用者權利指派：最小權限精準授權

路徑：本機原則 → 使用者權利指派

範例：授予特定使用者/群組「取得檔案或其他物件的所有權」權利（預設僅 Administrators）。

1. 雙擊該原則 → 「新增使用者或群組」 → 輸入物件名稱 → 確定。
2. 同理可配置：「作為批次工作登入」、「作為服務登入」、「調整處理序記憶體配額」等高風險權利，僅授予必要服務帳號。

三、 IP 安全性原則 (IPsec)：埠口級存取控制

木馬、後門、掃描器多仰賴特定埠口。配置 IPsec 封鎖高風險埠（如 TCP 135/139/445/1433/3389 對外），僅允許受信 IP 存取。操作參考：《電腦報》2003 年第 43 期 E13 版詳細教學。

四、 密碼策略：提高破解成本、強制輪換

路徑：帳戶原則 → 密碼原則

參考組合： 複雜性啟用、最小長度 8、歷史 24、最長 30 天、最短 10 天（最長≈2~3×最短），平衡安全與使用者體驗。

加值應用：稽核原則 — 看見不可見的威脅

啟用「稽核物件存取」（成功/失敗），配合檔案/資料夾/登錄鍵值 SACL 設定，追蹤：敏感檔案讀取、登錄關鍵鍵值修改、系統關機/重開機、登入嘗試。日誌導出至 SIEM 持續分析。

結語：基線配置自動化，合規常態化

將上述設定匯出為 .inf 安全範本，透過 secedit /configure 或群組原則大規模部署，實現「一次配置、全域生效、定期驗證」的基線管理閉環。