針對 Windows 2000/XP 環境，透過群組原則、登錄、NTFS 權限、稽核等原生機制，實作七層防護體系，阻擋未授權存取與惡意操作。
招式一：螢幕保護鎖定工作站
- 設定等待時間 (最短 1 分鐘) 啟動螢幕保護，恢復需密碼。
- 快捷鍵：
Win+L (XP) 或建立 .scr 捷徑雙擊即時鎖定。
- 測試：確認
Ctrl+Alt+Del 無法繞過密碼提示。
招式二：偽裝與隱藏磁碟機
- 利用
desktop.ini + folder.htt 自訂資料夾檢視警告訊息（HTML 格式），嚇阻好奇嘗試者。
- 修改
folder.htt 移除「顯示檔案」連結，改為威懾文字與自訂圖片。
- 極端做法：清空
folder.htt 內容，造成「空資料夾」假象。
- 搭配「超級兔子」等工具隱藏磁碟機代號 (無需重開機)。
- 注意：僅為視覺隱藏，命令列、Word 開啟對話框、磁碟管理仍可存取。
招式三：群組原則精簡「開始」選單
gpedit.msc → 使用者設定 → 系統管理範本 → 工作列與開始選單。- 啟用：「從開始選單移除『我的文件』圖示」、「移除『文件』選單」、「移除『網上鄰居』」等。
- 減少攻擊面，防止一般使用者存取系統管理工具、網路瀏覽功能。
招式四：鎖定桌面環境
- 同樣路徑 → 桌面：啟用「隱藏網上鄰居/IE 圖示」、「隱藏並停用桌面所有項目」、「移除『我的文件』/『我的電腦』/『資源回收筒』圖示」。
- 啟用「離開時不儲存設定」：使用者登出後桌面圖示位置、工作列設定自動重置。
招式五：禁止存取控制台
- 使用者設定 → 系統管理範本 → 控制台 → 啟用「禁止存取控制台」。
- 效果：開始選單移除控制台、總管移除控制台資料夾、右鍵屬性無法開啟控制台項目。
招式六：最小權限使用者權限指派
gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 使用者權利指派。- 依職責授予必要權利：如「以批次工作登入」僅給排程帳號、「從網路存取此電腦」僅給服務帳號。
- 移除不必要帳號的「關閉系統」、「變更系統時間」、「載入/卸載裝置驅動程式」等高危權利。
招式七：NTFS 檔案/資料夾稽核
- 本地原則 → 稽核原則 → 啟用「稽核物件存取」成功/失敗。
- 目標檔案/資料夾右鍵 → 內容 → 安全性 → 進階 → 稽核頁籤 → 新增使用者/群組。
- 選擇稽核事件：讀取/寫入/刪除/權限變更/取得擁有權等。
- 選擇「僅套用至此容器」避免遞迴造成大量日誌。
- 前提：需具備「管理稽核與安全性日誌」使用者權利 (預設 Administrators)。
整體防禦架構
| 層級 | 對應招式 | 核心機制 |
|---|
| 實體/工作階段 | 一、四 | 螢幕鎖定、桌面鎖定 |
| 介面/存取點 | 二、三、五 | 隱藏/移除介面元素 |
| 權限/授權 | 六 | 最小權限原則 |
| 偵測/事後鑑證 | 七 | NTFS 稽核、安全性日誌 |
七招合一，構建「預防→阻擋→偵測→回應」完整防護鏈，配合定期修補、防毒軟體、網路防火牆，大幅提升 Windows 2000/XP 端點安全韌性。