一、使用者安全設定

1. 禁用 Guest，設複雜密碼。
2. 清理重複/測試/共用帳號，定期稽核。
3. 雙管理員帳號：一般權限日常用，高權限臨時用 (RunAs)。
4. 重命名 Administrator 偽裝普通用戶。
5. 建立陷阱 Administrator 帳號 (最低權限+強密碼)。
6. 共享權限從 Everyone 改為授權使用者 (含列印共享)。
7. 帳號原則：鎖定閾值 3、鎖定時間 20 分鐘、重設計數器 20 分鐘。
8. 隱藏上次登入用戶名：HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\DontDisplayLastUserName = 1。

二、密碼安全設定

1. 強制複雜密碼，定期更換。
2. 啟用螢幕保護密碼。
3. 密碼原則：複雜性啟用、最小長度 6、歷史 5 次、最長壽命 42 天。
4. 條件允許時改用智慧卡取代複雜密碼。

三、系統安全設定

1. 全分區 NTFS。
2. 安裝防毒軟體並持續更新病毒碼。
3. 定期下載微軟最新 Service Pack 與 Hotfix。
4. 關閉預設隱藏共享 (C$, D$, ADMIN$, IPC$ 等) — 電腦管理→共用資料夾→停止共享 (重開機會恢復，需配合登錄永久禁用)。
5. 鎖緊登錄存取：預設僅 Administrators/Backup Operators 可遠端存取，可進一步收緊 ACL。
6. 禁止從軟碟/光碟開機 (BIOS 設定 + 機箱上鎖)。
7. 善用 MMC 安全設定與分析工具套用基準模板。

四、服務安全設定

1. TCP/IP 篩選關閉非必要埠 (網卡屬性→TCP/IP→進階→選項→TCP/IP 篩選)，參考 services 檔對照表。
2. 安全日誌 ACL 僅限 Administrators 與 System。
3. 敏感資料離岸儲存於獨立檔案伺服器並備份。
4. 禁止空連線：HKLM\System\CurrentControlSet\Control\LSA\RestrictAnonymous = 1。

總結

安全與應用常有張力，需在兩者間尋找平衡點；妨礙業務的安全原則非良策。持續修補、最小權限、稽核日誌、纵深防禦是核心準則。