Windows 2000/XP 時代的經典防駭指南，核心邏輯至今仍適用於 Windows 10/11：縮小攻擊面、最小權限、稽核追蹤。本文整理七大實作步驟，從物理螢幕鎖定到登錄表稽核，建立纏深防禦基準線。
第一招：螢幕保護程式 — 物理離席的第一道鎖
- 設定：桌面右鍵 → 內容 → 螢幕保護程式 → 勾選「繼續時顯示登入畫面」、等待時間 1~5 分鐘。
- 快速啟動捷徑：將
C:\Windows\System32\*.scr 右鍵拖曳至桌面建立捷徑，離席雙擊即鎖。
- 測試重點：確認 Ctrl+Alt+Del 未被攔截 (部分舊版螢幕保護程式 Bug)，否則可繞過鎖定。
第二招：巧用 desktop.ini + folder.htt 隱藏/偽裝磁碟機
- 原理：資料夾自訂樣板檔控制「按網頁檢視」時的警告訊息與圖示。
- 操作：複製
C:\Windows\desktop.ini、folder.htt 至目標磁碟根目錄 (需顯示隱藏檔) → 編輯 folder.htt 修改警告文字、圖片路徑、甚至刪除「顯示檔案」連結 → 整個磁碟看起來像空的/受保護區域。
- 進階：搭配「超級兔子」等工具隱藏磁碟機代號 (無磁碟機代號無法在總管直接進入)。
- 極致：清空
folder.htt 內容 → 開啟磁碟機顯示空白，達到隱形效果。
第三招：群組原則清理「開始」選單 — 移除不必要的入口
- 執行
gpedit.msc → 使用者設定 → 系統管理範本 → 工作列和「開始」功能表。
- 啟用需隱藏項目：「從『開始』功能表移除『我的文件』圖示」、「移除『文件』功能表」、「移除『網路鄰居』圖示」等。
- 原則：使用者看不見、點不到的功能，就不會誤觸或被惡意利用。
第四招：桌面相關選項鎖定 — 防止隨意變更環境
- 同樣在
gpedit.msc → 使用者設定 → 系統管理範本 → 桌面。
- 隱藏系統圖示：「隱藏桌面上的『網路鄰居』圖示」、「隱藏桌面上的『Internet Explorer』圖示」、「隱藏並停用桌面上的所有項目」。
- 移除個人化圖示：「從桌面刪除『我的文件』圖示」、「從桌面刪除『我的電腦』圖示」、「從桌面刪除『資源回收筒』」。
- 禁止儲存桌面配置：「登出時不儲存設定」 — 使用者調整圖示位置、工作列大小登出後自動還原。
第五招：禁止存取「控制台」 — 封鎖系統設定入口
gpedit.msc → 使用者設定 → 系統管理範本 → 控制台 → 啟用「禁止存取控制台」。- 效果：控制台程式無法啟動、從「開始」選單移除、資源管理器中移除控制台資料夾、右鍵屬性選單中控制台項目失效。
第六招：精細設定使用者權限指派 — 最小權限原則落地
gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 使用者權限指派。- 關鍵權限收回/限制：
存取此電腦來自網路：僅給必要服務帳號。以批次工作身分登入、以服務身分登入：僅給排程/服務帳號。關閉系統、變更系統時間、載入/卸載裝置驅動程式：僅給管理員。
- 新增自訂帳號至特定權限：雙擊權限 → 新增使用者或群組 → 確定。
第七招：資料夾稽核 — 留下存取證據鏈
- 啟用稽核原則：
gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 稽核原則 → 「稽核物件存取」設為「成功/失敗」。
- 對目標資料夾右鍵 → 內容 → 安全性 → 進階 → 稽核頁籤 → 新增使用者/群組 (如 Everyone) → 勾選稽核事件 (讀取/寫入/刪除/變更權限/取得所有權)。
- 設定「套用至」範圍：僅此資料夾 / 此資料夾及子資料夾 / 僅檔案。
- 查看事件檢視器 → 安全性記錄，事件 ID 4663 (檔案存取)、4670 (權限變更) 追蹤異常操作。
- 前提：執行者需為 Administrators 群組成員或具備「管理稽核與安全記錄」權限。
現代環境遷移指南 (Win10/11/Server 2019+)
- 群組原則 → 改用 Intune/MDM 設定檔 或 Security Baselines (CIS/SECM) 下發。
- 螢幕鎖定 → Windows Hello (生物辨識/PIN) +
Win+L 鍵盤捷徑。
- 隱藏磁碟 → BitLocker 加密 + 無磁碟機代號 (diskpart remove letter)。
- 稽核 → 進階稽核原則配置 (詳細類別) + Windows Event Forwarding 集中日誌分析 (SIEM)。
- 應用控制 → WDAC (Windows Defender Application Control) 取代軟體限制原則。
這七招雖源自經典年代，但「物理鎖定、介面最小化、權限最小化、行為可稽核」四大原則穿越版本迭代依然有效。現代管理者應將其轉化為自動化基準線 (Baseline) 部署，而非手動逐台設定，才能在規模化環境中維持防禦姿態。