Windows 環境安全性隨時間變化，全新或營運多年的系統都可能偏離組織安全基準。若時間有限，應優先稽核對 Active Directory 網域控制站影響最大的五項設定。這些設定常被忽略、預設值不安全，且能有效抵禦常規攻擊。

#1 密碼原則

預設定義於「預設網域原則」GPO 中。建議最低達標準安全等級：

設定項目	建議值
Enforce password history（記住密碼歷程）	12~24 次
Maximum password age（密碼最長使用期限）	30~90 天
Minimum password age（密碼最短使用期限）	1~3 天
Minimum password length（密碼最小長度）	7~14 字元
Password must meet complexity requirements（密碼須符合複雜度）	已啟用
Store passwords using reversible encryption（可逆加密儲存密碼）	已停用

稽核工具：本機安全性原則（網域控制站執行 gpedit.msc）或 DUMPSEC（不含複雜度需求）。

#2 帳戶鎖定原則

阻擋密碼猜測與暴力破解。建議值：

設定項目	建議值
Account lockout duration（鎖定持續時間）	9999 分鐘（或較小值如 5，不可為 0）
Account lockout threshold（鎖定臨界值）	3~5 次
Reset account lockout counter after（重設計數器時間）	9999 分鐘

同樣位於預設網域原則 GPO，稽核方式同上。

#3 伺服器操作員群組成員權限

僅存在於樹系根網域。成員可修改 AD 站點、DFS 設定，並管理全網域使用者、群組、電腦帳號。建議日常無成員，需時再由網域管理員臨時加入。稽核工具：DUMPSEC 或 AD 使用者與電腦嵌入式管理單元。

#4 結構描述管理員群組成員權限

同僅存在於根網域。成員可修改影響全樹系的結構描述，錯誤變更將導致全網域癱瘓。結構描述極少變更，建議日常無成員，嚴格管控變更流程。稽核方式同上。

#5 網域管理員群組成員權限

存在於每個網域，擁有該網域所有物件的完全控制權。成員數須嚴格控制，不可為空。需授權時優先使用 AD 委派，避免過度授權。需稽核所有網域的該群組。稽核工具同上。

總結

密碼與鎖定原則是第一道防線；三大高權限群組（伺服器操作員、結構描述管理員、網域管理員）成員管控是核心。定期稽核、最小權限原則、善用委派，才能確保 AD 環境持續安全。