前言

Windows 帳號安全是主機防護基石。預設配置 (Administrator 內建帳號、Guest 啟用、弱密碼策略、無稽核) 為攻擊者提供便利切入點。本文提供適用於 Windows 10/11、Server 2016/2019/2022 的完整配置清單，可透過群組原則 (GPO) 或本地安全性原則 (secpol.msc) 部署。

1. 隱藏上次登入使用者名稱

路徑： `電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 安全性選項` → 「互動式登入: 不顯示上次的使用者名稱」 → 已啟用。
效果： 登入畫面不顯示上次登入帳號，增加攻擊者枚舉有效帳號難度。

2. 禁用/重命名內建高風險帳號

帳號	建議動作	操作方式
Administrator (內建 RID 500)	重命名 + 設定強密碼 + 僅供緊急/離線修復使用	「本地使用者和群組」 (lusrmgr.msc) → 使用者 → 右鍵 Administrator → 重命名 (如 `LocalAdmin_Ent`)；或 GPO: `電腦設定 → 偏好設定 → 控制台設定 → 本地使用者和群組` → 新增/更新。
Guest (內建 RID 501)	停用 (預設即停用，確認未被啟用)	lusrmgr.msc → Guest → 內容 → 勾選「帳號已停用」。GPO 同樣可強制停用。
預設共用帳號 (如 `Admin`, `User`, `Test`, `Backup`, `Service`)	刪除或停用	清查所有本地使用者，移除非必要帳號。

3. 帳號鎖定策略 (防禦暴力破解)

路徑： `電腦設定 → Windows 設定 → 安全性設定 → 帳號原則 → 帳號鎖定原則`

設定項目	建議值	說明
帳號鎖定閾值	5 次無效登入嘗試	平衡安全性與使用者體驗，避免合理用戶被鎖。
重設帳號鎖定計數器	15 分鐘	鎖定計數器重置時間。
帳號鎖定時間	15 分鐘 (或 30 分鐘)	鎖定持續時間。0 = 永久鎖定需管理員解鎖 (較安全但增加服務台負擔)。

進階： 啟用「具有管理員權限的帳號鎖定」 (Windows 10 1809+/Server 2019+) 防止管理員帳號被鎖定導致拒絕服務。

4. 匿名存取限制 (關鍵)

路徑： `電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 安全性選項`

原則名稱	建議值	說明
網路存取: 允許匿名 SID/名稱轉換	已停用	防止匿名用戶解析 SID 對應帳號名稱。
網路存取: 不允許匿名枚舉 SAM 帳號	已啟用	阻擋 `NetUserEnum`、`NetShareEnum` 等匿名 RPC 呼叫。
網路存取: 不允許匿名枚舉 SAM 帳號和共享	已啟用	進一步限制匿名枚舉共享資料夾。
網路存取: 可匿名存取的共享	空白 (移除預設 `COMCFG` 等)	明確指定允許匿名存取的共享 (通常無)。
網路存取: 可匿名存取的命名管道	空白	移除預設 `COMNAP`, `COMNAP`, `SQL\QUERY`, `SPOOLSS`, `LLSRPC`, `browser`, `netlogon`, `samr` 等。
網路存取: 允許對安全通道資料執行匿名存取	已停用	防止匿名建立安全通道 (Netlogon)。

5. 密碼策略 (基線)

路徑： `電腦設定 → Windows 設定 → 安全性設定 → 帳號原則 → 密碼原則`

設定項目	建議值 (基線)	強化建議 (高安全環境)
密碼必須符合複雜度需求	已啟用	已啟用
最小密碼長度	12 字元	14-16 字元
密碼最長使用期限	90 天	60 天 (配合 MFA 可延長至 180 天)
密碼最短使用期限	1 天	1 天 (防止立即改回舊密碼)
強制密碼歷程記錄	24 次	24-48 次
使用可逆向加密儲存密碼	已停用	已停用 (絕不啟用)

補充： 部署細微密碼原則 (Fine-Grained Password Policy, PSO) 針對不同群組 (管理員、服務帳號、一般用戶) 套用差異化策略。

6. 使用者權限指派 (最小權限)

路徑： `電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 使用者權利指派`

權限名稱	建議指派對象	風險說明
以服務身分登入 (SeServiceLogonRight)	僅特定服務帳號 (gMSA/專用服務帳號)	一般使用者若擁有此權限可註冊惡意服務提權。
作為批次作業登入 (SeBatchLogonRight)	僅排程任務/自動化帳號	同風險。
從網路存取這台電腦 (SeNetworkLogonRight)	Authenticated Users / 必要應用帳號	移除 `Everyone`、`Guests`、匿名登入。
拒絕從網路存取這台電腦 (SeDenyNetworkLogonRight)	Guests、本地帳號 (含 Administrator 本地帳號)、服務帳號 (非必要)	防止本地帳號橫向移動 (Pass-the-Hash 防禦關鍵)。
允許本地登入 (SeInteractiveLogonRight)	Administrators、Users (實體/遠端桌面)	移除服務帳號、非必要群組。
允許透過終端機服務登入 (SeRemoteInteractiveLogonRight)	Remote Desktop Users、特定管理群組	嚴格限制 RDP 存取對象。
關閉系統 (SeShutdownPrivilege)	Administrators、本地操作人員	防止一般用戶關閉伺服器。
管理審核與安全性記錄 (SeSecurityPrivilege)	Administrators、資安稽核人員	控制誰可讀取/清除安全性記錄。
備份/還原檔案和目錄 (SeBackupPrivilege, SeRestorePrivilege)	備份操作員、備份軟體服務帳號	嚴格限制，防止資料竊取/竄改。
載入及卸載裝置驅動程式 (SeLoadDriverPrivilege)	僅 Administrators (必要時)	防止惡意驅動程式載入 (Rootkit/Bootkit)。

7. 稽核原則 (進階稽核配置)

路徑： `電腦設定 → Windows 設定 → 安全性設定 → 進階稽核原則設定`

• 帳號登入 → 稽核 Kerberos 驗證服務要求、稽核 Kerberos 服務票證作業：成功/失敗。
• 帳號管理 → 全部成功/失敗。
• 詳細追蹤 → 稽核程序建立 (含命令列)、稽核程序終止：成功。
• 存取物件 → 稽核檔案系統/登錄表/核心物件/可移式儲存體：失敗 (最小) 或 成功/失敗 (高價值資產)。
• 原則變更 → 全部成功/失敗。
• 權限使用 → 稽核敏感權限使用：成功/失敗。
• 系統 → 稽核安全性系統擴充、稽核系統完整性、稽核 IPsec 驅動程式：成功/失敗。

日誌保留： 安全性日誌 ≥ 1 GB (建議 4-10 GB)、啟用「依需求覆寫事件 (較舊優先)」、轉發至 SIEM 集中保存 ≥ 1 年。

8. 群組原則部署最佳實務

1. 建立專用 GPO (如 `GPO-Windows-Security-Baseline`)，連結至網域/OU，勿修改 Default Domain Policy/Default Domain Controllers Policy。
2. 使用「安全性基線」模板 (Microsoft Security Baselines, CIS Benchmarks) 匯入，再依環境微調。
3. 啟用「群組原則結果模擬」 (GPResult / RSOP) 驗證生效狀態。
4. 設定「強制」 (Enforced) 於關鍵 OU 防止子 OU 覆寫。
5. 變更管理：所有 GPO 變更經審批、測試 (測試 OU)、文件化、備份 (GPO 備份/還原)。

結語

Windows 帳號安全配置非一次性動作，而是持續基線管理。結合「重命名/禁用高風險帳號、強密碼+鎖定、匿名存取封鎖、最小權限指派、完整稽核、GPO 自動化部署」六大支柱，並納入定期合規掃描 (OpenSCAP, PowerShell DSC, Azure Policy)，才能有效提升主機防禦基線，縮減攻擊面。