本技術指南針對Windows XP/2000/Server 2003環境，詳述最關鍵的群組原則安全設定，幫助管理員建立鐵壁般的防禦體系。設定路徑以Windows Server 2003網域為例，本地電腦可執行 gpedit.msc，網域環境建議使用群組原則管理主控台（GPMC）集中管理。

1. 密碼原則：建立強健第一道防線

路徑：電腦設定 → Windows 設定 → 安全性設定 → 帳戶原則 → 密碼原則

• 強制密碼複雜度、最小長度、最大/最小使用期限、歷史記錄數量。

2. 帳戶鎖定原則：防暴力破解

路徑：電腦設定 → Windows 設定 → 安全性設定 → 帳戶原則 → 帳戶鎖定原則

• 帳戶鎖定持續時間：建議 5-10 分鐘。
• 帳戶鎖定閾值：允許 5-10 次失敗嘗試。
• 重設鎖定計數器：建議 10-15 分鐘後重設。

3. 稽核原則：留下取證線索

路徑：電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 稽核原則

建議啟用下列項目的「成功」與「失敗」稽核：

• 帳戶管理、登入事件、原則變更、權限使用、系統事件。
• 注意：完整稽核會消耗更多系統資源，請依日誌儲存能力調整。

4. 安全性選項：增加攻擊門檻

路徑：電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 安全性選項

設定項目	建議值	說明
帳戶：重新命名系統管理員帳戶	自訂名稱	增加安全層，非必須但建議執行
帳戶：重新命名來賓帳戶	自訂名稱	同上
互動式登入：不顯示上一位使用者名稱	啟用	隱藏登入提示資訊
互動式登入：不需要上一位使用者名稱	停用	強制輸入用戶名
互動式登入：給嘗試登入的使用者顯示訊息文字	自訂警告橫幅	法律警告，如「本系統僅限授權人員，違者究責」
網路存取：不允許SAM帳戶匿名列舉	啟用	阻擋匿名枚舉用戶資訊
網路存取：允許匿名SID/名稱轉換	停用	防資訊洩露
網路安全性：不儲存LAN Manager雜湊值	啟用	配合NTLMv2，移除弱雜湊
關機：允許系統在未登入時關機	停用	防物理接觸關機繞過稽核
關機：清除虛擬記憶體分頁檔	啟用	防敏感資料殘留於頁面檔

部署建議

• 若有測試環境，務必先驗證相容性再推廣至生產環境。
• 善用GPMC集中管理、篩選、備份與還原群組原則物件（GPO）。
• 參考微軟官方文件了解各版本Windows的詳細設定差異。