前言

Windows 安全設定常被忽視，導致系統長期處於不安全預設值。本文列出 Active Directory 環境中最關鍵的五項安全設定，定期稽核可確保系統處於最高安全等級。

#1 密碼原則

位於預設網域原則 GPO。建議值：

設定項目	建議值
Enforce password history	12 ~ 24
Maximum password age	30 ~ 90 天
Minimum password age	1 ~ 3 天
Minimum password length	7 ~ 14 字元
Password must meet complexity requirements	Enabled
Store password using reversible encryption	Disabled

稽核工具：DUMPSEC 或網域控制站 GPEDIT.MSC（本地安全性原則）。

#2 帳戶鎖定原則

防止密碼猜測/暴力破解。建議值：

設定項目	建議值
Account lockout duration	9999 (或 5 等較小值，不可為 0)
Account lockout threshold	3 ~ 5
Reset account lockout counter after	9999

同樣用 DUMPSEC 或 GPEDIT.MSC 稽核。

#3 伺服器操作員群組成員權限

可修改 AD 站點、DFS 設定，管理全域用戶/群組/電腦帳號。僅存在於根網域。成員應極少甚至為零（日常無成員最佳），防止權限濫用。用 DUMPSEC 或 ADUC 稽核。

#4 結構操作員群組成員權限

可修改 AD 結構（影響全林域），僅存在根網域。極少變更，日常建議無成員。用 DUMPSEC 或 ADUC 稽核。

#5 網域管理員群組成員權限

全權管理單一網域所有用戶/群組/電腦，每天使用，權限極大。成員數須管控但不可為空。需用 AD 委派 替代直接加入成員，避免過度分發權限。所有網域均需稽核。工具同前。

總結

密碼與鎖定原則是第一道防線；三大高權限群組（伺服器操作員、結構操作員、網域管理員）成員必須嚴格管控並定期稽核。普通用戶若擁有此類權限，將引發重大損失。正確配置並持續監聽，才能構建纵深防禦。