一、取消預設行政共享 (C$, ADMIN$, IPC$)

Windows 2000/XP/2003 預設啟用所有分區隱藏共享 (盤符後加 $)。若 Administrator 密碼為空/弱，攻擊者可透過 \\IP\C$ 遠端讀寫系統盤。

登錄表關閉法

路徑: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
新建 DWORD: AutoShareWks (工作站) / AutoShareServer (伺服器) = 0
重啟生效

命令列臨時關閉 (重啟失效)

net share C$ /delete
net share ADMIN$ /delete
net share IPC$ /delete

二、拒絕惡意網頁代碼 (IE 安全區域設定)

1. IE → 工具 → 網際網路選項 → 安全 → 自訂等級 → 設為「高」。
2. ActiveX 控制項與外掛程式：
   - 「下載未簽名的 ActiveX 控制項」→ 禁用
   - 「初始化並編寫腳本標記為安全的 ActiveX 控制項」→ 禁用
   - 其餘 → 提示
3. 啟用「受保護模式」 (IE7+ / Windows Vista+)，低權限進程隔離。
4. 企業環境建議棄用 IE，改用 Edge/Chrome 配合企業策略 (ExtensionInstallBlocklist、URLBlocklist、SafeBrowsing)。

三、封堵後門通道

1. 移除非必要協定

網路連線 → 內容 → 僅保留「Internet 協定 (TCP/IP)」。移除 NetBEUI、IPX/SPX、AppleTalk 等。

2. 禁用 NetBIOS over TCP/IP

TCP/IP 內容 → 進階 → WINS → 「停用 TCP/IP 上的 NetBIOS」。消除 137/138/139 埠命名服務、資料包服務、會話服務攻擊面 (空會話枚舉、中毒、重放)。

3. 關閉「檔案和印表機共享」

網路連線 → 內容 → 「檔案和印表機共享」取消勾選。
註冊表強制禁止用戶更改：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network
新建 DWORD NoFileSharingControl = 1。

4. 停用 Guest 帳號、重命名 Administrator

控制台 → 使用者帳戶 → 進階 → 本地使用者和群組 → Guest → 屬性 → 「帳戶已停用」。
重命名 Administrator 為無規律名稱 (如 Admin_3x9K)，建立同名誘餌帳號 (無權限) 干擾暴力破解。

5. 禁止空連線 (Null Session)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
DWORD RestrictAnonymous = 1 (限制枚舉) 或 2 (完全拒絕匿名連線，Win2K SP3+/XP/2003)。
配合 RestrictAnonymousSam = 1 保護 SAM 資料庫。

四、進階硬化清單 (基準線)

• 啟用 Windows 防火牆/進階安全性防火牆：預設入站阻擋、出站允許、規則最小化。
• 啟用 AppLocker/WDAC：僅允許簽名授權應用執行。
• 啟用 Credential Guard + HVCI (VBS) 保護 LSASS、核心代碼完整性。
• 部署 LAPS (Local Administrator Password Solution) 自動輪換本地管理員密碼、存儲於 AD ACL 保護屬性。
• 配置審計策略：登入/登出 (4624/4625)、進程建立 (4688)、權限使用 (4672)、物件存取 (4663)、原則變更 (4719)、系統事件 (1102)。日誌轉發至 SIEM。
• 定期執行基準合規掃描 (CIS Benchmarks、Microsoft Security Baselines、STIG)。

總結

Windows 歷史預設配置偏向易用性而非安全性。系統性硬化需覆蓋「共享、協定、帳號、認證、防火牆、應用控制、憑證保護、審計」八大維度，並納入自動化合規基線管理。